Échec de l'intégration Azure Arc via proxy authentifié

Question

Échec de l'intégration Azure Arc via proxy authentifié

ThomasSSP 20

Les serveurs locaux ne parviennent pas à finaliser leur intégration à Azure Arc avec la commande azcmagent connect. L'analyse révèle que le proxy HTTP d'entreprise exige une authentification NTLM/Basic que l'agent d'intégration Arc ne peut pas négocier.

Comment configurer les règles de proxy au niveau de la machine et les paramètres d'exclusion (bypass)?

0 commentaires

Réponse acceptée par l’auteur(e) de la question

0 réponses supplémentaires

Votre réponse

Answer 1

Bonjour,

le problème que vous rencontrez est lié au fait que l’agent Azure Arc (azcmagent) ne sait pas négocier une authentification NTLM ou Basic avec un proxy d’entreprise. Par défaut, il ne supporte que les proxys transparents ou ceux qui n’imposent pas d’authentification. La solution consiste donc à configurer les paramètres proxy au niveau du système Windows ou Linux de manière à ce que l’agent puisse sortir vers Azure sans passer par une authentification qu’il ne gère pas.

Sur Windows Server, vous devez définir les variables d’environnement système HTTP_PROXY et HTTPS_PROXY avec l’adresse du proxy, et surtout configurer les exclusions pour les domaines Azure. Cela se fait via le panneau de configuration Internet Options (WinINET) ou directement dans le registre sous HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings avec les valeurs ProxyServer et ProxyOverride. Dans ProxyOverride, ajoutez les domaines Azure à exclure, par exemple *.azure.com;*.windows.net;*.microsoft.com. Cela permet au trafic vers Azure Arc de bypasser le proxy authentifié.

Sur Linux, vous définissez les variables d’environnement dans /etc/environment ou dans le shell de service :

Code

export HTTP_PROXY=http://proxy:8080
export HTTPS_PROXY=http://proxy:8080
export NO_PROXY=localhost,127.0.0.1,.azure.com,.windows.net,.microsoft.com

Le paramètre NO_PROXY est essentiel pour que les appels vers les endpoints Azure Arc ne passent pas par le proxy qui exige NTLM/Basic.

Dans les environnements où le proxy est obligatoire et ne peut pas être bypassé, la seule solution supportée est de mettre en place un proxy intermédiaire (par exemple un proxy Squid ou un proxy applicatif) qui accepte NTLM/Basic en entrée et relaie vers Azure sans authentification. L’agent Arc se connectera alors à ce proxy intermédiaire qui ne demande pas d’authentification.

En résumé, vous devez soit configurer les exclusions de proxy pour les domaines Azure directement au niveau du système, soit déployer un proxy de transition qui supprime l’authentification. L’agent Arc ne peut pas gérer NTLM/Basic, donc la configuration doit être adaptée en amont.

Domic Vo.