Anfang 2024 betreiben viele Unternehmen noch immer Server mit Windows Server 2012 oder 2012 R2, etwa als Domänencontroller, als Dateiserver oder für Spezialanwendungen. Seit dem Supportende im Oktober 2023 ist das Risiko deutlich höher, ein Upgrade oder eine Migration lässt sich in der Praxis aber nicht überall kurzfristig umsetzen. Wer On-Premises-Server oder hybride Architekturen betreibt, die sich nicht ohne Weiteres nach Azure verschieben lassen oder das gar nicht sollen, braucht deshalb eine pragmatische Übergangslösung. Genau dafür gibt es Windows Server 2012 ESU über Azure Arc.

Viele Altserver laufen nach dem Supportende einfach weiter

In den Tenants, die ich mir anschaue, finde ich erstaunlich viele Server, auf denen trotz aller Warnungen noch Windows Server 2012 oder 2012 R2 läuft. Dafür gibt es unterschiedliche Gründe: Legacy-Anwendungen, fehlende Ressourcen für ein Replatforming oder schlicht andere Prioritäten in der IT. Bisher konnten viele dieser Server über das klassische Extended-Security-Updates-Programm (ESU) weiter Sicherheitsupdates beziehen. Das lief über Volumenlizenzverträge und Key-Management-Systeme und war mit erheblichem Vorlauf und hohen Lizenzkosten verbunden. Seit Herbst 2023 geht es einfacher. Über Azure Arc rechnet ihr ESU monatlich direkt über Azure ab und könnt sie für jeden beliebigen Standort aktivieren, ohne die Server physisch nach Azure zu migrieren. Die Voraussetzungen und vorbereitenden Schritte beschreibt Microsoft hier.

Der Connected Machine Agent verbindet die Server mit Azure

Kernstück der Lösung ist Azure Arc für Server. Auf jedem betroffenen Server installiert ihr den Connected Machine Agent. Er baut eine sichere Verbindung zu Azure auf, und der Server taucht danach als Ressource im Azure-Portal auf. Das klappt auch bei Servern in anderen Clouds oder im klassischen Rechenzentrum, sofern sie die Azure-Endpunkte über das Netzwerk erreichen. In meinen Projekten rate ich dazu, das Onboarding zu automatisieren, zum Beispiel mit Service Principals und Skripten. Vor allem in größeren Umgebungen spart das viel Arbeit. Wie das Onboarding grundsätzlich abläuft, zeigt dieser Artikel von Microsoft.

Praxis-Tipp: Plant für die Netzwerkfreischaltungen ausreichend Zeit ein. Der Arc-Agent muss bestimmte Azure-Dienste und Ports erreichen, und in stark segmentierten Umgebungen kann genau das ein Projekt schnell ausbremsen.

Das folgende Diagramm zeigt grob, wie die Aktivierung von ESU über Azure Arc abläuft:

graph TD
  A["Server mit Windows Server 2012"] --> B["Arc Connected Machine Agent installiert"]
  B --> C["Server erscheint in Azure Arc"]
  C --> D["ESU-Lizenz im Azure-Portal erstellen"]
  D --> E["Lizenz einem oder mehreren Servern zuweisen"]
  E --> F["ESU-Updates werden installiert"]

Abbildung: Ablauf zur Aktivierung der Windows Server 2012 ESU über Azure Arc

Die ESU-Lizenz entsteht vollständig im Azure-Portal

Im nächsten Schritt legt ihr die ESU-Lizenzen im Azure-Portal an und weist sie zu. Dabei wählt ihr die Server-Edition (Standard oder Datacenter) und gebt an, ob physische oder virtuelle Kerne lizenziert werden. Achtet auf die Mindestmengen: Wie bei der klassischen Windows-Server-Lizenzierung sind es mindestens 8 Kerne pro VM und mindestens 16 pro physischem Server. Abgerechnet wird monatlich pro zugewiesener Lizenz. Das ist ein großer Vorteil, denn so fallen keine hohen Vorabkosten für die nächsten drei Jahre an. Sobald ein Arc-verbundener Server eine Lizenz hat, ist die ESU-Funktion aktiv und er bekommt wieder Sicherheitsupdates angeboten. Die technischen Details erklärt Microsoft hier sehr anschaulich.

Wer das automatisieren möchte, kann zum Beispiel diesen PowerShell-Befehl verwenden (nur ein Ausschnitt, kein vollständiges Skript):

# Beispiel: ESU-Lizenz zuweisen
az connectedmachine license assign --machine-name <Servername> --resource-group <ResourceGroup> --license-type 'ESU2022'

Nach der Zuweisung lohnt sich ein genauer Blick auf die Updates

Ist die Lizenz zugewiesen, solltet ihr den Updateverlauf aufmerksam verfolgen. In einigen Umgebungen war der Windows-Update-Dienst oder WSUS noch so konfiguriert, dass die ESU-Patches nicht direkt ankamen. In solchen Fällen helfen die Update-Logs und die Statusmeldungen von Azure Arc weiter. Die Lizenzübersicht im Azure-Portal solltet ihr regelmäßig prüfen, besonders dann, wenn Server wegfallen oder migriert werden. Wer bisher noch nicht mit Azure Arc gearbeitet hat, wird angenehm überrascht sein, denn Dokumentation und Portal sind heute deutlich übersichtlicher als noch vor ein, zwei Jahren.

ESU über Azure Arc ersetzt keine Migration

Windows Server 2012 ESU über Azure Arc schlägt zwar die nötige Brücke für Altserver, bleibt aber eine Übergangslösung. Bei vielen Kunden setze ich ESU bewusst ein, um Zeit für eine geordnete Migration zu gewinnen, am besten mit einer klaren Roadmap und regelmäßigen Reviews. Spätestens aus Sicht von Governance und Sicherheit kommt ihr um eine Modernisierung ohnehin nicht herum. Wer seine Infrastruktur bereits über Azure Arc verwaltet, kann mittelfristig weitere Schritte gehen, etwa in Richtung Cloud-Management, Policy Enforcement oder sogar automatisiertes Patching. Und wer heute noch auf Extended Security Updates angewiesen ist, sollte sie als Notnagel sehen und nicht als Strategie.