Fluxo de dados para CMG

Aplica-se a: Configuration Manager (branch atual)

Use este artigo para entender como os dados fluem entre componentes do CMG (gateway de gerenciamento de nuvem). Ele requer portas de rede específicas e pontos de extremidade da Internet para funcionar. Você não precisa abrir nenhuma porta de entrada para sua rede local. O ponto de conexão de serviço e as funções do sistema do site do ponto de conexão CMG iniciam toda a comunicação com o Azure e o CMG. Essas duas funções precisam criar conexões de saída com a nuvem da Microsoft. O ponto de conexão de serviço implanta e monitora o serviço no Azure, portanto, precisa estar online. O ponto de conexão CMG se conecta ao CMG para gerenciar a comunicação entre o CMG e as funções do sistema de sites local.

O diagrama a seguir é um fluxo de dados básico e conceitual para o CMG:

1. O ponto de conexão de serviço se conecta ao Azure pela porta HTTPS 443. Ele se autentica usando Microsoft Entra ID. O ponto de conexão de serviço implanta o CMG no Azure. O CMG cria o serviço HTTPS usando o certificado de autenticação do servidor.

2. O ponto de conexão CMG se conecta ao CMG no Azure. Ela mantém a conexão aberta e cria o canal para futura comunicação bidirecional.

   • Quando você implanta o CMG como um conjunto de dimensionamento de máquinas virtuais, esse fluxo é sobre HTTPS.

   • Se você implantar o CMG como um serviço de nuvem clássico, ele primeiro tentará TCP-TLS. Se essa conexão falhar, ela mudará para HTTPS.

   Para obter mais informações, consulte Observação 2: portas HTTPS do ponto de conexão CMG para uma VM.

3. O cliente se conecta ao CMG pela porta HTTPS 443. Ele autentica usando Microsoft Entra ID, o certificado de autenticação do cliente ou um token emitido pelo site.

   Observação

   Se você habilitar o CMG para servir conteúdo, o cliente se conectará diretamente ao armazenamento de blobs do Azure pela porta HTTPS 443. Para obter mais informações, consulte Fluxo de dados de conteúdo.

4. O CMG encaminha a comunicação do cliente sobre a conexão existente com o ponto de conexão cmg local. Você não precisa abrir nenhuma porta de firewall de entrada.

5. O ponto de conexão CMG encaminha a comunicação do cliente para o ponto de gerenciamento local e o ponto de atualização de software.

Para obter mais informações ao integrar com Microsoft Entra ID, consulte Configurar serviços do Azure: fluxo de dados de gerenciamento de nuvem.

Quando um cliente usa um CMG como local de conteúdo:

1. O ponto de gerenciamento fornece ao cliente um token de acesso junto com a lista de fontes de conteúdo. Esse token é válido por 24 horas e dá ao cliente acesso à fonte de conteúdo baseada em nuvem.

2. O ponto de gerenciamento responde à solicitação de localização do cliente com o nome do serviço do CMG. Essa propriedade é a mesma que o nome comum do certificado de autenticação do servidor.

   Se você estiver usando seu nome de domínio, por exemplo, WallaceFalls.contoso.com, o cliente primeiro tentará resolve esse FQDN. Os clientes usam o alias CNAME no DNS voltado para a Internet do domínio para resolve o nome da implantação do Azure.

3. O próximo cliente resolve o nome da implantação para um endereço IP válido. Essa resposta é tratada pelo DNS do Azure.

4. O cliente se conecta ao CMG. A carga do Azure equilibra a conexão com uma das instâncias da VM. O cliente se autentica usando o token de acesso.

5. O CMG autentica o token de acesso do cliente e, em seguida, fornece ao cliente o local exato de conteúdo no armazenamento do Azure.

6. Se o cliente confiar no certificado de autenticação de servidor do CMG, ele se conectará ao armazenamento do Azure para baixar o conteúdo.

Esta tabela lista as portas e protocolos de rede necessários. O Cliente é o dispositivo que inicia a conexão, exigindo uma porta de saída. O Server é o dispositivo que aceita a conexão, exigindo uma porta de entrada.

Essas portas só se aplicam quando você implanta o CMG como um serviço de nuvem (clássico), que era o único método disponível na versão 2006 e anterior.

O ponto de conexão CMG primeiro tenta estabelecer uma conexão TCP-TLS de longa duração com cada instância de VM CMG. Ele se conecta à primeira instância de VM na porta 10140. A segunda instância de VM usa a porta 10141, até a 16ª na porta 10155. Uma conexão TCP-TLS tem o melhor desempenho, mas não dá suporte ao proxy da Internet. Se o ponto de conexão CMG não puder se conectar por meio do TCP-TLS, ele retornará ao HTTPS^{Note 2}.

Se você implantar o CMG em um conjunto de dimensionamento de máquinas virtuais, o ponto de conexão CMG só se comunicará com o serviço no Azure por HTTPS. Não requer portas TCP-TLS para criar o canal de comunicação CMG.

Para um CMG implantado como um serviço de nuvem clássico, ele só usa essa porta se a conexão TCP-TLS falhar. Se o ponto de conexão CMG não puder se conectar ao CMG por meio do TCP-TLS^{Note 1}, ele se conectará ao balanceador de carga de rede do Azure pelo HTTPS 443. Esse comportamento é apenas para uma instância de VM.

Se houver duas ou mais instâncias de VM, o ponto de conexão CMG usará HTTPS 10124 para a primeira instância de VM, não HTTPS 443. Ele se conecta à segunda instância de VM no HTTPS 10125, até o dia 16 na porta HTTPS 10139.

Se sua organização restringir a comunicação de rede com a Internet usando um firewall ou dispositivo proxy, você precisará permitir que o ponto de conexão CMG e o ponto de conexão de serviço acessem pontos de extremidade da Internet.

Para obter mais informações, consulte Requisitos de acesso à Internet.

Esta seção aborda os seguintes recursos:

• CMG (gateway de gerenciamento de nuvem)

• integração Microsoft Entra

• Microsoft Entra descoberta baseada em ID

• CdP (ponto de distribuição de nuvem)

  Observação

  O CDP (ponto de distribuição baseado em nuvem) é preterido. A partir da versão 2107, você não pode criar novas instâncias de CDP. Para fornecer conteúdo para dispositivos baseados na Internet, habilite o CMG para distribuir conteúdo.

As seções a seguir listam os pontos de extremidade por função. Alguns pontos de extremidade referem-se a um serviço por <prefix>, que é o nome do prefixo do CMG. Por exemplo, se o CMG for GraniteFalls.WestUS.CloudApp.Azure.Com, o ponto de extremidade de armazenamento real será GraniteFalls.blob.core.windows.net.

Para Configuration Manager implantar o serviço CMG no Azure, o ponto de conexão de serviço precisa de acesso a:

• Pontos de extremidade específicos do Azure, que são diferentes por ambiente, dependendo da configuração. Configuration Manager armazena esses pontos de extremidade no banco de dados do site. Consulte a tabela AzureEnvironments no SQL Server para a lista de pontos de extremidade do Azure.

• Serviços do Azure:

  • management.azure.com (Nuvem pública do Azure)
  • management.usgovcloudapi.net (Nuvem do Governo dos EUA do Azure)

• Para Microsoft Entra descoberta de usuário: ponto de extremidade do Microsoft Graphhttps://graph.microsoft.com/

O ponto de conexão CMG precisa de acesso aos seguintes pontos de extremidade:

O sistema de site de ponto de conexão CMG é compatível com o uso de um proxy Web. Para obter mais informações sobre como configurar essa função para um proxy, consulte Suporte ao servidor proxy.

O ponto de conexão CMG só precisa se conectar aos pontos de extremidade do serviço CMG. Ele não precisa de acesso a outros pontos de extremidade do Azure.

Qualquer cliente Configuration Manager que precise se comunicar com um CMG precisa de acesso aos seguintes pontos de extremidade:

Qualquer dispositivo com o console Configuration Manager precisa de acesso aos seguintes pontos de extremidade:

Qualquer dispositivo de rede que gerencie a comunicação entre o cliente, o CMG e os sistemas de site locais deve permitir os seguintes cabeçalhos HTTP e verbos. Se esses itens forem bloqueados, isso afetará a comunicação do cliente por meio do CMG.

• Gama:
• CCMClientID:
• CCMClientIDSignature:
• CCMClientTimestamp:
• CCMClientTimestampsSignature:

• HEAD
• CCM_POST
• BITS_POST
• OBTER
• PROPFIND