この記事は更新から24ヶ月以上経過しているため、最新の情報を別途確認することを推奨いたします。

スクリプトの処理が完了すると、AutomationアカウントにHybrid Worker グループが作成され、Workerとしてマシンが登録されます。
下記画像ではHybrid Group Test01というHybrid Worker GroupにADDSというマシンがWorkerとして登録されていることがわかります。

テスト

テストとして、ユーザ名とホスト名を取得する簡単なRunbookをAutomation上で作成して実行してみます。

$who = whoami
write-output ("I am $who")
$hostname = hostname
write-output("This is $hostname")

Runbookの開始画面でハイブリッド Workerを選択し、作成したハイブリッド Workerグループを選択して実行します。

結果の出力を見ると、ホスト名にWorkerのマシン名が、ユーザーとしてローカルのシステムアカウントが表示され、Hybrid Runbook Workerが正常に動作していることがわかります。

また、実行対象をハイブリッドWorkerではなくAzureに設定し実行した場合、下記画像のようにユーザーとホストは空白になることがわかります。

Runbook例：ユーザー作成&Azure ADコネクト同期

さて、これでHybrid Runbookが使えるようになったので、実用的な使い方を考えてみましょう。
Hybrid Runbookの強みは、サーバーに入ることなくAzureからローカルの資産・リソースにアクセスできることです。
例えばADDSサーバーでのユーザー作成、そしてAzure ADコネクトサーバーでのADコネクト同期実施をAzure上で完結させることができます。
ADコネクト同期は多くの方がデフォルトの30分周期の自動実行を設定しているので需要は薄いかもしれませんが、Hybrid Azure AD Joinを構成したい場合など、同期が走るまで30分も待ってらんないよ！というときにAzure Portalから同期が実行できれば便利ですよね。

ではRunbookを作成していきましょう。

Runbookの作成・インポート

テストではAutomationからRunbookを作成しましたが、
実運用ではWorkerのマシン上で.ps1ファイルを作成・テストしてAzure AutomationにRunbookとしてインポートします。

Runbookのインポートには以下のPowershell コマンドを実行します。

$AAccountName = "<Automationアカウント名>"
$runbookName = "<作成するRunbook名>"
$scriptPath = "<.ps1ファイルのパス>"
$RGName = "<Automationアカウントのリソースグループ>"

Import-AzAutomationRunbook
-Name $runbookName -Path $scriptPath
-ResourceGroupName $RGName -AutomationAccountName $AAcountName
-Type Powershell -Force

例：ユーザー作成Runbook

Param( 
[parameter(mandatory=$true)][string]$username, 
[parameter(mandatory=$true)][string]$password
)

Start-Transcript C:\Temp\RunbookLog.txt

$pwd = ConvertTo-SecureString $password -AsPlainText -Force 

New-ADUser -Name $username -Enabled $true -AccountPassword $pwd

Stop-Transcript 
Get-Content "C:\Temp\RunbookLog.txt"

例：Azure AD コネクト同期Runbook

Start-Transcript C:\Temp\RunbookLog.txt
Start-ADSyncSyncCycle -PolicyType Delta
Stop-Transcript
Get-Content　"C:\Temp\RunbookLog.txt"

実行

テストでも既に触れましたが、Hybrid Runbookの実行はPowershell あるいはAzure Portalから、オプションにおいてHybrid Worker Groupを指定して行います。

Powershell の場合はRunOnオプションを用いて以下のようにコマンドレットを実行します。

Start-AzAutomationRunbook 
-AutomationAccountName <AutoAcountName> 
-Name <RunbookName> 
-RunOn <HybridGroupName>

Azure PortalではRunbookの開始画面あるいはスケジュール設定画面において実行設定を[ハイブリッドWorker]にセットし、プルダウンからHybrid Worker Groupを指定します。

また、Hybrid Runbookに限ったことではないですが、Runbookの冒頭にparam($username)　のようにパラメータを設定することで、
Runbook内の引数をこの開始画面から渡すことができます。

Runbookの実行後、Azure ADのログを見ると、ADDSで作成されたユーザーがAzure ADユーザーとして正しく同期されていることがわかります。

AzureリソースへのRunbook認証

Hybrid Runbook WorkerからAzure リソースを管理する場合はRunbook内で認証の手段を用意する必要があります。
これにはAutomation実行アカウント証明書のほか、AzureリソースのマネージドIDを使用することができます。
構成手順は割愛しますが、マネージドIDをWorkerマシンに登録してConnect-AzAccountコマンドレットと-Identityパラメータを使用することで、
コード内に資格情報を格納せずにRunbook認証を構成することができます。

Runbookへの署名

これまではHybrid Runbook Workerに対し、作成したRunbookを自由に発行してきましたが、この構成では不意の、あるいは悪意のある処理がローカル環境に対し実行される恐れがあります。
これを防ぐため、Hybrid Runbook Workerは自身が署名したRunbookにのみ配信を許可するよう構成することが可能です。
署名を検証するようWorkerを構成し、自己署名証明書を作成してインポートしてRunbookに署名するスクリプトがMicrosoftから公開されています。

# Create a self-signed certificate that can be used for code signing
$SigningCert = New-SelfSignedCertificate -CertStoreLocation cert:\LocalMachine\my `
-Subject "CN=contoso.com" `
-KeyAlgorithm RSA `
-KeyLength 2048 `
-Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" `
-KeyExportPolicy Exportable `
-KeyUsage DigitalSignature `
-Type CodeSigningCert

# Export the certificate so that it can be imported to the hybrid workers
Export-Certificate -Cert $SigningCert -FilePath .\hybridworkersigningcertificate.cer

# Import the certificate into the trusted root store so the certificate chain can be validated
Import-Certificate -FilePath .\hybridworkersigningcertificate.cer -CertStoreLocation Cert:\LocalMachine\Root

# Install the certificate into a location that will be used for validation.
Import-Certificate -FilePath .\hybridworkersigningcertificate.cer -CertStoreLocation Cert:\LocalMachine\AutomationHybridStore

# Configure the hybrid worker to use signature validation on runbooks.
Set-HybridRunbookWorkerSignatureValidation -Enable $true -TrustedCertStoreLocation "Cert:\LocalMachine\AutomationHybridStore"

# Retrieve the thumbprint for later use
$SigningCert.Thumbprint

$SigningCert = ( Get-ChildItem -Path cert:\LocalMachine\My\<CertificateThumbprint>)
Set-AuthenticodeSignature .\TestRunbook.ps1 -Certificate $SigningCert

Microsoft Docs- Windows Hybrid Runbook Worker での署名済み Runbook の使用

Runbookへの署名が完了したらAutomationにインポートし、発行します。
インポートされたRunbookには下記画像のように署名ブロックが挿入され、署名のないRunbookの実行は失敗するようになります。

まとめ

以上、Hybrid Runbook Workerの概要とその使用例をご紹介しました。

Hybrid Runbook Workerによって、通常のAzure Automation実行環境ではできなかった処理を実装することができます。

Invoke-Commandコマンドレットを利用してAutomation からローカル環境にリモートバッチを適用したり、 WebhookとLogic Appを用いて運用に合わせたトリガーを構成するなど、Hybrid Runbookの応用の幅はとても広く考えられます。

本稿が皆様のインフラストラクチャ運用の一助になれば幸いです。