Azure Arc エージェントが有効期限切れになった場合の復旧方法

株式会社テイクーワンのK.Gです。
Azure Arc エージェントが有効期限切れになった場合の復旧方法について解説していきます。

はじめに

Azure Arc-enabled servers では、オンプレミスサーバーや他クラウド上のサーバー、端末を Azure の管理対象として扱うことができます。
そのためにサーバー上には Azure Connected Machine Agent、いわゆる Arc エージェントが導入されます。

この Arc エージェントは Azure と通信するために、Azure Arc-enabled server に割り当てられるシステム割り当てマネージド ID を使用します。
各 Arc-enabled server には Microsoft Entra ID の system-assigned managed identity が関連付けられ、エージェントはこの ID を使って Azure に認証します。

この認証に使われる証明書には有効期限があります。
今回は、この証明書が期限切れとなり、Arc エージェントの状態が有効期限切れになった場合の原因と復旧方法を整理します。

参考
ID と承認 - Azure Arc

Arc エージェントの証明書有効期限

Azure Arc-enabled server のマネージド ID を裏付ける証明書は、90日間有効です。
エージェントは、証明書の有効期限が残り45日以下になると、自動的に証明書の更新を試みます。

ただし、サーバーが長期間オフラインであったり、プロキシやファイアウォールの影響で Azure Arc のエンドポイントに接続できない状態が続くと、自動更新ができません。

そのまま90日を超えると証明書が期限切れとなり、Arc エージェントも有効期限切れ状態になります。

状態確認コマンド

対象機器上でArcエージェントの状態を確認します。

azcmagent show

ネットワーク到達性も確認する場合は以下を実行します。

azcmagent check

証明書ファイルの確認

Windows の場合、Arc エージェントの証明書は以下のディレクトリに保存されます。

C:\ProgramData\AzureConnectedMachineAgent\Certs\

Linux の場合は以下です。

/var/opt/azcmagent/certs

ただし、証明書ファイルを手動で削除・差し替え・権限変更することは避けるべきです。Microsoft Learn でも、『証明書ファイルへのアクセスの変更や、独自の証明書への変更を行わない』と案内されています。

復旧方法：削除して再オンボードする

有効期限切れ状態になった場合、証明書だけを強制更新するコマンドは基本的にありません。(2026/05/12)
そのため、復旧するには Arc の登録状態を一度削除し、再オンボードします。

1.Arcリソースを削除する

対象サーバー上で管理者権限の PowerShell を開き、以下を実行します。

azcmagent disconnect

Azure 側の Arc リソースが既に削除済みで、ローカル状態だけをクリアしたい場合は以下を使います。

azcmagent disconnect --force-local-only

再オンボード前に、Azure Portalで同名の Arc-enabled server リソースが残っていないことを確認します。残っている場合は削除します。

2.再オンボード

再度 azcmagent connect を実行します。

azcmagent connect --subscription-id "サブスクリプションID" --tenant-id "テナントID" --resource-group "リソースグループ名" --location "リージョン"

※Private Link Scope を使用している場合
Azure Arc Private Link Scope を使っている環境では、azcmagent connect に --private-link-scope を指定する必要があります。

azcmagent connect --subscription-id "サブスクリプションID" --tenant-id "テナントID" --resource-group "リソースグループ名" --location "リージョン" --private-link-scope "Private LinkID"

トラブルシュート中は --verbose を付けると詳細ログが出るため便利です。--verbose は azcmagent の共通フラグで、コマンド実行時に詳細なログ情報を表示するためのものです。

参考
azcmagent connect - Azure Arc

再オンボード時の注意点

再オンボードすると、Azure 側では新しい Arc リソース、または新しいマネージド ID として扱われる可能性があります。
azcmagent disconnect は Azure 側の Arc-enabled server リソースを削除し、ローカル状態をリセットする動作です。
そのため、再オンボード後は以下の設定を確認します。

・タグ
・RBAC
・Azure Policy 割り当て
・Data Collection Rule の関連付け
・Azure Monitor Agent
・Defender for Cloud
・Microsoft Sentinel 連携
・VM extensions
・Private Link Scope
・プロキシ設定

また、Arc-enabled server に拡張機能を展開していた場合、エージェントをアンインストールしても拡張機能は自動では削除されず、再接続後に以前の拡張機能が認識されない場合があります。

参考
Arc 対応サーバーから Azure Connected Machine エージェントをアンインストールする - Azure Arc

まとめ

Azure Arc エージェントのマネージド ID 証明書は 90日間有効で、残り有効期間が 45日以下になると自動更新が試みられます。

しかし、長期間オフラインだった場合や、プロキシ・ファイアウォール・Private Link Scope の設定不備などで Azure に接続できない状態が続くと、証明書が更新されず、最終的に有効期限切れ状態になります。

有効期限切れ状態になると、自動再接続はできません。(2026/05/12)
復旧するには、Azure Arc リソースを削除し、ローカルの Arc 登録状態をクリアしたうえで、再度 azcmagent connect によりオンボードする必要があります。