Pexon Consulting, Azure Operations | 8 Min. Lesezeit | 01.09.2026
TL;DR
Azure SRE Agent Live Reports sind Public Preview: Sie beschreiben die operative Sicht im Chat, der Agent baut das Layout und lädt die Daten bei jedem Öffnen neu. Die VNet-Integration ist seit dem 25. August 2026 allgemein verfügbar und steuert nur den Outbound des Agenten in Ihr virtuelles Netz.
Zwei Ankündigungen, zwei Reifegrade
Seit Ende August 2026 sind zwei Dinge getrennt zu bewerten. Live Reports: einmal im Chat beschreiben, Layout bleibt, Daten kommen beim Öffnen frisch. VNet-Integration: der Agent erreicht Ressourcen hinter Private Endpoints, ohne Ihr Netz nach außen zu öffnen. Beides sitzt auf demselben Agent, ist aber nicht dasselbe Feature.
Nicht vermischen mit Daily Reports (einmal täglich generierte Zusammenfassung) und Operations Hub (Agent-KPIs). Nur Live Reports so nennen.
Trial seit demselben Launch: 30 Tage ohne Always-on, maximal drei Agenten, Stichtag 25.08.2026, nur Kunden ohne SRE Agent zu diesem Datum. Active Flow bleibt. Details zur Implementierung auf der Seite zum Azure SRE Agent.
Ein Betriebsleiter in der Medizintechnik: wenn ich am Montag feststelle, seit Freitag ist der Alarm rot, ist mir nicht so viel geholfen. Das ist Morgenlage, keine Bestellung von Live Reports.
Live Reports (Public Preview): frozen structure, live data
Ops-Teams stellen dieselben Fragen: Was brennt, was kam über Nacht, wer hat Bereitschaft. Bisher Tabs, Skript oder ein Chat-Prompt, den jemand täglich neu tippt.
Einmal bauen
Live Reports Tab, New report, Szenario im Chat. Der Agent prüft vorhandene Connectoren, fragt nach, erzeugt Layout. Tool-Rechte reviewen, dann Gallery.
Layout fest, Daten frisch
Beim Öffnen laufen die eingebetteten Tool-Calls neu. Reload umgeht den Cache (bis 5 Minuten). Charts und Spalten bleiben stehen.
Tokens sitzen am Autor
Erzeugen und Ändern verbraucht Active-Flow-AAU. Reines Reload über Connectoren in der Regel nicht. Eine optionale Modell-Zusammenfassung auf dem Report kostet wieder AAU. Preview hat kein per-Report-Budget.
Nur Connectoren, die schon da sind
Ein Report legt keinen Connector an und erweitert keine Rechte. Wer Monitor, ServiceNow oder GitHub nicht angebunden hat, bekommt sie nicht durch den Chat.
Versionen
Jede Änderung ist eine neue Version. Open authoring thread zeigt, wie die Zahlen definiert wurden. Alte Versionen halten Layout, nicht historische Daten.
Buttons sind keine offene Shell
Vorab freigegebene Tools (Acknowledge, Ticket). Keine beliebigen URLs. Sandbox, Allowlist pro Version.
Limits der Preview
Report-HTML maximal 10 MB. Cross-Tenant-Approvals gehen nicht. HTML-Download ist ein statischer Snapshot ohne Tool-Calls. Kein alleiniger regulatorischer Nachweis. Public Preview, kein Ersatz für Ihr SIEM.
VNet-Integration (GA): der Agent sieht, was das Subnetz sehen darf
Ohne VNet-Mode geht Outbound über das öffentliche Internet. Mit Azure-VNet-Mode läuft nicht-plattformseitiger Outbound durch ein delegiertes Subnetz in Ihrem VNet. Traffic folgt NSG, Firewall, Private DNS, Netz-Logs.
Wann Sie VNet-Mode brauchen
Log Analytics, AKS-API, Datenbanken oder interne APIs hinter Private Endpoints oder AMPLS. Egress-Pflicht durch Firewall. On-Prem über ExpressRoute oder VPN. Hub-Spoke, den der Agent sonst nicht erreicht. Netz-Themen im Cluster: Private Link und Netzisolation, ExpressRoute Setup.
Wann Unrestricted reicht
Dev/Test, öffentliche PaaS-Endpunkte. Default. Control Plane (ARM, öffentliche Monitor-Metriken) läuft auch ohne VNet, so die Learn FAQ.
Drei Modi
- Unrestricted: Default. Öffentliche PaaS-Endpunkte, Dev/Test.
- Limited: Outbound nur gegen eine URL-Allowlist.
- Azure VNet: nicht-plattformseitiger Outbound durch ein delegiertes Subnetz. Nach dem Connect bleibt der Agent im VNet-Mode, bis Sie das VNet trennen.
Drei Fragen vor dem ersten Azure SRE Agent Live Reports im Tenant:
- Liegen Log Analytics, AKS-API oder Datenbanken hinter Private Endpoints? Dann VNet-Mode, nicht Unrestricted.
- Welche Connectoren sind schon da? Ein Live Report legt keinen Connector an.
- Wer darf Reports autorisieren? Bauen kostet Active-Flow-AAU, Zuschauen in der Regel nicht.
Subnetz-Pflicht
Leer, dediziert, /27 oder größer, gleiche Region wie der Agent, Delegation Microsoft.App/environments. Nicht mit anderen Diensten teilen.
Was nicht durchs VNet geht
Connector-Traffic läuft über das öffentliche Internet. Inbound auf den Agent per Private Endpoint wird nicht unterstützt. Plattformdienste (Orchestrierung, Modell-Endpunkte, Telemetrie) laufen über Microsofts Infra-Netz. GitHub, PyPI, MCP brauchen Infra-Toggles oder FQDN-Firewallregeln. Für regulierte Häuser diese Einschränkung ehrlich nennen, nicht schönreden.
Inspect und Network Audit
Settings, Workspace configuration, Inspect. Workspace-Shell testet Erreichbarkeit. Network Audit zeigt Allow/Deny der Egress-Policy. Ersetzt nicht Firewall-, DNS- oder Proxy-Logs.
Nicht Azure Bastion
Bastion bringt einen Menschen an eine private AKS-API oder VM. Die VNet-Integration des SRE Agent steuert nur den Outbound des Agenten beim Untersuchen. Bastion ersetzt den Agenten nicht, der Agent ersetzt Bastion nicht. Getrennte Produkte, getrennte Keywords.
Trial und AAU, nur soweit der Launch sie ändert
30 Tage ohne Always-on, maximal drei Agenten, Stichtag 25.08.2026, Active Flow bleibt. Live Reports: Bauen kostet, Zuschauen laut Doku in der Regel nicht. Always-on (4 AAU pro Agent-Stunde) läuft unabhängig, außer im Trial. Keine zweite Preistabelle; die sitzt auf der Implementierungsseite.
Regionen, ein Satz
Die Agent-Region bestimmt, wo der Compute läuft, nicht wo Ihre Workloads stehen. Learn supported-regions ist länger als die FAQ. Kein Germany West Central und kein Germany North in der Tabelle (Stand 01.09.2026). Vor Go-Live im Portal prüfen.
Häufige Fragen
Was tun Live Reports im Azure SRE Agent?
Sie beschreiben die operative Sicht im Chat, der Agent baut das Layout und speichert es. Charts und Spalten bleiben stehen. Beim Öffnen holen die Connector-Aufrufe aktuelle Daten. Bauen kostet Active-Flow-AAU, reines Reload in der Regel nicht. Eine optionale Modell-Zusammenfassung auf dem Report kostet wieder AAU. Public Preview, kein Ersatz für Ihr SIEM.
Ist die VNet-Integration des Azure SRE Agent schon GA?
Ja, seit dem 25. August 2026. Sie steuert den Outbound des Agenten durch ein delegiertes Subnetz. Private Endpoints, NSG, Firewall und Private DNS gelten dann wie für jeden anderen Workload in diesem Netz. Live Reports bleiben Preview, das Produkt selbst ist seit März 2026 GA.
Braucht der Azure SRE Agent immer ein VNet?
Nein. Unrestricted reicht für öffentliche PaaS-Endpunkte und Tests. VNet-Mode brauchen Sie, wenn relevante Datenstores oder APIs hinter Private Endpoints liegen oder Egress durch die Firewall muss. Der Agent sieht dann, was das Subnetz erreichen darf, und nichts darüber hinaus.
Unterscheidet sich SRE-Agent-VNet von Azure Bastion?
Ja, vollständig. Bastion bringt einen Menschen an eine private AKS-API oder VM. Die VNet-Integration des SRE Agent steuert nur den Outbound des Agenten beim Untersuchen. Bastion ersetzt den Agenten nicht, der Agent ersetzt Bastion nicht.
Fließt der Connector-Traffic auch durch mein VNet?
Laut Learn network-integration: nein. Connector-Traffic läuft über das öffentliche Internet. Plattformdienste ebenfalls über Microsofts Infra-Netz. Wer das für regulierte Workloads nicht akzeptieren kann, muss den Scope der angebundenen SaaS-Connectoren eng halten oder auf den Agent verzichten.
Was kostet ein Live Report?
Kein Extra-Preisprodukt. Autorisieren und Ändern verbraucht Active-Flow-AAU. Öffnen ohne Modell-Zusammenfassung laut Microsoft in der Regel nicht. Preview ohne per-Report-Budget. Always-on (4 AAU pro Agent-Stunde) läuft unabhängig, außer im 30-Tage-Trial für Neukunden ohne Agent zum 25.08.2026.
Wohin als Nächstes
Azure SRE Agent implementieren: Response-Pläne, Runbooks, Connectoren, VNet und Governance. Nächster Schritt: Implementierungsseite.
Incident von Alert bis Code in der Microsoft-Demo: Azure SRE Agent, Incident-Lifecycle.
Hub: Azure Consulting. Monitor-Betrieb: Azure Monitor im Enterprise.
Quellen: Learn live-reports, Learn network-integration, Learn evaluate, Tech Community Live Reports, Tech Community VNet GA.
