Azure Policy

Azure Policy ist ein Governance-Dienst, mit dem Sie Regeln – sogenannte Richtliniendefinitionen – definieren, zuweisen und verwalten können, die die Konfiguration von Azure-Ressourcen steuern oder überprüfen. Im Gegensatz zu RBAC, das steuert, wer Aktionen ausführen darf, steuert Azure Policy, wie die resultierende Ressourcenkonfiguration aussehen darf. Sie können damit Organisationsstandards wie Namenskonventionen, genehmigte Ressourcentypen und erforderliche Sicherheitskonfigurationen durchsetzen.

Eine Richtliniendefinition ist ein JSON-Dokument, das eine Bedingung definiert, die für eine Ressource ausgewertet wird, sowie einen Effekt, der angewendet wird, wenn die Bedingung erfüllt ist. Azure stellt Hunderte integrierte Richtliniendefinitionen für häufige Szenarien bereit. Sie können auch benutzerdefinierte Richtliniendefinitionen erstellen, wenn integrierte Richtlinien Ihre Anforderungen nicht erfüllen. Richtliniendefinitionen sind wiederverwendbare Objekte, die einem Bereich zunächst zugewiesen werden müssen, bevor sie wirksam werden.

Der Effekt in einer Richtliniendefinition bestimmt, was geschieht, wenn die Richtlinienbedingung ausgelöst wird. Zu den wichtigsten Effekten gehören: Deny – blockiert die Erstellung oder Aktualisierung einer Ressource, die gegen die Richtlinie verstößt; Audit – lässt die Aktion zu, protokolliert aber eine Warnung im Compliancebericht; Append – fügt einer Ressource vor der Erstellung erforderliche Felder (z. B. Tags) hinzu; Modify – ändert eine Eigenschaft vorhandener oder neuer Ressourcen; DeployIfNotExists – stellt eine zugehörige Ressource bereit, wenn eine Bedingung nicht erfüllt ist (z. B. eine Diagnoseerweiterung für jede VM).

Eine Richtlinienzuweisung wendet eine Richtliniendefinition auf einen bestimmten Bereich an: Verwaltungsgruppe, Abonnement oder Ressourcengruppe. Alle Ressourcen innerhalb dieses Bereichs und untergeordneter Bereiche werden anhand der zugewiesenen Richtlinie ausgewertet. Zuweisungen können Parameter enthalten. Beispielsweise kann eine Richtlinie, die zulässige Azure-Regionen einschränkt, parametrisiert werden, sodass dieselbe Definition verschiedenen Verwaltungsgruppen mit jeweils unterschiedlichen Regionslisten zugewiesen wird.

Eine Initiativdefinition (auch als Richtliniensatz bezeichnet) gruppiert mehrere zusammengehörige Richtliniendefinitionen in einem einzigen zuweisbaren Paket. Statt 20 einzelne Richtlinien zuzuweisen, weisen Sie eine Initiative zu. Azure stellt integrierte Initiativen für Compliance-Frameworks wie ISO 27001, NIST SP 800-53, Azure Security Benchmark und PCI DSS bereit. Wenn Sie beispielsweise die Initiative CIS Microsoft Azure Foundations Benchmark zuweisen, wird Ihr Abonnement gleichzeitig anhand von mehr als 180 Sicherheitskontrollen ausgewertet.

Nach der Zuweisung einer Richtlinie wertet Azure alle vorhandenen Ressourcen im Bereich aus und erstellt einen Compliancebericht. Der Bericht zeigt den Gesamt-Compliancegrad (konforme Ressourcen / Gesamtzahl der Ressourcen), den Compliancezustand jeder Ressource und die spezifischen Richtlinienbedingungen, die nicht erfüllt wurden. Sie können nach Richtlinieninitiative, Bereich oder Ressourcentyp filtern. Nicht konforme Ressourcen werden zusammen mit der genauen Richtlinienregel aufgeführt, gegen die sie verstoßen haben, und erleichtern so die Behebung.

Bei Richtlinien mit dem Effekt DeployIfNotExists oder Modify kann Azure Korrekturmaßnahmen erstellen, um vorhandene nicht konforme Ressourcen konform zu machen. Beispielsweise kann für eine DeployIfNotExists-Richtlinie, die auf jeder VM einen Log Analytics-Agent bereitstellt, eine Korrekturmaßnahme ausgelöst werden, um den Agent auf allen vorhandenen VMs zu installieren, auf denen er derzeit fehlt. Neue Ressourcen werden bei der Erstellung automatisch korrigiert; für vorhandene Ressourcen ist eine explizite Korrekturmaßnahme erforderlich.

Manchmal müssen bestimmte Ressourcen berechtigterweise von einer Richtlinie ausgenommen werden – etwa eine Legacyressource, die nicht geändert werden kann, oder eine genehmigte Ausnahme, die in einer Änderungsanforderung dokumentiert ist. Mit Richtlinienausnahmen können Sie eine bestimmte Ressource oder Ressourcengruppe von einer Richtlinienzuweisung ausnehmen, ohne die Richtlinie global zu entfernen. Ausnahmen können ein optionales Ablaufdatum und eine Kategorie (Waiver oder Mitigated) enthalten, um den Grund für die Ausnahme zu dokumentieren.

DeployIfNotExists ist einer der leistungsfähigsten Richtlinieneffekte. Wenn eine Ressource ohne eine erforderliche zugehörige Ressource erstellt wird (z. B. eine VM ohne Diagnoseerweiterung), löst die Richtlinie automatisch eine Bereitstellung einer ARM-Vorlage aus, um die fehlende Komponente hinzuzufügen. Dadurch wird Azure Policy zu einem Tool für die automatische Konfigurationsverwaltung: Jede VM verfügt stets über Monitoring-Agents, jedes Speicherkonto über erweiterten Bedrohungsschutz und jede SQL-Datenbank über aktivierte Überwachung.

Organisationen verwenden Azure Policy für zahlreiche Governance-Szenarien. Standorteinschränkungen – Ressourcen dürfen zum Schutz der Datensouveränität nur in genehmigten Azure-Regionen erstellt werden. Zulässige Ressourcentypen – die Bereitstellung teurer oder nicht genehmigter Dienste wird verhindert. Durchsetzung von Tags – für alle Ressourcen werden CostCentre- und Environment-Tags verlangt. SKU-Einschränkungen – in Nichtproduktionsabonnements werden VM-Größen auf kostengerechte Tarife beschränkt. Sicherheitsbaselines – TLS 1.2 als Mindestversion wird durchgesetzt, der öffentliche Netzwerkzugriff auf Speicherkonten deaktiviert und private Endpunkte werden verlangt.

Es ist wichtig, die unterschiedlichen Aufgaben von RBAC und Azure Policy zu verstehen. RBAC steuert, wer Vorgänge ausführen darf – es gewährt oder verweigert Aktionen auf Grundlage der Identität. Azure Policy steuert, wie die Ressourcenkonfiguration aussehen muss – sie wertet Eigenschaften unabhängig davon aus und setzt sie durch, wer die Aktion ausführt. In einer gut verwalteten Umgebung werden beide benötigt: RBAC stellt sicher, dass nur autorisierte Personen Ressourcen bereitstellen, und Azure Policy stellt sicher, dass diese Ressourcen den Konfigurationsstandards entsprechen.

Testen Sie Ihr Verständnis der Konzepte von Microsoft Azure Fundamentals (AZ-900) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Azure Policy definiert Bedingungen und Effekte, um die Ressourcenkonfiguration in jedem Bereich zu steuern, Initiativdefinitionen bündeln mehrere Richtlinien in einem einzigen zuweisbaren Compliancepaket und DeployIfNotExists ermöglicht die automatische Durchsetzung von Konfigurationen für fehlende Komponenten im großen Maßstab. Als Nächstes sehen wir uns Ressourcen-Tags und Ressourcensperren zum Schutz von Azure-Ressourcen an.