So funktioniert Azure Resource Manager

Azure Resource Manager (ARM) ist der Bereitstellungs- und Verwaltungsdienst für Azure. Jede Aktion, die Sie im Azure-Portal, über die CLI, PowerShell oder die REST-API ausführen, wird über ARM geleitet. ARM fungiert als zentralisierte Steuerungsebene, die jeden Ressourcenvorgang authentifiziert, autorisiert und weiterleitet.

Wenn Sie eine Anforderung zum Erstellen einer Ressource senden, fängt ARM sie ab, überprüft Ihre Identität über Microsoft Entra ID, prüft die RBAC-Berechtigungen, wendet alle Azure Policy-Regeln an und leitet die validierte Anforderung anschließend an den entsprechenden Ressourcenanbieter weiter. Der Ressourcenanbieter (z. B. Microsoft.Compute) führt den eigentlichen Vorgang aus und gibt das Ergebnis an ARM zurück.

Azure-Dienste werden über Ressourcenanbieter bereitgestellt, die jeweils durch einen Namespace wie Microsoft.Storage oder Microsoft.Network identifiziert werden. Jeder Ressourcentyp (z. B. Microsoft.Storage/storageAccounts) muss in Ihrem Abonnement registriert sein, bevor Sie Instanzen dieses Typs erstellen können. Die meisten Anbieter werden automatisch registriert, wenn Sie den zugehörigen Dienst erstmals verwenden.

Eine Ressourcengruppe ist ein logischer Container für zusammengehörige Azure-Ressourcen. Alle Ressourcen in einer Gruppe haben denselben Lebenszyklus — Sie können sie gemeinsam bereitstellen, aktualisieren und löschen. Ressourcengruppen dienen außerdem als Standardbereich für RBAC-Zuweisungen und die Kostenverfolgung. Jede Azure-Ressource muss genau einer Ressourcengruppe angehören.

ARM erzwingt die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) auf jeder Ebene: Verwaltungsgruppe, Abonnement, Ressourcengruppe oder einzelne Ressource. Integrierte Rollen wie Owner, Contributor und Reader decken die meisten Szenarien ab. ARM wertet Rollenzuweisungen vom übergeordneten zum untergeordneten Bereich aus. Verweigerungszuweisungen können geerbte Berechtigungen blockieren.

Jeder über ARM weitergeleitete Vorgang wird im Azure-Aktivitätsprotokoll aufgezeichnet. Das Aktivitätsprotokoll erfasst, wer den Vorgang ausgeführt hat, welche Ressource betroffen war, wann der Vorgang stattfand und ob er erfolgreich war oder fehlgeschlagen ist. Aktivitätsprotokolle werden standardmäßig 90 Tage aufbewahrt und können für eine längere Aufbewahrung in einem Storage Account archiviert oder an Log Analytics gestreamt werden.

ARM unterstützt sowohl deklarative als auch imperative Bereitstellungsstile. Bei deklarativen Bereitstellungen beschreiben Sie mit ARM-Vorlagen oder Bicep den gewünschten Zielzustand; ARM ermittelt die dafür erforderlichen Vorgänge. Imperative Bereitstellungen verwenden CLI- oder PowerShell-Befehle in einzelnen Schritten. Deklarative Bereitstellungen werden wegen ihrer Wiederholbarkeit, Versionsverwaltung und Idempotenz bevorzugt.

Bereitstellungen von ARM-Vorlagen können in zwei Modi ausgeführt werden. Der inkrementelle Modus (Standard) fügt die in der Vorlage definierten Ressourcen hinzu oder aktualisiert sie, während bereits vorhandene Ressourcen in der Gruppe, die nicht in der Vorlage enthalten sind, unverändert bleiben. Der vollständige Modus löscht alle Ressourcen in der Ressourcengruppe, die nicht in der Vorlage definiert sind, sodass die Gruppe exakt der Vorlage entspricht — verwenden Sie ihn mit Vorsicht.

Eine ARM-Vorlage ist ein JSON-Dokument mit sechs Hauptabschnitten: $schema (Vorlagenversion), contentVersion, parameters (Eingaben), variables (berechnete Werte), resources (bereitzustellende Elemente) und outputs (zurückzugebende Werte). Das Ressourcenarray enthält ein Objekt pro Azure-Ressource. Jedes Objekt gibt Typ, API-Version, Namen, Standort und Eigenschaften an.

Bei der Bereitstellung mehrerer Ressourcen kann ARM standardmäßig unabhängige Ressourcen parallel bereitstellen, wodurch sich Bereitstellungen beschleunigen. Wenn eine Ressource von einer anderen abhängt (z. B. eine VM von einer NIC und die NIC von einem VNet), deklarieren Sie die Abhängigkeit explizit mit dependsOn. ARM löst den Abhängigkeitsgraphen auf und ordnet die Vorgänge entsprechend an.

Verwenden Sie vor dem Ausführen einer Bereitstellung den Vorgang what-if, um eine Vorschau der Änderungen anzuzeigen, die ARM vornehmen wird, ohne sie tatsächlich auszuführen. Die Ausgabe listet Ressourcen auf, die erstellt, geändert oder gelöscht werden, und kennzeichnet sie je nach Änderungstyp farblich. Dies ist besonders nützlich, bevor Sie eine Bereitstellung im vollständigen Modus ausführen oder Änderungen an Produktionsumgebungen vornehmen.

Testen Sie Ihr Verständnis der Konzepte von Microsoft Azure Fundamentals (AZ-900) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Azure Resource Manager ist die zentrale Verwaltungsebene für alle Azure-Ressourcen, Ressourcengruppen sind logische Container für Ressourcen mit gemeinsamem Lebenszyklus, und ARM-Bereitstellungen können im inkrementellen oder vollständigen Modus mit What-if-Vorschau ausgeführt werden. Als Nächstes beschäftigen wir uns mit dem Schreiben von ARM-Vorlagen.