Azure Blueprints y cumplimiento

Azure Blueprints es un servicio que permite definir un conjunto repetible de artefactos de gobernanza de Azure —asignaciones de roles, asignaciones de directivas, plantillas de ARM y grupos de recursos— y empaquetarlos en un único objeto versionado. Después puede asignar el blueprint a una suscripción para configurar en cuestión de minutos un entorno totalmente preparado y conforme. Blueprints está diseñado para empresas que necesitan crear entornos estandarizados para nuevos proyectos, equipos o requisitos normativos.

Un blueprint está compuesto por artefactos, que son los componentes básicos del entorno que crea. Los tipos de artefacto compatibles son: Resource Groups (crean grupos de recursos en ubicaciones específicas como contenedores para otros artefactos), ARM Templates (implementan cualquier infraestructura de Azure), Azure Policy Assignments (aplican directivas con parámetros) y RBAC Role Assignments (conceden acceso a usuarios o grupos específicos). Los artefactos pueden depender unos de otros y se implementan en el orden correcto.

Blueprints admite el control de versiones, lo que permite mantener varias versiones publicadas simultáneamente. Al modificar un blueprint, edita el borrador. Cuando el borrador está listo, lo publica como una nueva versión (por ejemplo, v1.0, v1.1 o v2.0) con notas de la versión. Las asignaciones de blueprints existentes conservan la versión con la que se implementaron; puede actualizar explícitamente una asignación a una versión más reciente. Esto permite implementar de forma controlada cambios de gobernanza en distintas suscripciones.

Blueprints admite parámetros que permiten personalizar la misma definición de blueprint en el momento de la asignación, sin crear blueprints independientes para cada variante. Los parámetros se pueden definir en el nivel del blueprint y transferirse a artefactos individuales, o definirse directamente en cada artefacto. Por ejemplo, un parámetro allowedLocations se puede transferir a un artefacto de directiva para que la persona que realiza la asignación especifique qué regiones de Azure están permitidas para cada suscripción sin editar la propia definición del blueprint.

Una asignación de blueprint aplica una versión publicada de un blueprint a una suscripción específica. Durante la asignación, proporciona valores para los parámetros del blueprint, selecciona la identidad administrada asignada por el sistema o por el usuario que el blueprint utilizará para implementar los artefactos (necesita permisos de RBAC suficientes) y elige si los artefactos del blueprint deben quedar bloqueados después de la implementación para impedir que los usuarios de la suscripción los modifiquen.

Las asignaciones de blueprints pueden bloquear los artefactos implementados para impedir que los suscriptores los modifiquen o eliminen. Existen tres modos de bloqueo: None (sin bloqueos), AllResourcesReadOnly (bloqueo ReadOnly en todos los recursos implementados) y AllResourcesDoNotDelete (bloqueo CanNotDelete en todos los recursos implementados). Los bloqueos de blueprint son especiales: no se pueden quitar, ni siquiera por parte de los propietarios de la suscripción, mientras la asignación del blueprint esté activa, lo que proporciona una protección mayor que los bloqueos de recursos estándar.

Azure proporciona blueprints de cumplimiento normativo en la galería de ejemplos de Azure Blueprints para marcos como ISO 27001, NIST SP 800-53, PCI DSS, DoD IL4/IL5, FedRAMP, HIPAA/HITRUST y UK OFFICIAL. Estos blueprints de ejemplo empaquetan las directivas, las asignaciones de roles y las configuraciones de infraestructura necesarias para demostrar el cumplimiento de cada marco. Las organizaciones los usan como punto de partida y los personalizan, además de agregar artefactos específicos de su entorno.

Las plantillas de ARM y Blueprints tienen propósitos diferentes. Una plantilla de ARM implementa infraestructura en un único grupo de recursos o suscripción, sin mantener una conexión continua con los recursos implementados. Una asignación de blueprint mantiene un vínculo activo entre la definición del blueprint y el entorno implementado: puede realizar un seguimiento del estado de la implementación, actualizar a una nueva versión y proteger los artefactos implementados con bloqueos de blueprint que siguen vigentes incluso con RBAC de nivel Owner. Blueprints amplía las plantillas de ARM con funcionalidades específicas de gobernanza.

El acelerador de Azure Landing Zone moderno de Microsoft (parte de Cloud Adoption Framework) utiliza una combinación de plantillas de ARM, Bicep, Terraform y Azure Policy en lugar de Blueprints. Aunque Blueprints sigue disponible, Microsoft está invirtiendo más en enfoques basados en directivas y en IaC para entornos a gran escala. Para implementaciones empresariales complejas, actualmente se prefiere el enfoque de CAF Landing Zone; Blueprints sigue siendo adecuado para plantillas de entornos independientes y de menor escala.

En el panel de Azure Blueprints, cada asignación de blueprint muestra su estado de implementación (Succeeded, Failed, Locking) y el estado de cumplimiento de cada artefacto. Si se produce un error en la implementación de un artefacto, puede consultar el error de implementación de ARM y volver a intentar la asignación. Los artefactos de directiva incluidos en un blueprint informan de su cumplimiento mediante el panel estándar de cumplimiento de Azure Policy, por lo que obtiene una visibilidad unificada tanto del éxito de la implementación como del cumplimiento continuo de los recursos.

Para retirar un entorno administrado por un blueprint, primero debe eliminar la asignación del blueprint. Esto quita los bloqueos del blueprint de todos los artefactos implementados y rompe el vínculo entre la definición del blueprint y los recursos implementados, pero no elimina los recursos implementados. Después, limpia los recursos de ARM por separado según su proceso de administración de cambios. Para eliminar la definición del blueprint, primero debe eliminar todas las asignaciones.

Compruebe sus conocimientos sobre los conceptos de Microsoft Azure Fundamentals (AZ-900) tratados en esta lección.

En esta lección ha aprendido que: Azure Blueprints empaqueta asignaciones de directivas, asignaciones de roles, plantillas de ARM y grupos de recursos en un objeto de gobernanza versionado y reutilizable; los bloqueos de blueprint protegen los artefactos implementados frente a modificaciones, incluso por parte de los propietarios de la suscripción; y los blueprints de cumplimiento normativo de la galería de ejemplos aceleran el cumplimiento de marcos como ISO 27001 y PCI DSS. Ya ha completado el curso de Azure Governance; a continuación, aprenderá sobre Azure Resource Manager e Infrastructure as Code.