Azure Policy

Azure Policy es un servicio de gobernanza que permite definir, asignar y administrar reglas, denominadas definiciones de directiva, que controlan o auditan la configuración de los recursos de Azure. A diferencia de RBAC, que controla quién puede realizar acciones, Azure Policy controla qué configuración puede tener el recurso resultante. Puede utilizarlo para imponer estándares de la organización, como convenciones de nomenclatura, tipos de recursos aprobados y configuraciones de seguridad obligatorias.

Una definición de directiva es un documento JSON que define una condición que se evaluará en un recurso y un efecto que se aplicará cuando se cumpla la condición. Azure proporciona cientos de definiciones de directiva integradas para escenarios habituales. También puede crear definiciones de directiva personalizadas cuando las directivas integradas no se ajusten a sus requisitos. Las definiciones de directiva son objetos reutilizables que deben asignarse a un ámbito para que surtan efecto.

El efecto de una definición de directiva determina qué ocurre cuando se activa la condición de la directiva. Entre los efectos principales se incluyen: Deny: bloquea la creación o actualización del recurso que infringe la directiva; Audit: permite la acción, pero registra una advertencia en el informe de cumplimiento; Append: agrega campos obligatorios (como etiquetas) a un recurso antes de crearlo; Modify: cambia una propiedad de recursos existentes o nuevos; DeployIfNotExists: implementa un recurso relacionado si no se cumple una condición (por ejemplo, una extensión de diagnóstico en cada VM).

Una asignación de directiva aplica una definición de directiva a un ámbito específico: grupo de administración, suscripción o grupo de recursos. Todos los recursos de ese ámbito (y de los ámbitos secundarios) se evalúan según la directiva asignada. Las asignaciones pueden incluir parámetros; por ejemplo, una directiva que restrinja las regiones de Azure permitidas puede parametrizarse para asignar la misma definición con distintas listas de regiones en diferentes grupos de administración.

Una definición de iniciativa (también denominada conjunto de directivas) agrupa varias definiciones de directiva relacionadas en un único paquete asignable. En lugar de asignar 20 directivas individuales, asigna una iniciativa. Azure proporciona iniciativas integradas para marcos de cumplimiento como ISO 27001, NIST SP 800-53, Azure Security Benchmark y PCI DSS. Por ejemplo, al asignar la iniciativa CIS Microsoft Azure Foundations Benchmark, se evalúa la suscripción con respecto a más de 180 controles de seguridad simultáneamente.

Después de asignar una directiva, Azure evalúa todos los recursos existentes en el ámbito y genera un informe de cumplimiento. El informe muestra el porcentaje total de cumplimiento (recursos conformes / recursos totales), el estado de cumplimiento de cada recurso y las condiciones específicas de la directiva que no se cumplieron. Puede filtrar por iniciativa de directiva, ámbito o tipo de recurso. Los recursos no conformes aparecen con la regla exacta de la directiva que infringieron, lo que facilita su corrección.

Para las directivas con el efecto DeployIfNotExists o Modify, Azure puede crear tareas de corrección para que los recursos existentes no conformes cumplan la directiva. Por ejemplo, una directiva DeployIfNotExists que implemente un agente de Log Analytics en cada VM puede activar una tarea de corrección para instalar el agente en todas las VM existentes que aún no lo tengan. Los recursos nuevos se corrigen automáticamente al crearse; los recursos existentes necesitan una tarea de corrección explícita.

En ocasiones, algunos recursos necesitan legítimamente quedar excluidos de una directiva: por ejemplo, un recurso heredado que no se puede modificar o una excepción aprobada y documentada en una solicitud de cambio. Las exenciones de directiva permiten excluir un recurso o grupo de recursos específico de una asignación de directiva sin quitar la directiva globalmente. Las exenciones tienen una fecha de expiración opcional y una categoría (Waiver o Mitigated) para documentar el motivo de la excepción.

DeployIfNotExists es uno de los efectos de directiva más potentes. Cuando se crea un recurso sin un recurso relacionado obligatorio (por ejemplo, una VM sin una extensión de diagnóstico), la directiva desencadena automáticamente una implementación de plantilla de ARM para agregar el componente que falta. Esto permite que Azure Policy se convierta en una herramienta automática de administración de la configuración: garantiza que cada VM tenga siempre agentes de supervisión, que cada cuenta de almacenamiento tenga siempre protección avanzada contra amenazas y que cada SQL Database tenga siempre habilitada la auditoría.

Las organizaciones utilizan Azure Policy en muchos escenarios de gobernanza. Restricciones de ubicación: permiten recursos únicamente en regiones de Azure aprobadas para garantizar la soberanía de los datos. Tipos de recursos permitidos: impiden implementar servicios costosos o no aprobados. Imposición de etiquetas: exigen las etiquetas CostCentre y Environment en todos los recursos. Restricciones de SKU: limitan los tamaños de VM a niveles adecuados para el coste en las suscripciones que no son de producción. Líneas base de seguridad: imponen TLS 1.2 como mínimo, deshabilitan el acceso de red público en las cuentas de almacenamiento y exigen puntos de conexión privados.

Es importante comprender las distintas funciones de RBAC y Azure Policy. RBAC controla quién puede realizar operaciones: concede o deniega acciones según la identidad. Azure Policy controla cómo debe ser la configuración del recurso: evalúa e impone propiedades independientemente de quién realice la acción. Ambos son necesarios en un entorno bien gobernado: RBAC garantiza que solo las personas autorizadas implementen recursos y Azure Policy garantiza que esos recursos cumplan los estándares de configuración.

Compruebe sus conocimientos sobre los conceptos de Microsoft Azure Fundamentals (AZ-900) de esta lección.

En esta lección ha aprendido que Azure Policy define condiciones y efectos para controlar la configuración de los recursos en cualquier ámbito, que las definiciones de iniciativas agrupan varias directivas en un único paquete de cumplimiento asignable y que DeployIfNotExists permite imponer automáticamente la configuración de los componentes que faltan a escala. A continuación, exploraremos las etiquetas de recursos y los bloqueos de recursos para proteger los recursos de Azure.