Cómo funciona Azure Resource Manager

Azure Resource Manager (ARM) es el servicio de implementación y administración de Azure. Cada acción que realiza en Azure Portal, la CLI, PowerShell o la API REST pasa por ARM. Actúa como un plano de control centralizado que autentica, autoriza y enruta todas las operaciones de los recursos.

Cuando envía una solicitud para crear un recurso, ARM la intercepta, verifica su identidad mediante Microsoft Entra ID, comprueba los permisos de RBAC, aplica las reglas de Azure Policy y, a continuación, reenvía la solicitud validada al proveedor de recursos correspondiente. El proveedor de recursos (por ejemplo, Microsoft.Compute) realiza la operación y devuelve el resultado a ARM.

Los servicios de Azure se exponen mediante proveedores de recursos, cada uno identificado por un espacio de nombres como Microsoft.Storage o Microsoft.Network. Cada tipo de recurso (por ejemplo, Microsoft.Storage/storageAccounts) debe estar registrado en su suscripción antes de poder crear instancias de él. La mayoría de los proveedores se registran automáticamente cuando utiliza por primera vez el servicio relacionado.

Un grupo de recursos es un contenedor lógico que contiene recursos de Azure relacionados. Todos los recursos de un grupo comparten el mismo ciclo de vida: puede implementarlos, actualizarlos y eliminarlos juntos. Los grupos de recursos también sirven como ámbito predeterminado para las asignaciones de RBAC y el seguimiento de costos. Todos los recursos de Azure deben pertenecer exactamente a un grupo de recursos.

ARM aplica el control de acceso basado en roles (RBAC) en todos los ámbitos: grupo de administración, suscripción, grupo de recursos o recurso individual. Los roles integrados, como Owner, Contributor y Reader, cubren la mayoría de los escenarios. ARM evalúa las asignaciones de roles desde el ámbito más amplio hacia abajo, y las asignaciones de denegación pueden bloquear los permisos heredados.

Cada operación que se enruta a través de ARM se registra en el registro de actividad de Azure. El registro de actividad recoge quién realizó la operación, qué recurso se vio afectado, cuándo tuvo lugar la operación y si se realizó correctamente o produjo un error. De forma predeterminada, los registros de actividad se conservan durante 90 días y pueden archivarse en una cuenta de Storage o transmitirse a Log Analytics para conservarlos durante más tiempo.

ARM admite estilos de implementación tanto declarativos como imperativos. Las implementaciones declarativas utilizan plantillas de ARM o Bicep para describir el estado final deseado; ARM determina las operaciones necesarias para alcanzarlo. Las implementaciones imperativas utilizan comandos de CLI o PowerShell paso a paso. Se prefieren las implementaciones declarativas por su repetibilidad, control de versiones e idempotencia.

Las implementaciones de plantillas de ARM pueden ejecutarse en dos modos. El modo incremental (el predeterminado) agrega o actualiza los recursos definidos en la plantilla, pero deja sin cambios los recursos que ya están en el grupo y no aparecen en la plantilla. El modo completo elimina los recursos del grupo de recursos que no estén definidos en la plantilla, de modo que el grupo coincida exactamente con ella. Utilícelo con precaución.

Una plantilla de ARM es un documento JSON con seis secciones principales: $schema (versión de la plantilla), contentVersion, parameters (entradas), variables (valores calculados), resources (elementos que se implementarán) y outputs (valores que se devolverán). La matriz de recursos contiene un objeto por cada recurso de Azure, y cada uno especifica el tipo, la versión de API, el nombre, la ubicación y las propiedades.

Al implementar varios recursos, ARM puede implementar los recursos independientes en paralelo de forma predeterminada, lo que acelera las implementaciones. Cuando un recurso depende de otro (por ejemplo, una máquina virtual necesita una NIC y la NIC necesita una VNet), debe declarar explícitamente la dependencia con dependsOn. ARM resuelve el grafo de dependencias y secuencia las operaciones en consecuencia.

Antes de ejecutar una implementación, utilice la operación what-if para previsualizar los cambios que realizará ARM sin aplicarlos realmente. La salida muestra los recursos que se crearán, modificarán o eliminarán, con colores según el tipo de cambio. Esto resulta especialmente útil antes de ejecutar una implementación en modo completo o realizar cambios en entornos de producción.

Compruebe su comprensión de los conceptos de Microsoft Azure Fundamentals (AZ-900) de esta lección.

En esta lección ha aprendido que Azure Resource Manager es la capa de administración centralizada de todos los recursos de Azure; los grupos de recursos son contenedores lógicos que agrupan recursos con un ciclo de vida compartido; y las implementaciones de ARM pueden ejecutarse en modo incremental o completo, con compatibilidad para la previsualización mediante what-if. A continuación, exploraremos cómo escribir plantillas de ARM.