Azure Blueprints et conformité

Azure Blueprints est un service qui vous permet de définir un ensemble reproductible d’artefacts de gouvernance Azure — attributions de rôles, attributions de stratégies, modèles ARM et groupes de ressources — et de les regrouper dans un objet unique doté d’un numéro de version. Vous pouvez ensuite affecter le blueprint à un abonnement afin de mettre en place en quelques minutes un environnement entièrement configuré et conforme. Les blueprints sont conçus pour les entreprises qui doivent créer des environnements standardisés pour de nouveaux projets, équipes ou exigences réglementaires.

Un blueprint est composé d’artefacts, qui constituent les éléments de base de l’environnement qu’il crée. Les types d’artefacts pris en charge sont les suivants : Resource Groups (créent des groupes de ressources dans des emplacements précis pour servir de conteneurs à d’autres artefacts), ARM Templates (déploient toute infrastructure Azure), Azure Policy Assignments (appliquent des stratégies avec des paramètres) et RBAC Role Assignments (accordent l’accès à des utilisateurs ou groupes précis). Les artefacts peuvent dépendre les uns des autres et sont déployés dans l’ordre approprié.

Les blueprints prennent en charge la gestion des versions, ce qui vous permet de conserver simultanément plusieurs versions publiées. Lorsque vous modifiez un blueprint, vous modifiez le brouillon. Une fois le brouillon prêt, vous le publiez comme nouvelle version (par exemple, v1.0, v1.1 ou v2.0), accompagnée de notes de version. Les attributions de blueprint existantes conservent la version avec laquelle elles ont été déployées ; vous pouvez explicitement mettre à niveau une attribution vers une version plus récente. Cela permet de déployer de manière contrôlée les changements de gouvernance sur plusieurs abonnements.

Les blueprints prennent en charge des paramètres qui permettent de personnaliser la même définition de blueprint au moment de l’attribution, sans créer un blueprint distinct pour chaque variante. Les paramètres peuvent être définis au niveau du blueprint et transmis aux différents artefacts, ou être définis directement sur chaque artefact. Par exemple, le paramètre allowedLocations peut être transmis à un artefact de stratégie, afin que la personne effectuant l’attribution indique les régions Azure autorisées pour chaque abonnement sans modifier elle-même la définition du blueprint.

Une assignment de blueprint applique une version publiée d’un blueprint à un abonnement précis. Lors de l’attribution, vous fournissez les valeurs des paramètres du blueprint, sélectionnez l’identité managée affectée par le système ou par l’utilisateur que le blueprint utilise pour déployer les artefacts (elle doit disposer d’autorisations RBAC suffisantes), puis choisissez si les artefacts du blueprint doivent être verrouillés après leur déploiement afin d’empêcher leur modification par les utilisateurs de l’abonnement.

Les attributions de blueprint peuvent verrouiller les artefacts déployés afin d’empêcher les abonnés de les modifier ou de les supprimer. Trois modes de verrouillage existent : None (aucun verrou), AllResourcesReadOnly (verrou ReadOnly sur toutes les ressources déployées) et AllResourcesDoNotDelete (verrou CanNotDelete sur toutes les ressources déployées). Les verrous des blueprints sont particuliers : ils ne peuvent être supprimés, même par les propriétaires de l’abonnement, tant que l’attribution du blueprint est en place. Ils offrent donc une protection plus forte que les verrous de ressources standard.

Azure fournit des blueprints de conformité réglementaire dans la galerie d’exemples Azure Blueprints pour des référentiels tels que ISO 27001, NIST SP 800-53, PCI DSS, DoD IL4/IL5, FedRAMP, HIPAA/HITRUST et UK OFFICIAL. Ces blueprints d’exemple regroupent les stratégies, les attributions de rôles et les configurations d’infrastructure nécessaires pour démontrer la conformité à chaque référentiel. Les organisations les utilisent comme point de départ, puis les personnalisent et ajoutent les artefacts propres à leur environnement.

Les modèles ARM et les blueprints ont des objectifs différents. Un modèle ARM déploie une infrastructure dans un seul groupe de ressources ou abonnement, sans maintenir de lien avec les ressources déployées. Une assignment de blueprint conserve un lien actif entre la définition du blueprint et l’environnement déployé : vous pouvez suivre l’état du déploiement, effectuer une mise à niveau vers une nouvelle version et protéger les artefacts déployés avec des verrous de blueprint qui restent actifs même avec des autorisations RBAC de niveau Owner. Les blueprints étendent les modèles ARM avec des fonctionnalités propres à la gouvernance.

L’accélérateur Azure Landing Zone moderne de Microsoft (qui fait partie du Cloud Adoption Framework) utilise une combinaison de modèles ARM, Bicep, Terraform et Azure Policy plutôt que des blueprints. Même si les blueprints restent disponibles, Microsoft investit davantage dans les approches pilotées par les stratégies et dans l’IaC pour les environnements à grande échelle. Pour les déploiements d’entreprise complexes, l’approche CAF Landing Zone est désormais privilégiée ; les blueprints restent adaptés aux modèles d’environnements autonomes et de plus petite échelle.

Dans le volet Azure Blueprints, chaque attribution de blueprint affiche son état de déploiement (Succeeded, Failed, Locking) ainsi que l’état de conformité de chaque artefact. Si le déploiement d’un artefact échoue, vous pouvez consulter l’erreur de déploiement ARM et réessayer l’attribution. Les artefacts de stratégie d’un blueprint signalent leur conformité via le tableau de bord standard de conformité Azure Policy, ce qui vous offre une visibilité unifiée sur la réussite du déploiement et la conformité continue des ressources.

Pour mettre hors service un environnement géré par un blueprint, vous devez d’abord supprimer l’attribution du blueprint. Cette opération supprime les verrous du blueprint sur tous les artefacts déployés et rompt le lien entre la définition du blueprint et les ressources déployées, mais elle ne supprime pas les ressources déployées elles-mêmes. Vous nettoyez ensuite séparément les ressources ARM selon votre processus de gestion des changements. Pour supprimer la définition du blueprint, vous devez d’abord supprimer toutes les attributions.

Vérifiez votre compréhension des concepts Microsoft Azure Fundamentals (AZ-900) présentés dans cette leçon.

Dans cette leçon, vous avez appris que : Azure Blueprints regroupe les attributions de stratégies, les attributions de rôles, les modèles ARM et les groupes de ressources dans un objet de gouvernance versionné et réutilisable, les verrous de blueprint protègent les artefacts déployés contre les modifications, même par les propriétaires d’un abonnement, et les blueprints de conformité réglementaire de la galerie d’exemples accélèrent la mise en conformité avec des référentiels tels qu’ISO 27001 et PCI DSS. Vous avez maintenant terminé le cours sur la gouvernance Azure ; la prochaine étape porte sur Azure Resource Manager et l’infrastructure en tant que code.