Fonctionnement d’Azure Resource Manager

Azure Resource Manager (ARM) est le service de déploiement et de gestion d’Azure. Chaque action effectuée dans le portail Azure, CLI, PowerShell ou l’API REST passe par ARM. Il agit comme un plan de contrôle centralisé qui authentifie, autorise et achemine chaque opération sur les ressources.

Lorsque vous envoyez une requête pour créer une ressource, ARM l'intercepte, vérifie votre identité via Microsoft Entra ID, contrôle les autorisations RBAC, applique les règles éventuelles d'Azure Policy, puis transmet la requête validée au fournisseur de ressources approprié. Le fournisseur de ressources (par exemple, Microsoft.Compute) effectue l'opération proprement dite et renvoie le résultat à ARM.

Les services Azure sont exposés par l'intermédiaire de fournisseurs de ressources, chacun étant identifié par un espace de noms tel que Microsoft.Storage ou Microsoft.Network. Chaque type de ressource (par exemple, Microsoft.Storage/storageAccounts) doit être enregistré dans votre abonnement avant que vous puissiez en créer des instances. La plupart des fournisseurs sont enregistrés automatiquement lors de votre première utilisation du service concerné.

Un groupe de ressources est un conteneur logique qui regroupe des ressources Azure associées. Toutes les ressources d'un groupe partagent le même cycle de vie : vous pouvez les déployer, les mettre à jour et les supprimer ensemble. Les groupes de ressources servent également de portée par défaut pour les attributions RBAC et le suivi des coûts. Chaque ressource Azure doit appartenir à un seul groupe de ressources.

ARM applique le contrôle d'accès en fonction des rôles (RBAC) à chaque portée : groupe d'administration, abonnement, groupe de ressources ou ressource individuelle. Les rôles intégrés tels que Owner, Contributor et Reader couvrent la plupart des scénarios. ARM évalue les attributions de rôles en partant de la portée la plus élevée, et les attributions de refus peuvent bloquer les autorisations héritées.

Chaque opération acheminée par ARM est enregistrée dans le journal d'activité Azure. Le journal d'activité indique qui a effectué l'opération, quelle ressource a été concernée, quand l'opération a eu lieu et si elle a réussi ou échoué. Par défaut, les journaux d'activité sont conservés pendant 90 jours et peuvent être archivés dans un compte Storage ou transmis en continu à Log Analytics pour une conservation plus longue.

ARM prend en charge les styles de deployment Declarative et Imperative. Les déploiements déclaratifs utilisent des modèles ARM ou Bicep pour décrire l'état final souhaité ; ARM détermine les opérations nécessaires pour l'atteindre. Les déploiements impératifs utilisent des commandes CLI ou PowerShell étape par étape. Les déploiements déclaratifs sont privilégiés pour la reproductibilité, le contrôle de version et l'idempotence.

Les déploiements de modèles ARM peuvent s'exécuter selon deux modes. Le mode Incremental (par défaut) ajoute ou met à jour les ressources définies dans le modèle, tout en laissant inchangées les ressources déjà présentes dans le groupe qui ne figurent pas dans le modèle. Le mode Complete supprime toutes les ressources du groupe de ressources qui ne sont pas définies dans le modèle, afin que le groupe corresponde exactement au modèle : utilisez-le avec prudence.

Un modèle ARM est un document JSON composé de six sections principales : $schema (version du modèle), contentVersion, parameters (valeurs d'entrée), variables (valeurs calculées), resources (éléments à déployer) et outputs (valeurs à renvoyer). Le tableau des ressources contient un objet par ressource Azure ; chacun indique le type, la version de l'API, le nom, l'emplacement et les propriétés.

Lors du déploiement de plusieurs ressources, ARM peut par défaut déployer en parallèle les ressources indépendantes, ce qui accélère les déploiements. Lorsqu'une ressource dépend d'une autre (par exemple, une VM a besoin d'une NIC, et la NIC d'un VNet), vous déclarez explicitement la dépendance avec dependsOn. ARM résout le graphe des dépendances et séquence les opérations en conséquence.

Avant d'exécuter un deployment, utilisez l'opération de simulation pour prévisualiser les modifications qu'ARM apportera sans les appliquer réellement. La sortie répertorie les ressources qui seront créées, modifiées ou supprimées, avec un code couleur indiquant le type de modification. Cette fonctionnalité est particulièrement utile avant d'exécuter un deployment en mode Complete ou de modifier des environnements de production.

Vérifiez votre compréhension des concepts Microsoft Azure Fundamentals (AZ-900) abordés dans cette leçon.

Dans cette leçon, vous avez appris que Azure Resource Manager est la couche de gestion centralisée de toutes les ressources Azure, que les groupes de ressources sont des conteneurs logiques regroupant des ressources qui partagent un cycle de vie, et que les déploiements ARM peuvent s'exécuter en mode Incremental ou Complete avec prise en charge de la prévisualisation par simulation. Nous allons maintenant découvrir comment écrire des modèles ARM.