Azure Blueprints e conformità

Azure Blueprints è un servizio che consente di definire un insieme ripetibile di artefatti di governance Azure, ovvero assegnazioni di ruoli, assegnazioni di criteri, template ARM e gruppi di risorse, e di raggrupparli in un unico oggetto sottoposto a versionamento. È quindi possibile assegnare il blueprint a una sottoscrizione per predisporre in pochi minuti un ambiente completamente configurato e conforme. Blueprints è progettato per le aziende che devono creare ambienti standardizzati per nuovi progetti, team o requisiti normativi.

Un blueprint è composto da artefatti, ovvero i blocchi costitutivi dell'ambiente che crea. I tipi di artefatto supportati sono: Resource Groups (creano gruppi di risorse in posizioni specifiche come contenitori per altri artefatti), ARM Templates (distribuiscono qualsiasi infrastruttura Azure), Azure Policy Assignments (applicano criteri con parametri) e RBAC Role Assignments (concedono l'accesso a utenti o gruppi specifici). Gli artefatti possono dipendere gli uni dagli altri e vengono distribuiti nell'ordine corretto.

I blueprint supportano il versionamento, consentendo di mantenere contemporaneamente più versioni pubblicate. Quando si modifica un blueprint, si modifica la bozza. Quando la bozza è pronta, la si pubblica come nuova versione (ad esempio v1.0, v1.1, v2.0) con le note di rilascio. Le assegnazioni di blueprint esistenti mantengono la versione con cui sono state distribuite; è possibile aggiornare esplicitamente un'assegnazione a una versione più recente. Questo consente di distribuire in modo controllato le modifiche alla governance tra le sottoscrizioni.

I blueprint supportano parametri che consentono di personalizzare la stessa definizione di blueprint al momento dell'assegnazione, senza creare blueprint separati per ogni variante. I parametri possono essere definiti a livello di blueprint e passati ai singoli artefatti, oppure definiti direttamente su ciascun artefatto. Ad esempio, il parametro allowedLocations può essere passato a un artefatto di criteri, consentendo a chi esegue l'assegnazione di specificare quali aree Azure sono consentite per ogni sottoscrizione senza modificare direttamente la definizione del blueprint.

Un'assegnazione di blueprint applica una versione pubblicata del blueprint a una sottoscrizione specifica. Durante l'assegnazione, vengono forniti i valori per gli eventuali parametri del blueprint, si seleziona l'identità gestita assegnata dal sistema o dall'utente che il blueprint usa per distribuire gli artefatti (e che deve disporre di autorizzazioni RBAC sufficienti) e si sceglie se gli artefatti del blueprint debbano essere bloccati dopo la distribuzione per impedirne la modifica da parte degli utenti della sottoscrizione.

Le assegnazioni di blueprint possono bloccare gli artefatti distribuiti per impedire agli utenti della sottoscrizione di modificarli o eliminarli. Esistono tre modalità di blocco: None (nessun blocco), AllResourcesReadOnly (blocco ReadOnly su tutte le risorse distribuite) e AllResourcesDoNotDelete (blocco CanNotDelete su tutte le risorse distribuite). I blocchi dei blueprint sono speciali: non possono essere rimossi nemmeno dagli Owner della sottoscrizione finché l'assegnazione del blueprint è presente, offrendo una protezione più forte rispetto ai normali blocchi delle risorse.

Azure mette a disposizione blueprint per la conformità normativa nella raccolta di esempi di Azure Blueprints, per framework tra cui ISO 27001, NIST SP 800-53, PCI DSS, DoD IL4/IL5, FedRAMP, HIPAA/HITRUST e UK OFFICIAL. Questi blueprint di esempio raggruppano i criteri, le assegnazioni di ruoli e le configurazioni dell'infrastruttura necessari per dimostrare la conformità a ciascun framework. Le organizzazioni li usano come punto di partenza, personalizzandoli e aggiungendo gli artefatti specifici del proprio ambiente.

I template ARM e i blueprint hanno scopi diversi. Un template ARM distribuisce l'infrastruttura in un singolo gruppo di risorse o in una sottoscrizione, senza mantenere un collegamento continuo con le risorse distribuite. Un'assegnazione di blueprint mantiene un collegamento attivo tra la definizione del blueprint e l'ambiente distribuito: è possibile monitorare lo stato della distribuzione, eseguire l'upgrade a una nuova versione e proteggere gli artefatti distribuiti con blocchi del blueprint che restano attivi anche con autorizzazioni RBAC a livello Owner. I blueprint estendono i template ARM con funzionalità specifiche per la governance.

Il moderno acceleratore Azure Landing Zone di Microsoft (parte del Cloud Adoption Framework) usa una combinazione di template ARM, Bicep, Terraform e Azure Policy anziché i blueprint. Sebbene i blueprint siano ancora disponibili, Microsoft sta investendo maggiormente in approcci basati sui criteri e nell'IaC per gli ambienti su larga scala. Per distribuzioni aziendali complesse, oggi è preferibile l'approccio CAF Landing Zone; i blueprint restano adatti a template di ambienti autonomi e di dimensioni più contenute.

Nel riquadro Azure Blueprints, ogni assegnazione di blueprint mostra il proprio stato della distribuzione (Succeeded, Failed, Locking) e lo stato di conformità di ciascun artefatto. Se la distribuzione di un artefatto non riesce, è possibile visualizzare l'errore della distribuzione ARM e ritentare l'assegnazione. Gli artefatti di criteri all'interno di un blueprint comunicano la propria conformità tramite il dashboard standard di conformità di Azure Policy, offrendo così una visibilità unificata sia sul successo della distribuzione sia sulla conformità continua delle risorse.

Per dismettere un ambiente gestito da un blueprint, è necessario prima eliminare l'assegnazione del blueprint. Questa operazione rimuove i blocchi del blueprint da tutti gli artefatti distribuiti e interrompe il collegamento tra la definizione del blueprint e le risorse distribuite, ma non elimina le risorse distribuite. È quindi necessario eseguire separatamente la pulizia delle risorse ARM secondo il processo di gestione delle modifiche adottato. Per eliminare la definizione del blueprint, è prima necessario eliminare tutte le assegnazioni.

Verificate la vostra comprensione dei concetti di Microsoft Azure Fundamentals (AZ-900) trattati in questa lezione.

In questa lezione avete imparato che: Azure Blueprints raggruppa assegnazioni di criteri, assegnazioni di ruoli, template ARM e gruppi di risorse in un oggetto di governance riutilizzabile e sottoposto a versionamento, i blocchi dei blueprint proteggono gli artefatti distribuiti dalle modifiche anche da parte degli Owner della sottoscrizione e i blueprint per la conformità normativa nella raccolta di esempi accelerano il raggiungimento di framework come ISO 27001 e PCI DSS. Avete completato il corso Azure Governance; nella prossima lezione affronteremo Azure Resource Manager e l'Infrastructure as Code.