Come funziona Azure Resource Manager

Azure Resource Manager (ARM) è il servizio di distribuzione e gestione di Azure. Ogni azione eseguita nel portale Azure, nella CLI, in PowerShell o tramite l'API REST passa attraverso ARM. Funziona come un piano di controllo centralizzato che autentica, autorizza e instrada ogni operazione sulle risorse.

Quando inviate una richiesta per creare una risorsa, ARM la intercetta, verifica la vostra identità tramite Microsoft Entra ID, controlla le autorizzazioni RBAC, applica le eventuali regole di Azure Policy e inoltra quindi la richiesta convalidata al provider di risorse appropriato. Il provider di risorse (ad esempio, Microsoft.Compute) esegue l'operazione effettiva e restituisce il risultato ad ARM.

I servizi Azure sono esposti tramite provider di risorse, ciascuno identificato da uno spazio dei nomi come Microsoft.Storage o Microsoft.Network. Ogni tipo di risorsa (ad esempio, Microsoft.Storage/storageAccounts) deve essere registrato nella sottoscrizione prima di poterne creare istanze. La maggior parte dei provider viene registrata automaticamente al primo utilizzo del servizio correlato.

Un gruppo di risorse è un contenitore logico che include risorse Azure correlate. Tutte le risorse di un gruppo condividono lo stesso ciclo di vita: potete distribuirle, aggiornarle ed eliminarle insieme. I gruppi di risorse fungono inoltre da ambito predefinito per le assegnazioni RBAC e il monitoraggio dei costi. Ogni risorsa Azure deve appartenere a uno e un solo gruppo di risorse.

ARM applica il controllo degli accessi basato sui ruoli (RBAC) a ogni ambito: gruppo di gestione, sottoscrizione, gruppo di risorse o singola risorsa. I ruoli predefiniti come Owner, Contributor e Reader coprono la maggior parte degli scenari. ARM valuta le assegnazioni di ruolo procedendo dall'ambito più ampio verso quelli inferiori; le assegnazioni di negazione possono bloccare le autorizzazioni ereditate.

Ogni operazione instradata tramite ARM viene registrata nel registro attività di Azure. Il registro attività indica chi ha eseguito l'operazione, quale risorsa è stata interessata, quando si è verificata l'operazione e se ha avuto esito positivo o negativo. Per impostazione predefinita, i registri attività vengono conservati per 90 giorni e possono essere archiviati in un account di archiviazione o trasmessi a Log Analytics per una conservazione più lunga.

ARM supporta sia gli stili di distribuzione dichiarativo sia imperativo. Le distribuzioni dichiarative usano modelli ARM o Bicep per descrivere lo stato finale desiderato; ARM determina le operazioni necessarie per raggiungerlo. Le distribuzioni imperative usano comandi CLI o PowerShell eseguiti passo dopo passo. Le distribuzioni dichiarative sono preferibili per la ripetibilità, il controllo della versione e l'idempotenza.

Le distribuzioni di modelli ARM possono essere eseguite in due modalità. La modalità incrementale (predefinita) aggiunge o aggiorna le risorse definite nel modello, lasciando invariate quelle già presenti nel gruppo ma non incluse nel modello. La modalità completa elimina tutte le risorse del gruppo di risorse non definite nel modello, facendo corrispondere esattamente il gruppo al modello: utilizzatela con cautela.

Un modello ARM è un documento JSON con sei sezioni principali: $schema (versione del modello), contentVersion, parameters (input), variables (valori calcolati), resources (elementi da distribuire) e outputs (valori da restituire). L'array resources contiene un oggetto per ogni risorsa Azure; ciascun oggetto specifica il tipo, la versione dell'API, il nome, la posizione e le proprietà.

Quando distribuite più risorse, ARM può distribuire in parallelo le risorse indipendenti per impostazione predefinita, accelerando le distribuzioni. Quando una risorsa dipende da un'altra (ad esempio, una VM richiede una NIC e la NIC richiede una VNet), dichiarate esplicitamente la dipendenza con dependsOn. ARM risolve il grafo delle dipendenze e ordina di conseguenza le operazioni.

Prima di eseguire una distribuzione, utilizzate l'operazione what-if per visualizzare in anteprima le modifiche che ARM apporterà senza applicarle effettivamente. L'output elenca le risorse che verranno create, modificate o eliminate, con colori diversi in base al tipo di modifica. Questa funzionalità è particolarmente utile prima di eseguire una distribuzione in modalità completa o di apportare modifiche agli ambienti di produzione.

Verificate la vostra comprensione dei concetti di Microsoft Azure Fundamentals (AZ-900) trattati in questa lezione.

In questa lezione avete imparato che Azure Resource Manager è il livello di gestione centralizzato per tutte le risorse Azure, che i gruppi di risorse sono contenitori logici che raggruppano risorse con lo stesso ciclo di vita e che le distribuzioni ARM possono essere eseguite in modalità incrementale o completa, con supporto per l'anteprima what-if. Nella prossima lezione esplorerete la scrittura di modelli ARM.