Azure Policy

Azure Policy è un servizio di governance che consente di definire, assegnare e gestire regole, chiamate policy definitions, per controllare o verificare la configurazione delle risorse di Azure. A differenza di RBAC, che controlla chi può eseguire determinate azioni, Azure Policy controlla quale configurazione può avere la risorsa risultante. È possibile utilizzarlo per imporre standard organizzativi come convenzioni di denominazione, tipi di risorse approvati e configurazioni di sicurezza obbligatorie.

Una policy definition è un documento JSON che definisce una condition da valutare per una risorsa e un effect da applicare quando la condizione è soddisfatta. Azure mette a disposizione centinaia di built-in policy definitions per gli scenari più comuni. È inoltre possibile creare custom policy definitions quando le policy predefinite non soddisfano i requisiti. Le definizioni delle policy sono oggetti riutilizzabili che devono essere assigned a un ambito prima di diventare effettive.

L'effect in una definizione di policy determina cosa accade quando viene attivata la condizione della policy. Gli effetti principali includono: Deny — blocca la creazione o l'aggiornamento della risorsa che viola la policy; Audit — consente l'azione, ma registra un avviso nel report di conformità; Append — aggiunge i campi obbligatori (come i tag) a una risorsa prima della creazione; Modify — modifica una proprietà delle risorse esistenti o nuove; DeployIfNotExists — distribuisce una risorsa correlata se una condizione non è soddisfatta (ad esempio, distribuendo un'estensione diagnostica in ogni VM).

Una policy assignment applica una definizione di policy a un ambito specifico: gruppo di gestione, sottoscrizione o gruppo di risorse. Tutte le risorse all'interno di tale ambito (e degli ambiti figli) vengono valutate rispetto alla policy assegnata. Le assegnazioni possono includere parameters: ad esempio, una policy che limita le aree di Azure consentite può essere parametrizzata, in modo che la stessa definizione venga assegnata con elenchi di aree diversi in gruppi di gestione differenti.

Una initiative definition (chiamata anche set di policy) raggruppa più definizioni di policy correlate in un unico pacchetto assegnabile. Invece di assegnare 20 policy individuali, è possibile assegnare un'unica iniziativa. Azure fornisce iniziative predefinite per framework di conformità come ISO 27001, NIST SP 800-53, Azure Security Benchmark e PCI DSS. Ad esempio, assegnando l'iniziativa CIS Microsoft Azure Foundations Benchmark, la sottoscrizione viene valutata simultaneamente rispetto a oltre 180 controlli di sicurezza.

Dopo l'assegnazione di una policy, Azure valuta tutte le risorse esistenti nell'ambito e genera un compliance report. Il report mostra la overall compliance percentage (risorse conformi / risorse totali), lo stato di conformità di ogni risorsa e le condizioni specifiche della policy che non sono state soddisfatte. È possibile filtrare per iniziativa di policy, ambito o tipo di risorsa. Le risorse non conformi vengono elencate insieme alla regola esatta della policy che hanno violato, fornendo indicazioni per la correzione.

Per le policy con effetto DeployIfNotExists o Modify, Azure può creare remediation tasks per rendere conformi le risorse esistenti non conformi. Ad esempio, una policy DeployIfNotExists che distribuisce un agente Log Analytics in ogni VM può attivare un'attività di correzione per installare l'agente in tutte le VM esistenti che attualmente ne sono prive. Le nuove risorse vengono corrette automaticamente al momento della creazione; per quelle esistenti è necessaria un'attività di correzione esplicita.

A volte è legittimo dover escludere risorse specifiche da una policy, ad esempio una risorsa legacy che non può essere modificata o un'eccezione approvata e documentata in una richiesta di modifica. Le policy exemptions consentono di escludere una risorsa o un gruppo di risorse specifico da un'assegnazione di policy senza rimuovere la policy a livello globale. Le esenzioni hanno una data di scadenza facoltativa e una categoria (Waiver o Mitigated) per documentare il motivo dell'eccezione.

DeployIfNotExists è uno degli effetti di policy più potenti. Quando una risorsa viene creata senza una risorsa correlata obbligatoria (ad esempio, una VM senza un'estensione diagnostica), la policy attiva automaticamente una distribuzione di un modello ARM per aggiungere il componente mancante. In questo modo Azure Policy diventa uno strumento automatico di gestione della configurazione, garantendo che ogni VM disponga sempre di agenti di monitoraggio, che ogni account di archiviazione disponga sempre della protezione avanzata dalle minacce e che ogni database SQL abbia sempre il controllo abilitato.

Le organizzazioni utilizzano Azure Policy in numerosi scenari di governance. Limitazioni della posizione: consentire risorse solo nelle aree di Azure approvate per rispettare la sovranità dei dati. Tipi di risorse consentiti: impedire la distribuzione di servizi costosi o non approvati. Imposizione dei tag: richiedere i tag CostCentre e Environment per tutte le risorse. Limitazioni degli SKU: limitare le dimensioni delle VM a livelli adeguati ai costi nelle sottoscrizioni non di produzione. Baseline di sicurezza: imporre almeno TLS 1.2, disabilitare l'accesso alla rete pubblica negli account di archiviazione e richiedere endpoint privati.

È importante comprendere i diversi ruoli di RBAC e Azure Policy. RBAC controlla chi può eseguire le operazioni: concede o nega le azioni in base all'identità. Azure Policy controlla quale deve essere la configurazione della risorsa: valuta e impone le proprietà indipendentemente da chi esegue l'azione. In un ambiente ben governato sono necessari entrambi: RBAC garantisce che solo le persone autorizzate distribuiscano le risorse, mentre Azure Policy garantisce che tali risorse siano conformi agli standard di configurazione.

Verifichi la Sua comprensione dei concetti di Microsoft Azure Fundamentals (AZ-900) trattati in questa lezione.

In questa lezione ha imparato che: Azure Policy definisce condizioni ed effetti per controllare la configurazione delle risorse a qualsiasi ambito, le definizioni di iniziative raggruppano più policy in un unico pacchetto di conformità assegnabile e DeployIfNotExists consente di imporre automaticamente la configurazione dei componenti mancanti su larga scala. Ora esamineremo i tag delle risorse e i blocchi delle risorse per proteggere le risorse di Azure.