Azure Policy

Azure Policy er en styringstjeneste som lar deg definere, tilordne og administrere regler – kalt policydefinisjoner – som kontrollerer eller reviderer konfigurasjonen av Azure-ressurser. I motsetning til RBAC, som kontrollerer hvem som kan utføre handlinger, kontrollerer Azure Policy hvilken konfigurasjon den resulterende ressursen kan ha. Du bruker den til å håndheve organisatoriske standarder som navnekonvensjoner, godkjente ressurstyper og nødvendige sikkerhetskonfigurasjoner.

En policydefinisjon er et JSON-dokument som definerer en betingelse som skal evalueres mot en ressurs, og en effekt som skal brukes når betingelsen er oppfylt. Azure tilbyr hundrevis av innebygde policydefinisjoner som dekker vanlige scenarier. Du kan også opprette egendefinerte policydefinisjoner når de innebygde policyene ikke oppfyller behovet ditt. Policydefinisjoner er gjenbrukbare objekter som må tilordnes til et omfang før de trer i kraft.

Effekten i en policydefinisjon bestemmer hva som skjer når policybetingelsen utløses. Viktige effekter omfatter: Deny – blokkerer opprettingen eller oppdateringen av ressursen som bryter policyen; Audit – tillater handlingen, men logger en advarsel i samsvarsrapporten; Append – legger til obligatoriske felt (for eksempel koder) i en ressurs før oppretting; Modify – endrer en egenskap på eksisterende eller nye ressurser; DeployIfNotExists – distribuerer en relatert ressurs hvis en betingelse ikke er oppfylt (for eksempel distribusjon av en diagnostikkutvidelse til hver VM).

En policytilordning bruker en policydefinisjon på et bestemt omfang: administrasjonsgruppe, abonnement eller ressursgruppe. Alle ressurser innenfor dette omfanget (og underordnede omfang) evalueres mot den tilordnede policyen. Tilordninger kan inneholde parametere – for eksempel kan en policy som begrenser tillatte Azure-områder, parameteriseres slik at den samme definisjonen tilordnes med ulike områdelister i forskjellige administrasjonsgrupper.

En initiativdefinisjon (også kalt et policysett) grupperer flere relaterte policydefinisjoner i én enkelt pakke som kan tilordnes. I stedet for å tilordne 20 individuelle policyer tilordner du ett initiativ. Azure tilbyr innebygde initiativer for samsvarsrammeverk som ISO 27001, NIST SP 800-53, Azure Security Benchmark og PCI DSS. Hvis du tilordner initiativet CIS Microsoft Azure Foundations Benchmark, evalueres abonnementet for eksempel mot over 180 sikkerhetskontroller samtidig.

Etter at en policy er tilordnet, evaluerer Azure alle eksisterende ressurser i omfanget og genererer en samsvarsrapport. Rapporten viser samlet samsvarsprosent (ressurser som samsvarer / totalt antall ressurser), samsvarstilstanden til hver ressurs og hvilke spesifikke policybetingelser som ikke ble oppfylt. Du kan filtrere etter policyinitiativ, omfang eller ressurstype. Ressurser som ikke er i samsvar, vises med den nøyaktige policyregelen de brøt, slik at utbedring blir enklere.

For policyer med effekten DeployIfNotExists eller Modify kan Azure opprette utbedringsoppgaver for å bringe eksisterende ressurser som ikke er i samsvar, i samsvar. En DeployIfNotExists-policy som distribuerer en Log Analytics-agent til hver VM, kan for eksempel utløse en utbedringsoppgave som installerer agenten på alle eksisterende VM-er som mangler den. Nye ressurser utbedres automatisk ved oppretting, mens eksisterende ressurser krever en eksplisitt utbedringsoppgave.

Noen ganger må bestemte ressurser legitimt unntas fra en policy – for eksempel en eldre ressurs som ikke kan endres, eller et godkjent unntak som er dokumentert i en endringsforespørsel. Policyunntak lar deg utelate en bestemt ressurs eller ressursgruppe fra en policytilordning uten å fjerne policyen globalt. Unntak kan ha en valgfri utløpsdato og en kategori (Waiver eller Mitigated) som dokumenterer årsaken til unntaket.

DeployIfNotExists er en av de mest kraftige policyeffektene. Når en ressurs opprettes uten en nødvendig relatert ressurs (for eksempel en VM uten en diagnostikkutvidelse), utløser policyen automatisk en ARM-maldistribusjon for å legge til den manglende komponenten. Dette gjør at Azure Policy kan fungere som et automatisk verktøy for konfigurasjonsadministrasjon – slik at hver VM alltid har overvåkingsagenter, hver lagringskonto alltid har avansert trusselbeskyttelse, og hver SQL Database alltid har kontrollrevisjon aktivert.

Organisasjoner bruker Azure Policy i mange styringsscenarier. Plasseringsbegrensninger – tillat bare ressurser i godkjente Azure-områder av hensyn til datasuverenitet. Tillatte ressurstyper – hindre distribusjon av kostbare eller ikke-godkjente tjenester. Håndheving av koder – krev CostCentre- og Environment-koder på alle ressurser. SKU-begrensninger – begrens VM-størrelser til kostnadstilpassede nivåer i abonnementer som ikke er produksjon. Sikkerhetsgrunnlinjer – håndhev TLS 1.2 som minimum, deaktiver offentlig nettverkstilgang på lagringskontoer og krev private endepunkter.

Det er viktig å forstå de ulike rollene til RBAC og Azure Policy. RBAC kontrollerer hvem som kan utføre operasjoner – det tillater eller avslår handlinger basert på identitet. Azure Policy kontrollerer hvordan ressurskonfigurasjonen må være – den evaluerer og håndhever egenskaper uavhengig av hvem som utfører handlingen. Begge er nødvendige i et miljø med god styring: RBAC sikrer at bare autoriserte personer distribuerer ressurser, og Azure Policy sikrer at disse ressursene følger konfigurasjonsstandardene.

I denne leksjonen lærte du at Azure Policy definerer betingelser og effekter for å kontrollere ressurskonfigurasjon på alle omfang, at initiativdefinisjoner samler flere policyer i én enkelt samsvarspakke som kan tilordnes, og at DeployIfNotExists muliggjør automatisk håndheving av konfigurasjon for manglende komponenter i stor skala. Neste tema er ressurskoder og ressurslåser for beskyttelse av Azure-ressurser.