Azure Policy

Azure Policy to usługa zarządzania, która umożliwia definiowanie, przypisywanie i zarządzanie regułami — nazywanymi definicjami zasad — kontrolującymi lub poddającymi inspekcji konfigurację zasobów Azure. W przeciwieństwie do RBAC, który określa, kto może wykonywać działania, Azure Policy określa, jaka może być wynikowa konfiguracja zasobu. Usługa służy do wymuszania standardów organizacji, takich jak konwencje nazewnictwa, zatwierdzone typy zasobów i wymagane konfiguracje zabezpieczeń.

Definicja zasad to dokument JSON określający warunek oceniany względem zasobu oraz efekt stosowany po spełnieniu tego warunku. Azure udostępnia setki wbudowanych definicji zasad obejmujących typowe scenariusze. Można również tworzyć niestandardowe definicje zasad, gdy wbudowane zasady nie odpowiadają wymaganiom. Definicje zasad to obiekty wielokrotnego użytku, które muszą zostać przypisane do zakresu, aby zaczęły działać.

Efekt w definicji zasad określa, co dzieje się po wyzwoleniu warunku zasady. Najważniejsze efekty to: Deny — blokuje utworzenie lub aktualizację zasobu naruszającą zasadę; Audit — zezwala na działanie, ale rejestruje ostrzeżenie w raporcie zgodności; Append — dodaje wymagane pola (np. tagi) do zasobu przed jego utworzeniem; Modify — zmienia właściwość istniejącego lub nowego zasobu; DeployIfNotExists — wdraża powiązany zasób, jeśli warunek nie jest spełniony (np. wdraża rozszerzenie diagnostyczne na każdej maszynie wirtualnej).

Przypisanie zasad stosuje definicję zasad do określonego zakresu: grupy zarządzania, subskrypcji lub grupy zasobów. Wszystkie zasoby w tym zakresie (oraz w zakresach podrzędnych) są oceniane względem przypisanej zasady. Przypisania mogą zawierać parametry — na przykład zasada ograniczająca dozwolone regiony Azure może być parametryzowana, dzięki czemu tę samą definicję można przypisać z różnymi listami regionów w różnych grupach zarządzania.

Definicja inicjatywy (nazywana również zestawem zasad) grupuje wiele powiązanych definicji zasad w jeden pakiet, który można przypisać. Zamiast przypisywać 20 pojedynczych zasad, przypisuje się jedną inicjatywę. Azure udostępnia wbudowane inicjatywy dla takich struktur zgodności jak ISO 27001, NIST SP 800-53, Azure Security Benchmark i PCI DSS. Na przykład przypisanie inicjatywy CIS Microsoft Azure Foundations Benchmark pozwala jednocześnie ocenić subskrypcję względem ponad 180 mechanizmów kontroli bezpieczeństwa.

Po przypisaniu zasady Azure ocenia wszystkie istniejące zasoby w danym zakresie i generuje raport zgodności. Raport przedstawia ogólny odsetek zgodności (zasoby zgodne / wszystkie zasoby), stan zgodności każdego zasobu oraz konkretne warunki zasad, które nie zostały spełnione. Raport można filtrować według inicjatywy zasad, zakresu lub typu zasobu. Zasoby niezgodne są wyświetlane wraz z dokładną regułą zasady, którą naruszyły, co ułatwia podjęcie działań naprawczych.

W przypadku zasad z efektem DeployIfNotExists lub Modify Azure może tworzyć zadania naprawcze, aby doprowadzić istniejące niezgodne zasoby do stanu zgodności. Na przykład dla zasady DeployIfNotExists wdrażającej agenta Log Analytics na każdej maszynie wirtualnej można uruchomić zadanie naprawcze, które zainstaluje agenta na wszystkich istniejących maszynach wirtualnych, na których go brakuje. Nowe zasoby są automatycznie naprawiane podczas tworzenia, natomiast istniejące zasoby wymagają jawnego zadania naprawczego.

Czasami określone zasoby muszą zostać zgodnie z uzasadnieniem wyłączone z działania zasady — na przykład starszy zasób, którego nie można zmodyfikować, lub zatwierdzony wyjątek udokumentowany we wniosku o zmianę. Wyłączenia zasad umożliwiają wykluczenie określonego zasobu lub grupy zasobów z przypisania zasad bez globalnego usuwania tej zasady. Wyłączenia mogą mieć opcjonalną datę wygaśnięcia oraz kategorię (Waiver lub Mitigated) dokumentującą przyczynę wyjątku.

DeployIfNotExists to jeden z najbardziej zaawansowanych efektów zasad. Gdy zasób zostaje utworzony bez wymaganego powiązanego zasobu (np. maszyna wirtualna bez rozszerzenia diagnostycznego), zasada automatycznie uruchamia wdrożenie szablonu ARM w celu dodania brakującego składnika. Dzięki temu Azure Policy może pełnić funkcję automatycznego narzędzia do zarządzania konfiguracją — zapewniać, że każda maszyna wirtualna ma agentów monitorowania, każde konto magazynu ma włączoną zaawansowaną ochronę przed zagrożeniami, a każda baza danych SQL ma włączone inspekcjonowanie.

Organizacje używają Azure Policy w wielu scenariuszach zarządzania. Ograniczenia lokalizacji — zezwalanie na tworzenie zasobów wyłącznie w zatwierdzonych regionach Azure w celu zapewnienia suwerenności danych. Dozwolone typy zasobów — zapobieganie wdrażaniu drogich lub niezatwierdzonych usług. Wymuszanie tagów — wymaganie tagów CostCentre i Environment dla wszystkich zasobów. Ograniczenia jednostek SKU — ograniczanie rozmiarów maszyn wirtualnych do poziomów odpowiadających kosztom w subskrypcjach nieprodukcyjnych. Bazowe zabezpieczenia — wymuszanie co najmniej TLS 1.2, wyłączanie publicznego dostępu sieciowego do kont magazynu oraz wymaganie prywatnych punktów końcowych.

Ważne jest zrozumienie odmiennych ról RBAC i Azure Policy. RBAC określa, kto może wykonywać operacje — przyznaje lub odmawia działań na podstawie tożsamości. Azure Policy określa, jakie wymagania musi spełniać konfiguracja zasobu — ocenia właściwości i wymusza ich zgodność niezależnie od tego, kto wykonuje dane działanie. W dobrze zarządzanym środowisku potrzebne są oba mechanizmy: RBAC gwarantuje, że zasoby wdrażają wyłącznie upoważnione osoby, a Azure Policy zapewnia zgodność tych zasobów ze standardami konfiguracji.

Sprawdź swoją znajomość zagadnień Microsoft Azure Fundamentals (AZ-900) omówionych w tej lekcji.

W tej lekcji poznali Państwo następujące zagadnienia: Azure Policy definiuje warunki i efekty służące do kontrolowania konfiguracji zasobów w dowolnym zakresie, definicje inicjatyw łączą wiele zasad w jeden przypisywalny pakiet zgodności, a także DeployIfNotExists umożliwia automatyczne wymuszanie konfiguracji brakujących składników na dużą skalę. W następnej części omówimy tagi zasobów i blokady zasobów, które służą do ochrony zasobów Azure.