Azure Blueprints e Conformidade

O Azure Blueprint é um serviço que permite definir um conjunto repetível de artefactos de governação do Azure — atribuições de funções, atribuições de políticas, modelos ARM e grupos de recursos — e agrupá-los num único objeto com controlo de versões. Pode depois atribuir o blueprint a uma subscrição para criar, em poucos minutos, um ambiente totalmente configurado e em conformidade. Os Blueprint foram concebidos para empresas que precisam de criar ambientes normalizados para novos projetos, equipas ou requisitos regulamentares.

Um blueprint é composto por Artefact — os elementos básicos do ambiente que cria. Os tipos de Artefact suportados são: grupos de recursos (criam grupos de recursos em localizações específicas para servirem de contentores de outros Artefact), modelos ARM (implementam qualquer infraestrutura do Azure), atribuições de Azure Policy (aplicam políticas com parâmetros) e atribuições de funções RBAC (concedem acesso a utilizadores ou grupos específicos). Os Artefact podem depender uns dos outros e são implementados pela ordem correta.

Os Blueprint suportam controlo de versões, permitindo manter simultaneamente várias versões publicadas. Quando modifica um blueprint, edita o rascunho. Quando o rascunho estiver pronto, publique-o como uma nova versão (por exemplo, v1.0, v1.1, v2.0), com notas de versão. As atribuições de blueprint existentes mantêm a versão com que foram implementadas; pode atualizar explicitamente uma atribuição para uma versão mais recente. Isto permite implementar de forma controlada alterações de governação em várias subscrições.

Os Blueprint suportam parâmetros que permitem personalizar a mesma definição de blueprint no momento da atribuição, sem criar blueprints separados para cada variação. Os parâmetros podem ser definidos ao nível do blueprint e transmitidos aos Artefact individuais, ou definidos diretamente em cada Artefact. Por exemplo, o parâmetro allowedLocations pode ser transmitido a um Artefact de política, permitindo que o responsável pela atribuição especifique quais regiões do Azure são permitidas para cada subscrição, sem editar a própria definição do blueprint.

Uma assignment de blueprint aplica uma versão publicada de um blueprint a uma subscrição específica. Durante a atribuição, fornece valores para quaisquer parâmetros do blueprint, seleciona a identidade gerida atribuída pelo sistema ou pelo utilizador que o blueprint utiliza para implementar Artefact (e que necessita de permissões RBAC suficientes) e escolhe se os Artefact do blueprint devem ser bloqueados após a implementação para impedir a sua modificação pelos utilizadores da subscrição.

As atribuições de blueprint podem bloquear os Artefact implementados para impedir que os subscritores os modifiquem ou eliminem. Existem três modos de bloqueio: Nenhum (sem bloqueios), AllResourcesReadOnly (bloqueio ReadOnly em todos os recursos implementados) e AllResourcesDoNotDelete (bloqueio CanNotDelete em todos os recursos implementados). Os bloqueios de blueprint são especiais — não podem ser removidos, nem mesmo pelos Owners da subscrição, enquanto a atribuição do blueprint estiver ativa, proporcionando uma proteção mais forte do que os bloqueios de recursos padrão.

O Azure disponibiliza blueprints de conformidade regulamentar na galeria de exemplos do Azure Blueprint para estruturas como ISO 27001, NIST SP 800-53, PCI DSS, DoD IL4/IL5, FedRAMP, HIPAA/HITRUST e UK OFFICIAL. Estes blueprints de exemplo agrupam as políticas, as atribuições de funções e as configurações de infraestrutura necessárias para demonstrar a conformidade com cada estrutura. As organizações utilizam-nos como ponto de partida, personalizando-os e adicionando Artefact específicos do seu ambiente.

Os modelos ARM e os Blueprint têm finalidades diferentes. Um modelo ARM implementa a infraestrutura num único grupo de recursos ou subscrição, sem manter uma ligação contínua aos recursos implementados. Uma atribuição de Blueprint mantém uma ligação ativa entre a definição do blueprint e o ambiente implementado: pode acompanhar o estado da implementação, atualizar para uma nova versão e proteger os Artefact implementados com bloqueios de blueprint que permanecem ativos mesmo com RBAC ao nível de Owner. Os Blueprint ampliam os modelos ARM com funcionalidades específicas de governação.

O acelerador Azure Landing Zone moderno da Microsoft (parte do Cloud Adoption Framework) utiliza uma combinação de modelos ARM, Bicep, Terraform e Azure Policy, em vez de Blueprint. Embora os Blueprint continuem disponíveis, a Microsoft está a investir mais em abordagens orientadas por políticas e em IaC para ambientes de grande escala. Para implementações empresariais complexas, a abordagem CAF Landing Zone é atualmente a preferida; os Blueprint continuam adequados para modelos de ambientes autónomos e de menor escala.

No painel do Azure Blueprint, cada atribuição de blueprint apresenta o seu estado de implementação (Succeeded, Failed, Locking) e o estado de conformidade de cada Artefact. Se a implementação de um Artefact falhar, pode consultar o erro da implementação ARM e tentar novamente a atribuição. Os Artefact de política de um blueprint comunicam a sua conformidade através do painel padrão de conformidade do Azure Policy, proporcionando uma visão unificada do sucesso da implementação e da conformidade contínua dos recursos.

Para desativar um ambiente gerido por blueprint, deve primeiro eliminar a assignment do blueprint. Isto remove os bloqueios de blueprint de todos os Artefact implementados e interrompe a ligação entre a definição do blueprint e os recursos implementados — mas não elimina os próprios recursos implementados. Em seguida, limpe os recursos ARM separadamente, de acordo com o seu processo de gestão de alterações. Para eliminar a definição do blueprint, é necessário eliminar primeiro todas as atribuições.

Teste a sua compreensão dos conceitos do Microsoft Azure Fundamentals (AZ-900) abordados nesta lição.

Nesta lição, aprendeu que: os Azure Blueprint agrupam atribuições de políticas, atribuições de funções, modelos ARM e grupos de recursos num objeto de governação reutilizável e com controlo de versões; os bloqueios de blueprint protegem os Artefact implementados contra modificações, mesmo por parte de Owners da subscrição; e os blueprints de conformidade regulamentar da galeria de exemplos aceleram a adoção de estruturas como ISO 27001 e PCI DSS. Concluiu agora o curso de Azure Governance — de seguida, aprenderá sobre Azure Resource Manager e Infrastructure as Code.