Azure Policy

Azure Policy, Azure kaynaklarının yapılandırmasını denetleyen veya inceleyen ve policy definitions olarak adlandırılan kuralları tanımlamanıza, atamanıza ve yönetmenize olanak tanıyan bir yönetişim hizmetidir. Eylemleri kimin gerçekleştirebileceğini denetleyen RBAC'nin aksine Azure Policy, ortaya çıkan kaynak yapılandırmasının ne olmasına izin verileceğini denetler. Bu hizmeti adlandırma kuralları, onaylanmış kaynak türleri ve gerekli güvenlik yapılandırmaları gibi kurumsal standartları zorunlu kılmak için kullanırsınız.

Bir policy definition, bir kaynağa uygulanacak bir koşulu ve koşul karşılandığında uygulanacak bir etkiyi tanımlayan JSON belgesidir. Azure, yaygın senaryoları kapsayan yüzlerce yerleşik policy definition sağlar. Yerleşik policy'ler gereksiniminizi karşılamadığında özel policy definitions de oluşturabilirsiniz. Policy definitions yeniden kullanılabilir nesnelerdir ve etkili olmadan önce bir kapsama atanmaları gerekir.

Bir policy definition içindeki etki, policy koşulu tetiklendiğinde ne olacağını belirler. Temel etkiler şunlardır: Deny — policy'yi ihlal eden kaynak oluşturma veya güncelleme işlemini engeller; Audit — işleme izin verir ancak uyumluluk raporuna bir uyarı kaydeder; Append — oluşturulmadan önce kaynağa gerekli alanları (etiketler gibi) ekler; Modify — mevcut veya yeni kaynaklardaki bir özelliği değiştirir; DeployIfNotExists — koşul karşılanmadığında ilişkili bir kaynak dağıtır (örneğin her VM'ye bir tanılama uzantısı dağıtır).

Bir policy assignment, bir policy definition'ı belirli bir kapsama uygular: management group, abonelik veya resource group. Bu kapsam içindeki (ve alt kapsamlarındaki) tüm kaynaklar, atanan policy'ye göre değerlendirilir. Atamalar parametreler içerebilir; örneğin, izin verilen Azure bölgelerini kısıtlayan bir policy, farklı management groups'larda farklı bölge listeleriyle aynı definition atanabilecek şekilde parametreleştirilebilir.

Bir initiative definition (policy set olarak da adlandırılır), birden fazla ilişkili policy definition'ı tek bir atanabilir pakette gruplandırır. 20 ayrı policy atamak yerine tek bir initiative atarsınız. Azure; ISO 27001, NIST SP 800-53, Azure Security Benchmark ve PCI DSS gibi uyumluluk çerçeveleri için yerleşik initiative'ler sağlar. Örneğin CIS Microsoft Azure Foundations Benchmark initiative'ini atadığınızda aboneliğiniz aynı anda 180'den fazla güvenlik denetimine göre değerlendirilir.

Bir policy atandıktan sonra Azure, kapsamdaki mevcut tüm kaynakları değerlendirir ve bir uyumluluk raporu oluşturur. Rapor; genel uyumluluk yüzdesini (uyumlu kaynaklar / toplam kaynaklar), her kaynağın uyumluluk durumunu ve hangi belirli policy koşullarının başarısız olduğunu gösterir. Policy initiative'ine, kapsama veya kaynak türüne göre filtreleme yapabilirsiniz. Uyumlu olmayan kaynaklar, ihlal ettikleri policy kuralıyla birlikte listelenerek düzeltme işlemlerine yol gösterir.

DeployIfNotExists veya Modify etkisine sahip policy'ler için Azure, mevcut uyumlu olmayan kaynakları uyumluluk durumuna getirmek üzere düzeltme görevleri oluşturabilir. Örneğin her VM'ye bir Log Analytics aracısı dağıtan bir DeployIfNotExists policy'si, bu aracıdan yoksun mevcut tüm VM'lere aracıyı yüklemek üzere tetiklenen bir düzeltme görevine sahip olabilir. Yeni kaynaklar oluşturulurken otomatik olarak düzeltilir; mevcut kaynaklar için açıkça bir düzeltme görevi gerekir.

Bazen belirli kaynakların bir policy kapsamı dışında bırakılması meşru olarak gerekebilir; örneğin değiştirilemeyen eski bir kaynak veya değişiklik isteğinde belgelenmiş onaylı bir istisna. Policy exemptions, policy'yi genel olarak kaldırmadan belirli bir kaynağı veya resource group'u bir policy assignment kapsamı dışında bırakmanıza olanak tanır. Muafiyetler isteğe bağlı bir son kullanma tarihi ve istisnanın nedenini belgelemek için bir kategori (Waiver veya Mitigated) içerir.

DeployIfNotExists, en güçlü policy etkilerinden biridir. Bir kaynak gerekli ilişkili kaynak olmadan oluşturulduğunda (örneğin tanılama uzantısı olmayan bir VM), policy eksik bileşeni eklemek üzere otomatik olarak bir ARM şablonu dağıtımını tetikler. Bu sayede Azure Policy bir otomatik yapılandırma yönetimi aracı haline gelir; her VM'de izleme aracılarının, her depolama hesabında gelişmiş tehdit korumasının ve her SQL Database'de denetimin etkin olmasını sağlar.

Kuruluşlar Azure Policy'yi birçok yönetişim senaryosunda kullanır. Konum kısıtlamaları — veri egemenliği için kaynaklara yalnızca onaylanmış Azure bölgelerinde izin verin. İzin verilen kaynak türleri — pahalı veya onaylanmamış hizmetlerin dağıtılmasını önleyin. Etiket zorunluluğu — tüm kaynaklarda CostCentre ve Environment etiketlerini zorunlu kılın. SKU kısıtlamaları — Non-Production aboneliklerinde VM boyutlarını maliyete uygun katmanlarla sınırlayın. Güvenlik temelleri — en az TLS 1.2'yi zorunlu kılın, depolama hesaplarında genel ağ erişimini devre dışı bırakın ve özel uç noktaları zorunlu tutun.

RBAC ve Azure Policy'nin farklı rollerini anlamak önemlidir. RBAC, işlemleri kimin gerçekleştirebileceğini denetler; kimliğe göre eylemlere izin verir veya eylemleri engeller. Azure Policy, kaynak yapılandırmasının ne olması gerektiğini denetler; işlemi kimin gerçekleştirdiğinden bağımsız olarak özellikleri değerlendirir ve zorunlu kılar. İyi yönetilen bir ortam için her ikisi de gereklidir: RBAC yalnızca yetkili kişilerin kaynak dağıtmasını sağlar, Azure Policy ise bu kaynakların yapılandırma standartlarına uygun olmasını sağlar.

Bu dersteki Microsoft Azure Fundamentals (AZ-900) kavramlarına ilişkin anlayışınızı Test edin.

Bu derste şunları öğrendiniz: Azure Policy, herhangi bir kapsamda kaynak yapılandırmasını denetlemek için koşullar ve etkiler tanımlar, initiative definitions birden fazla policy'yi atanabilir tek bir uyumluluk paketinde birleştirir ve DeployIfNotExists, eksik bileşenler için büyük ölçekte otomatik yapılandırma zorunluluğu sağlar. Sırada Azure kaynaklarını korumak için kaynak etiketlerini ve kaynak kilitlerini inceleyeceğiz.