Samouczek: nie zezwalaj na typy zasobów w środowisku chmury

Jednym z popularnych celów ładu w chmurze jest ograniczenie typów zasobów dozwolonych w środowisku. Firmy mają wiele motywacji związanych z ograniczeniami typu zasobów. Na przykład typy zasobów mogą być kosztowne lub mogą być sprzeczne ze standardami i strategiami biznesowymi. Zamiast używać wielu zasad dla poszczególnych typów zasobów, usługa Azure Policy oferuje dwie wbudowane zasady, aby osiągnąć ten cel:

W tym samouczku zastosujesz zasady Niedozwolone typy zasobów i będziesz zarządzać typami zasobów na dużą skalę za pośrednictwem portalu Microsoft Azure.

Wymagania wstępne

Jeśli nie masz subskrypcji platformy Azure, przed rozpoczęciem utwórz bezpłatne konto.

Przypisywanie definicji zasad

Pierwszym krokiem wyłączania typów zasobów jest przypisanie definicji zasad Niedozwolonych typów zasobów.

1. Przejdź do obszaru Niedozwolone typy zasobów w witrynie Azure Portal.

   

2. Wybierz przycisk Przypisz w górnej części strony.

3. Na karcie Podstawy ustaw Zakres, wybierając wielokropek, a następnie wybierając grupę zarządzania, subskrypcję lub grupę zasobów. Upewnij się, że wybrany zakres ma co najmniej jeden podzakres. Następnie kliknij przycisk Wybierz w dolnej części strony Zakres.

   W tym przykładzie użyto subskrypcji Contoso.

   Uwaga

   Jeśli przypiszesz tę definicję zasad do głównego zakresu grupy zarządzania, portal może wykryć niedozwolone typy zasobów i wyłączyć je w widoku Wszystkie usługi , aby użytkownicy portalu wiedzieli o ograniczeniu przed podjęciem próby wdrożenia niedozwolonego zasobu.

4. Zasoby można wykluczyć na podstawie opcji Zakres. Wykluczenia zaczynają się o jeden poziom niżej od poziomu Zakres. Pole Wykluczenia jest opcjonalne, więc na razie można je pozostawić puste.

5. Nazwa przypisania jest wypełniana automatycznie wybraną nazwą definicji zasad, ale można ją zmienić. Możesz również dodać opcjonalny opis, aby podać szczegółowe informacje o tym przypisaniu tej polityki.

6. Pozostaw egzekwowanie polityki jako Włączone. Po wyłączeniu to ustawienie umożliwia testowanie wyników zasad bez wyzwalania efektu. Aby uzyskać więcej informacji, zobacz tryb egzekwowania.

7. Pole Przypisane przez jest wypełniane automatycznie w zależności od tego, kto jest zalogowany. To pole jest opcjonalne, dzięki czemu można wprowadzić wartości niestandardowe.

8. Wybierz kartę Parametry w górnej części kreatora. Ten samouczek pomija kartę Zaawansowane .

9. Dla parametru Niedozwolone typy zasobów użyj listy rozwijanej, aby wyszukać i wybrać typy zasobów, które nie powinny być dozwolone w środowisku chmury.

10. Ta definicja zasad nie ma efektów modify lub deployIfNotExists, więc nie obsługuje zadań naprawczych. Na potrzeby tego samouczka pomiń kartę Korygowanie .

11. Wybierz kartę Komunikaty o niezgodności w górnej części kreatora.

12. Ustaw komunikat o niezgodności na Ten typ zasobu nie jest dozwolony. Ten komunikat niestandardowy jest wyświetlany, gdy zasób zostanie odrzucony lub nie jest zgodny z zasobami podczas regularnej oceny.

13. Wybierz kartę Przeglądanie i tworzenie w górnej części kreatora.

14. Przejrzyj wybrane opcje, a następnie wybierz pozycję Utwórz w dolnej części strony.

Wyświetlanie wyłączonych typów zasobów w witrynie Azure Portal

Ten krok ma zastosowanie tylko wtedy, gdy zasady zostały przypisane w zakresie głównej grupy zarządzania.

Po przypisaniu wbudowanej definicji zasad przejdź do pozycji Wszystkie usługi. Portal Azure rozpoznaje niedozwolone typy zasobów wynikające z tego przypisania zasad i wyłącza je na stronie Wszystkie usługi. Opcja Utwórz jest niedostępna dla wyłączonych typów zasobów.

Tworzenie wykluczenia

Teraz załóżmy, że jeden podzakres powinien mieć wyłączone typy zasobów na mocy tej polityki. Wprowadźmy wyjątek w tym zakresie, aby można było wdrożyć tam inaczej ograniczone zasoby.

1. W lewej części strony usługi Azure Policy wybierz opcję Przypisania w obszarze Tworzenie.

2. Wyszukaj utworzone przypisanie polityki.

3. Wybierz przycisk Utwórz wykluczenie w górnej części strony.

4. Na karcie Podstawy wybierz zakres Zwolnienia, który jest podzakresem, w którym zasoby mogą być ograniczone przez to przypisanie zasad.

5. Wypełnij pole Nazwa Wykluczenia żądanym tekstem i pozostaw kategorię Wykluczenia jako wartość domyślną Wyjątku. Nie zmieniaj przełącznika dla ustawienia wygaśnięcia zwolnienia, ponieważ to zwolnienie nie wygaśnie. Opcjonalnie dodaj Opis zwolnienia i wybierz Przejrzyj i utwórz.

6. Ten samouczek pomija kartę Zaawansowane . Na karcie Przeglądanie i tworzenie wybierz pozycję Utwórz.

7. Aby wyświetlić wykluczenie, wybierz pozycję Wykluczenia w obszarze Tworzenie w lewej części strony usługi Azure Policy.

Teraz dla podzakresu można wyznaczyć typy zasobów, które są zabronione przez politykę.

Czyszczenie zasobów

Jeśli skończysz pracę z zasobami z tego samouczka, wykonaj następujące kroki, aby usunąć dowolne z przypisań zasad lub definicji utworzonych w tym samouczku:

1. Wybierz pozycję Definicje (lub Przypisania, jeśli próbujesz usunąć przypisanie) w obszarze Tworzenie w lewej części strony usługi Azure Policy.

2. Wyszukaj nowo utworzoną definicję inicjatywy lub zasad (albo przypisanie), którą chcesz usunąć.

3. Kliknij prawym przyciskiem myszy wiersz albo wybierz wielokropek na końcu definicji lub przypisania, a następnie wybierz pozycję Usuń definicję (lub Usuń przypisanie).

Wykonaj przegląd

W tym samouczku pomyślnie wykonałeś następujące czynności:

W przypadku tych wbudowanych zasad określono typy zasobów, które nie są dozwolone. Alternatywną, bardziej restrykcyjną metodą jest określenie typów zasobów, które są dozwolone za pomocą wbudowanej zasady dozwolonych typów zasobów.

Następne kroki

Aby dowiedzieć się więcej o strukturach definicji zasad, przypisań i wykluczeń, zapoznaj się z następującymi artykułami:

Aby wyświetlić pełną listę wbudowanych przykładów zasad, zobacz ten artykuł: