Przeprowadzanie inspekcji i wdrażanie dzienników przepływów sieci wirtualnej przy użyciu usługi Azure Policy

Usługa Azure Policy pomaga wymuszać standardy organizacyjne i oceniać zgodność na dużą skalę. Typowe przypadki użycia usługi Azure Policy obejmują implementowanie ładu na potrzeby spójności zasobów, zgodności z przepisami, bezpieczeństwa, kontroli kosztów i zarządzania. Aby dowiedzieć się więcej na temat zasad platformy Azure, zobacz Co to jest usługa Azure Policy? i Szybki start: tworzenie przypisania zasad w celu identyfikowania niezgodnych zasobów.

Z tego artykułu dowiesz się, jak używać dwóch wbudowanych zasad do zarządzania konfiguracją dzienników przepływu sieci wirtualnej. Pierwsza zasada oznacza każdą sieć wirtualną, która nie ma włączonego rejestrowania przepływów. Drugie zasady automatycznie wdrażają dzienniki przepływu sieci wirtualnej w sieciach wirtualnych, które nie mają włączonego rejestrowania przepływu.

Wymagania wstępne

• Konto platformy Azure z aktywną subskrypcją. Utwórz konto bezpłatnie.

• Sieć wirtualna. Jeśli musisz utworzyć sieć wirtualną, zobacz Tworzenie sieci wirtualnej przy użyciu witryny Azure Portal.

Inspekcja konfiguracji dzienników przepływu dla sieci wirtualnych przy użyciu wbudowanych zasad

Konfiguracja dzienników przepływu inspekcji dla każdej sieci wirtualnej przeprowadza inspekcję wszystkich istniejących sieci wirtualnych w zakresie, sprawdzając wszystkie obiekty Azure Resource Manager typu Microsoft.Network/virtualNetworks dla dzienników przepływu powiązanych przez właściwość dziennika przepływu sieci wirtualnej. Następnie flaguje ona dowolną sieć wirtualną, która nie ma włączonego rejestrowania przepływów.

Aby przeprowadzić inspekcję dzienników przepływu przy użyciu wbudowanych zasad, wykonaj następujące kroki:

1. Zaloguj się w witrynie Azure Portal.

2. W polu wyszukiwania w górnej części portalu wprowadź zasady. Wybierz pozycję Zasady z wyników wyszukiwania.

   

3. Wybierz Przypisania, a następnie wybierz Przypisz politykę.

   

4. Wybierz wielokropek (...) obok Zakresu, aby wybrać subskrypcję platformy Azure z sieciami wirtualnymi, które chcesz sprawdzić za pomocą zasad. Możesz również wybrać grupę zasobów, która ma sieci wirtualne. Po wybraniu opcji wybierz przycisk Wybierz .

   

5. Wybierz wielokropek (...) obok Definicji zasad policyjnych, aby wybrać wbudowaną politykę, którą chcesz przypisać. Wprowadź dziennik przepływu w polu wyszukiwania, a następnie wybierz wbudowany filtr. W wynikach wyszukiwania wybierz Konfiguracja audytu dzienników przepływu dla każdej sieci wirtualnej, a następnie wybierz Dodaj.

   

6. Wprowadź nazwę w Nazwa zadania lub użyj nazwy domyślnej, a następnie wprowadź swoją nazwę w Przypisane przez.

   Te zasady nie wymagają żadnych parametrów. Nie zawiera ona również żadnych definicji ról, więc nie trzeba tworzyć przypisań ról dla tożsamości zarządzanej na karcie Korygowanie .

7. Wybierz Przejrzyj i utwórz, a następnie Utwórz.

   

8. Wybierz pozycję Zgodność i zmień filtr Stanu zgodności na Niezgodne, aby wyświetlić listę wszystkich niezgodnych zasad. Wyszukaj nazwę utworzonych zasad inspekcji, a następnie wybierz ją.

   

9. Na stronie zgodności zasad zmień filtr Stan zgodności na Niezgodne, aby wyświetlić listę wszystkich niezgodnych sieci wirtualnych. W tym przykładzie istnieją trzy niezgodne sieci wirtualne z czterech.

   

Wdrażanie i konfigurowanie dzienników przepływu sieci wirtualnej przy użyciu wbudowanych zasad

Zasada Wdrażanie zasobu dziennika przepływu z docelową siecią wirtualną sprawdza wszystkie istniejące sieci wirtualne w danym zakresie, analizując wszystkie obiekty usługi typu Microsoft.Network/virtualNetworks Azure Resource Manager. Następnie sprawdza powiązane dzienniki przepływu za pośrednictwem właściwości dziennika przepływu sieci wirtualnej. Jeśli właściwość nie istnieje, zasada wdraża dziennik przepływu.

Aby przypisać zasadę deployIfNotExists, wykonaj następujące kroki:

1. Zaloguj się w witrynie Azure Portal.

2. W polu wyszukiwania w górnej części portalu wprowadź zasady. Wybierz pozycję Zasady z wyników wyszukiwania.

   

3. Wybierz Przypisania, a następnie wybierz Przypisz politykę.

   

4. Wybierz wielokropek (...) obok Zakresu, aby wybrać subskrypcję platformy Azure z sieciami wirtualnymi, które chcesz sprawdzić za pomocą zasad. Możesz również wybrać grupę zasobów, która ma sieci wirtualne. Po wybraniu opcji wybierz przycisk Wybierz .

   

5. Wybierz wielokropek (...) obok Definicji zasad policyjnych, aby wybrać wbudowaną politykę, którą chcesz przypisać. Wprowadź dziennik przepływu w polu wyszukiwania, a następnie wybierz wbudowany filtr. W wynikach wyszukiwania wybierz pozycję Wdrażaj zasób logu przepływu dla docelowej sieci wirtualnej, a następnie wybierz Dodaj.

   

   Uwaga

   Aby korzystać z tej zasady, musisz mieć uprawnienia Współautora lub Właściciela.

6. Wprowadź nazwę w Nazwa zadania lub użyj nazwy domyślnej, a następnie wprowadź swoją nazwę w Przypisane przez.

   

7. Wybierz przycisk Dalej dwa razy lub wybierz kartę Parametry . Następnie wybierz następujące wartości:

   Ustawienie	Wartość
   Efekt	Wybierz DeployIfNotExists, aby umożliwić wykonywanie zasady. Inną dostępną opcją jest: Wyłączone.
   Region sieci wirtualnej	Wybierz region swojej sieci wirtualnej, który zamierzasz objąć polityką.
   Konto magazynu	Wybierz konto storage. Konto przechowywania musi znajdować się w tym samym regionie co sieć wirtualna.
   Network Watcher RG	Wybierz grupę zasobów wystąpienia usługi Network Watcher. Dzienniki przepływu utworzone przez politykę są zapisywane w tej grupie zasobów.
   Network Watcher	Wybierz wystąpienie usługi Network Watcher wybranego regionu.
   Liczba dni przechowywania dzienników przepływów	Wybierz liczbę dni, przez które chcesz przechowywać dane dzienników przepływu w koncie magazynowym. Wartość domyślna to 30 dni. Jeśli nie chcesz stosować żadnych zasad przechowywania, wprowadź wartość 0.

   

8. Wybierz przycisk Dalej lub kartę Korygowanie .

9. Zaznacz pole wyboru Utwórz zadanie korygowania.

   

10. Wybierz Przejrzyj i utwórz, a następnie Utwórz.

11. Wybierz pozycję Zgodność i zmień filtr Stanu zgodności na Niezgodne, aby wyświetlić listę wszystkich niezgodnych zasad. Wyszukaj nazwę utworzonych zasad wdrażania, a następnie wybierz ją.

    

12. Na stronie zgodności zasad zmień filtr Stan zgodności na Niezgodne, aby wyświetlić listę wszystkich niezgodnych sieci wirtualnych. W tym przykładzie istnieją trzy niezgodne sieci wirtualne z czterech.

    

    Uwaga

    Ocena sieci wirtualnych w określonym zakresie i wdrożenie dzienników przepływu dla niezgodnych sieci wirtualnych zajmuje trochę czasu.

13. Przejdź do dzienników przepływu w Dziennikach w Network Watcher, aby wyświetlić dzienniki przepływu wdrożone przez politykę.

    

14. Na stronie zgodność zasad sprawdź, czy wszystkie sieci wirtualne w określonym zakresie są zgodne.

    

    Uwaga

    Zaktualizowanie stanu zgodności zasobów na stronie zgodności usługi Azure Policy może potrwać do 24 godzin. Aby uzyskać więcej informacji, zobacz Omówienie wyników oceny.

Powiązana zawartość

• Dzienniki przepływu sieci wirtualnej.
• Zarządzanie dziennikami przepływów sieci wirtualnej przy użyciu witryny Azure Portal.