Efeito manual das definições do Azure Policy

O novo manual efeito permite que você atesta automaticamente a conformidade de recursos ou escopos. Ao contrário de outras definições de política que verificam ativamente a avaliação, o efeito Manual permite alterações manuais no estado de conformidade. Para alterar a conformidade de um recurso ou escopo direcionado por uma política manual, você precisa criar um atestado. A melhor prática é criar políticas manuais direcionadas ao escopo que define o limite de recursos cuja conformidade precisa ser atestar.

Veja a seguir exemplos de iniciativas de política regulatória que incluem definições de política com o manual efeito:

• FedRAMP High
• FedRAMP Medium
• HIPAA
• HITRUST
• ISO 27001
• Microsoft CIS 1.3.0
• Microsoft CIS 1.4.0
• NIST SP 800-171 Rev. 2
• NIST SP 800-53 Rev. 4
• NIST SP 800-53 Rev. 5
• PCI DSS 3.2.1
• PCI DSS 4.0
• CSCF do CSCF do SWIFT v2022

O exemplo a seguir destina-se às assinaturas do Azure e define o estado de conformidade inicial como Unknown.

{
  "if": {
    "field": "type",
    "equals": "Microsoft.Resources/subscriptions"
  },
  "then": {
    "effect": "manual",
    "details": {
      "defaultState": "Unknown"
    }
  }
}

A defaultState propriedade tem três valores possíveis:

• Unknown: o estado padrão inicial dos recursos direcionados.
• Compliant: o recurso está em conformidade de acordo com seus padrões de política manual
• Non-compliant: o recurso não está em conformidade de acordo com seus padrões de política manual

O mecanismo de conformidade do Azure Policy avalia todos os recursos aplicáveis ao estado padrão especificado na definição (Unknown se não especificado). Um Unknown estado de conformidade indica que você deve atestar manualmente o estado de conformidade do recurso. Se o estado de efeito não for especificado, ele usará como padrão Unknown. O Unknown estado de conformidade indica que você deve atestar o estado de conformidade por conta própria.

A captura de tela a seguir mostra como uma atribuição de política manual com o Unknown estado aparece no portal do Azure:

Quando uma definição de política com manual efeito é atribuída, você pode definir os estados de conformidade de recursos ou escopos direcionados por meio de atestados personalizados. Os atestados também permitem que você forneça informações complementares opcionais por meio da forma de metadados e links para evidências que acompanham o estado de conformidade escolhido. A pessoa que atribui a política manual pode recomendar um local de armazenamento padrão para evidência especificando a evidenceStorages propriedade dos metadados da atribuição de política.

Próximas etapas

• Revise os exemplos em Exemplos do Azure Policy.
• Revise a estrutura de definição do Azure Policy.
• Entenda como criar políticas de forma programática.
• Saiba como obter dados de conformidade.
• Saiba como corrigir recursos não compatíveis.
• Examine os grupos de gerenciamento do Azure.