Tutorial: Criar um ambiente com base em um exemplo de blueprint

Os blueprints de exemplo fornecem exemplos do que pode ser feito usando o Azure Blueprints. Cada um é um exemplo com uma intenção ou finalidade específica, mas não cria um ambiente completo sozinho. Cada um se destina a ser um local inicial para explorar usando o Azure Blueprints com várias combinações de artefatos, designs e parâmetros incluídos.

O tutorial a seguir usa o exemplo de blueprint dos Grupos de Recursos com RBAC para demonstrar os diferentes aspectos do serviço do Azure Blueprints. As seguintes etapas são abordadas:

Pré-requisitos

Para concluir este tutorial, uma assinatura do Azure é necessária. Se você não tiver uma assinatura do Azure, crie uma conta gratuita antes de começar.

Criar definição de blueprint a partir de exemplo

Primeiro, implemente o exemplo de blueprint. A importação cria um novo blueprint em seu ambiente com base no exemplo.

1. Selecione Todos os serviços no painel esquerdo. Pesquise e selecione Blueprints.

2. Na página Introdução à esquerda, selecione o botão Criar em Criar um blueprint.

3. Encontre o exemplo de blueprint Grupos de Recursos com RBAC em Outros Exemplos e selecione-o.

4. Insira as noções básicas do exemplo de blueprint:

   • Nome do blueprint: dê um nome para a cópia do exemplo de blueprint. Para este tutorial, usaremos o nome two-rgs-with-role-assignments.
   • Local de definição: use as reticências e selecione o grupo de gerenciamento ou a assinatura em que deseja salvar a cópia do exemplo.

5. Selecione a guia Artefatos na parte superior da página ou Próximo: Artefatos na parte inferior da página.

6. Examine a lista de artefatos que compõem o exemplo de blueprint. Este exemplo define dois grupos de recursos, com nomes de exibição de ProdRG e PreProdRG. O nome final e o local de cada grupo de recursos são definidos durante a atribuição de blueprint. O grupo de recursos ProdRG recebe a função Colaborador e o grupo de recursos PreProdRG recebe as funções Proprietário e Leitores . As funções atribuídas na definição são estáticas, mas usuário, aplicativo ou grupo atribuído à função é definido durante a atribuição de blueprint.

7. Selecione Salvar Rascunho quando terminar de revisar o exemplo de blueprint.

Esta etapa cria uma cópia da definição do blueprint de exemplo na assinatura ou no grupo de gerenciamento selecionado. A definição de blueprint salva é gerenciada como qualquer blueprint criado do zero. Você pode salvar o exemplo em seu grupo de gerenciamento ou assinatura quantas vezes for necessário. No entanto, cada cópia deve receber um nome exclusivo.

Quando a notificação do portal Êxito ao salvar a definição de blueprint for exibida, avance para a próxima etapa.

Publicar a cópia de exemplo

Agora a cópia do exemplo de blueprint foi criada em seu ambiente. Ele é criado no modo Rascunho e deve ser publicado antes de ser atribuído e implantado. A cópia da amostra do modelo de projeto pode ser personalizada para o seu ambiente e suas necessidades. Para este tutorial, não faremos nenhuma alteração.

1. Selecione Todos os serviços no painel esquerdo. Pesquise e selecione Blueprints.

2. Selecione a página de definições do Blueprint à esquerda. Use os filtros para localizar a definição de blueprint two-rgs-with-role-assignments e, em seguida, selecione-o.

3. Selecione Publicar modelo no topo da página. No novo painel à direita, forneça a Versão como 1.0 para a cópia do exemplo de blueprint. Essa propriedade será útil se você fizer uma modificação posteriormente. Forneça notas de alteração, como "Primeira versão publicada dos grupos de recursos com um exemplo de blueprint do RBAC". Em seguida, clique em Publicar no rodapé da página.

Esta etapa possibilita atribuir o blueprint a uma assinatura. Depois de publicadas, as alterações ainda podem ser feitas. Alterações adicionais exigem publicação com um novo valor de versão para acompanhar as diferenças entre diferentes versões da mesma definição de blueprint.

Quando a notificação do portal A publicação da definição do blueprint foi bem-sucedida for exibida, avance para a próxima etapa.

Atribuir a cópia de exemplo

Quando a cópia do exemplo de blueprint for Publicada com êxito, ele poderá ser atribuído a uma assinatura do grupo de gerenciamento em que ele foi salvo. Nesta etapa, são fornecidos parâmetros para tornar cada implantação da cópia de um exemplo de blueprint única.

1. Selecione Todos os serviços no painel esquerdo. Pesquise e selecione Blueprints.

2. Selecione a página de definições do Blueprint à esquerda. Use os filtros para localizar a definição de blueprint two-rgs-with-role-assignments e, em seguida, selecione-o.

3. Selecione Atribuir blueprint na parte superior da página de definição de blueprint.

4. Forneça os valores de parâmetro para a atribuição de diagrama:

   • Basics

     • Assinaturas: selecione uma ou mais das assinaturas que estão no grupo de gerenciamento para o qual você salvou a cópia do exemplo de blueprint. Se você selecionar mais de uma assinatura, uma atribuição será criada para cada uma usando os parâmetros inseridos.
     • Nome de atribuição: o nome é preenchido previamente com base no nome da definição de blueprint.
     • Local: selecione uma região na qual a identidade gerenciada será criada. O Azure Blueprints usa essa identidade gerenciada para implantar todos os artefatos no blueprint atribuído. Para saber mais, confira as identidades gerenciadas para recursos do Azure. Para este tutorial, selecione Leste dos EUA 2.
     • Versão de definição de blueprint: escolha a versão Publicada1.0 da cópia do exemplo de definição de blueprint.

   • Atribuição de Bloqueio

     Selecione o modo de bloqueio de blueprint Somente Leitura. Para obter mais informações, consulte bloqueio de recursos de projetos.

   • Identidade Gerenciada

     Deixe a opção padrão atribuído pelo sistema. Para obter mais informações, consulte identidades gerenciadas.

   • Parâmetros de artefato

     Os parâmetros definidos nesta seção se aplicam ao artefato no qual ele é definido. Esses parâmetros são parâmetros dinâmicos , pois são definidos durante a atribuição do blueprint. Para cada artefato, defina o valor do parâmetro para o que é definido na coluna Valor . Para {Your ID}, selecione sua conta de usuário do Azure.

     Nome do artefato	Tipo de artefato	Nome do parâmetro	Value	Description
     Grupo de recursos prodRG	Grupo de recursos	Nome	ProductionRG	Define o nome do primeiro grupo de recursos.
     Grupo de recursos prodRG	Grupo de recursos	Localização	Oeste dos EUA 2	Define o local do primeiro grupo de recursos.
     Contributor	Atribuição de função	Usuário ou Grupo	{Sua ID}	Define qual usuário ou grupo conceder a atribuição de função colaborador no primeiro grupo de recursos.
     Grupo de recursos PreProdRG	Grupo de recursos	Nome	Pré-ProduçãoRG	Define o nome do segundo grupo de recursos.
     Grupo de recursos PreProdRG	Grupo de recursos	Localização	Oeste dos EUA	Define o local do segundo grupo de recursos.
     Proprietário	Atribuição de função	Usuário ou Grupo	{Sua ID}	Define qual usuário ou grupo deve conceder a atribuição de função proprietário no segundo grupo de recursos.
     Leitores	Atribuição de função	Usuário ou Grupo	{Sua ID}	Define a qual usuário ou grupo conceder a atribuição de função Leitor dentro do segundo grupo de recursos.

5. Depois que todos os parâmetros tiverem sido inseridos, selecione Atribuir na parte inferior da página.

Esta etapa implanta os recursos definidos e configura a Atribuição de Bloqueio selecionada. Os bloqueios de blueprint podem levar até 30 minutos para serem aplicados.

Depois que a notificação do portal de que a atribuição da definição de blueprint foi bem-sucedida for exibida, vá para a próxima etapa.

Inspecionar recursos implantados pela atribuição

A atribuição de blueprint cria e controla os artefatos definidos na definição de blueprint. Podemos ver o status dos recursos na página de atribuição do modelo e também examinando os recursos diretamente.

1. Selecione Todos os serviços no painel esquerdo. Pesquise e selecione Blueprints.

2. Selecione a página Blueprints atribuídos à esquerda. Use os filtros para localizar a atribuição de blueprint Assignment-two-rgs-with-role-assignments e, em seguida, selecione-o.

   Nessa página, podemos ver que a atribuição foi bem-sucedida e a lista de recursos criados juntamente com o respectivo estado de bloqueio do blueprint. Se a atribuição for atualizada, a lista suspensa Operação de atribuição mostrará detalhes sobre a implantação de cada versão de definição. Cada recurso listado que foi criado pode ser selecionado e abre a página de propriedades de recursos.

3. Selecione o grupo de recursos ProductionRG .

   Vemos que o nome do grupo de recursos é ProductionRG e não o nome de exibição do artefato ProdRG. Esse nome corresponde ao valor definido na atribuição do blueprint.

4. Selecione a página controle de acesso (IAM) à esquerda e, em seguida, a guia Atribuições de função .

   Aqui, vemos que sua conta recebeu a função Colaborador no escopo deste recurso. A atribuição de blueprint Assignment-two-rgs-with-role-assignments tem a função Proprietário, pois foi usada para criar o grupo de recursos. Essas permissões também são usadas para gerenciar recursos com bloqueios de blueprint configurados.

5. Na trilha do portal do Azure, selecione Assignment-two-rgs-with-role-assignments para retornar uma página e, em seguida, selecione o grupo de recursos PreProductionRG.

6. Selecione a página controle de acesso (IAM) à esquerda e, em seguida, a guia Atribuições de função .

   Aqui, vemos que sua conta recebeu as funções Proprietário e Leitor , ambas no escopo desse recurso. A atribuição de blueprint também tem a função Proprietário assim como o primeiro grupo de recursos.

7. Selecione a guia Negar atribuições .

   A atribuição de blueprint criou uma atribuição de negação no grupo de recursos implantado para impor o modo de bloqueio Somente Leitura do blueprint. A atribuição de negação impede que alguém com os direitos adequados execute ações específicas na guia Atribuições de função. A atribuição de negação afeta Todas as entidades.

8. Selecione a atribuição de negação e, em seguida, selecione a página Permissões Negadas à esquerda.

   A atribuição de negação está impedindo todas as operações com o * e a configuração Ação, mas permite acesso de leitura excluindo */read por meio de NotActions.

9. Na trilha do portal do Azure, selecione PreProductionRG – Controle de acesso (IAM). Em seguida, selecione a página Visão geral à esquerda e, em seguida, o botão Excluir grupo de recursos . Insira o nome PreProductionRG para confirmar a exclusão e selecione Excluir na parte inferior do painel.

   A notificação do portal Falha ao excluir o grupo de recursos PreProductionRG é exibida. O erro informa que, embora sua conta tenha permissão para excluir o grupo de recursos, o acesso é negado pela atribuição de blueprint. Lembre-se de que selecionamos o modo de bloqueio de blueprint Somente Leitura durante a atribuição de blueprint. O bloqueio de blueprint impede que uma conta com permissão, até mesmo Proprietário, exclua o recurso. Para obter mais informações, consulte bloqueio de recursos de projetos.

Essas etapas mostram que nossos recursos foram criados conforme definido e os bloqueios de blueprint impediram a exclusão indesejada, mesmo de uma conta com permissão.

Cancelar a atribuição do blueprint

A última etapa é remover a atribuição do blueprint e os recursos que ele implantou. Remover a atribuição não remove os artefatos implantados.

1. Selecione Todos os serviços no painel esquerdo. Pesquise e selecione Blueprints.

2. Selecione a página Blueprints atribuídos à esquerda. Use os filtros para localizar a atribuição de blueprint Assignment-two-rgs-with-role-assignments e, em seguida, selecione-o.

3. Selecione o botão Desatribuir modelo na parte superior da página. Leia o aviso na caixa de diálogo de confirmação e selecione OK.

   Com a atribuição de blueprint removida, os bloqueios de blueprint também são removidos. Os recursos criados podem ser excluídos novamente por uma conta com permissões.

4. Selecione grupos de recursos no menu do Azure e selecione ProductionRG.

5. Selecione a página controle de acesso (IAM) à esquerda e, em seguida, a guia Atribuições de função .

A segurança de cada grupo de recursos ainda tem as atribuições de função implantadas, mas a atribuição de blueprint não tem mais acesso de Proprietário.

Quando a notificação do portal A remoção da atribuição do blueprint foi bem-sucedida for exibida, avance para a próxima etapa.

Limpar os recursos

Quando terminar este tutorial, exclua os seguintes recursos:

• Grupo de recursos ProductionRG
• Grupo de recursos PreProductionRG
• Definição de blueprint two-rgs-with-role-assignments

Próximas etapas

Neste tutorial, você aprendeu a criar um novo blueprint a partir de uma definição de exemplo. Para saber mais sobre o Azure Blueprints, prossiga para o artigo sobre o ciclo de vida do blueprint.