使用內建的 Azure 原則大規模建立診斷設定

使用下列步驟，使用 Azure 入口網站套用計劃或原則。

1. 從 Azure 入口網站的 [原則] 頁面，選取 [ 定義]。

2. 設定下列篩選器：

   1. 對於 [類別]，選取 [監視]。
   2. 針對 [定義類型]，選取 [計劃 ] 或 [原則]。

3. 找出並選取您想要指派的方案或原則。

   1. 對於方案，請在 [搜尋] 欄位中輸入 audit 或 allLogs，然後選取目的地的方案。

      

   2. 對於政策，請在 [ 搜尋 ] 欄位中輸入您的資源類型名稱，然後選取資源類型和目的地的政策。 下列範例會將金鑰保存庫資料傳送至 Log Analytics 工作區。

      

4. 從定義頁面中，選取指派任務。

   

5. 設定指派的 範圍 。 範圍可以是管理群組、訂用帳戶或資源群組。 計劃或原則會套用至範圍內的所有資源。

   

6. 選取 參數 索引標籤，然後選取您要傳送記錄的特定目的地。 這些詳細資訊會因目的地類型而異。 請參閱 引數， 以取得每個目的地型別引數的詳細資訊。

   

7. 選取 [修復 ] 索引標籤。這會將原則套用至範圍中的現有資源。 如果沒有補救工作，方案或原則指派只會套用至指派後所建立的新資源。

8. 啟用 [ 建立補救工作 ] 複選框，然後確定已啟用 [建立受控識別 ]。 在 [受控識別類型] 下，選取 [系統指派的受控識別]。

   

9. 選取 [檢閱 + 建立]，然後選取 [建立]。

使用 New-AzPolicyAssignment 命令來為方案或原則建立指派。 下列範例示範如何指派計劃，將類別群組記錄傳送 audit 至 Log Analytics 工作區。

1. 設定環境變數

   $subscriptionId = <your subscription ID>;
   $rg = Get-AzResourceGroup -Name <your resource group name>;
   Select-AzSubscription $subscriptionId;
   $logAnalyticsWorkspaceId=</subscriptions/$subscriptionId/resourcegroups/$rg.ResourceGroupName/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>;
   

2. 使用Get-AzPolicySetDefinition以獲取行動措施的定義，或Get-AzPolicyDefinition以獲取政策的定義。

   # Initiative
   $definition = Get-AzPolicySetDefinition | Where-Object {$_.DisplayName -eq 'Enable allLogs category group resource logging for supported resources to Log Analytics'}
   
   # Policy
   $definition = Get-AzPolicyDefinition | Where-Object {$_.DisplayName -eq 'Enable logging by category group for Key vaults (microsoft.keyvault/vaults) to Log Analytics'}
   

3. 設定指派名稱並設定參數。 在此範例中，參數包括 Log Analytics 工作區識別碼。 如需其他目的地型別引數的詳細資訊，請參閱 引數 。

   $assignmentName = <your assignment name>;
   $params =  @{"logAnalytics"="/subscriptions/$subscriptionId/resourcegroups/$($rg.ResourceGroupName)/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>"}  
   

4. 使用參數建立指派。

   $policyAssignment=New-AzPolicyAssignment -Name $assignmentName  -Scope $rg.ResourceId -PolicySetDefinition $definition -PolicyparameterObject $params -IdentityType 'SystemAssigned' -Location eastus
   

5. 將 Contributor 角色指派給系統指派的受控識別。 針對其他計劃，請確認需要哪些角色。

    New-AzRoleAssignment -Scope $rg.ResourceId -ObjectId $policyAssignment.Identity.PrincipalId -RoleDefinitionName Contributor
   

6. 瀏覽以確認原則合規性。 Start-AzPolicyComplianceScan 命令需要幾分鐘的時間，才會傳回

   Start-AzPolicyComplianceScan -ResourceGroupName $rg.ResourceGroupName;
   

7. 呼叫 Get-AzPolicyState 以取得要補救的資源清單和必要的參數

   $assignmentState=Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName;   
   $policyAssignmentId=$assignmentState.PolicyAssignmentId[0];
   $policyDefinitionReferenceIds=$assignmentState.PolicyDefinitionReferenceId;
   

8. 針對具有不相容資源的每個資源類型，請開始補救工作。

       $policyDefinitionReferenceIds | ForEach-Object {
             $referenceId = $_
             Start-AzPolicyRemediation -ResourceGroupName $rg.ResourceGroupName  -PolicyAssignmentId $policyAssignmentId   -PolicyDefinitionReferenceId $referenceId -Name "$($rg.ResourceGroupName) remediation $referenceId";
       }
   

9. 當補救工作完成時，請檢查合規性狀態。

   Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName|select-object IsCompliant, ResourceID
   

使用下列命令，使用 CLI 套用原則。 如需使用 CLI 進行原則指派的詳細資訊，請參閱 Azure CLI 參考 - az policy assignment。

1. 使用 az policy assignment create 建立原則指派。 這需要方案或策略定義的名稱或識別碼，而非顯示名稱。

   # Initiative        
   az policy assignment create --name <policy assignment name>  --policy-set-definition "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID>\"}}" --mi-system-assigned --location <location>
   
   # Policy
   az policy assignment create --name <policy assignment name>  --policy "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID"}}" --mi-system-assigned --location <location>
   

2. 將必要的角色指派給為原則指派所建立的身分識別。 搜尋 roleDefinitionIds，以尋找原則定義中的角色

      ...},
         "roleDefinitionIds": [
           "/providers/Microsoft.Authorization/roleDefinitions/92aaf0da-9dab-42b6-94a3-d43ce8d16293"
         ],
         "deployment": {
           "properties": {...
   

   使用 az policy assignment identity assign 指派必要的角色：

   az policy assignment identity assign --system-assigned --resource-group <resource group name> --role <role name or ID> --identity-scope </scope> --name <policy assignment name>
   

   例如：

   az policy assignment identity assign --system-assigned --resource-group rg-001  --role 92aaf0da-9dab-42b6-94a3-d43ce8d16293 --identity-scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rg001 --name policy-assignment-1
   

3. 在計劃中建立原則的補救工作。

   每個原則都會建立補救工作。 每個工作都適用於計劃中指定為 policyDefinitionReferenceId 的特定 definition-reference-id。 若要尋找 definition-reference-id 參數，請使用下列命令：

   az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId
   

   使用 az policy remediation create 補救資源

   az policy remediation create --resource-group <resource group name> --policy-assignment <assignment name> --name <remediation task name> --definition-reference-id  "policy specific reference ID"  --resource-discovery-mode ReEvaluateCompliance
   

   例如：

   az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name "rem-assign-cli-example-01" --definition-reference-id  "keyvault-vaults"  --resource-discovery-mode ReEvaluateCompliance
   

   若要為計劃中的所有原則建立補救工作，請使用下列範例：

   for policyDefinitionReferenceId in $(az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId |cut -d":" -f2|sed s/\"//g) 
   do 
       az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name remediate-$policyDefinitionReferenceId --definition-reference-id $policyDefinitionReferenceId; 
   done 
   

4. 使用 az policy state trigger-scan 觸發尋找現有資源的掃描。

   az policy state trigger-scan --resource-group rg-001
   

5. 使用 az policy remediation create 建立補救工作，將原則套用至現有的資源。

   az policy remediation create -g <resource group name> --policy-assignment <policy assignment name> --name <remediation name> 
   

   例如，

   az policy remediation create -g rg-001 -n remediation-001 --policy-assignment policy-assignment-1