Создание параметров диагностики в масштабе с помощью встроенных политик Azure

Выполните следующие действия, чтобы применить инициативу или политику с помощью портала Azure.

1. На странице "Политика" на портале Azure выберите "Определения".

2. Задайте следующий фильтр:

   1. Для категории выберите "Мониторинг".
   2. Для типа определения выберите "Инициатива " или "Политика".

3. Найдите и выберите инициативу или политику, которую вы хотите назначить.

   1. Для инициатив введите audit или allLogs в поле поиска и затем выберите инициативу для назначения.

      

   2. Для политик введите имя типа ресурса в поле поиска , а затем выберите политику для типа ресурса и назначения. В приведенном ниже примере данные хранилища ключей отправляются в рабочую область Log Analytics.

      

4. На странице определения выберите Назначить инициативу.

   

5. Задайте область назначения. Область может быть группой управления, подпиской или группой ресурсов. Инициатива или политика применяется ко всем ресурсам в пределах области.

   

6. Перейдите на вкладку "Параметры" , а затем выберите определенное место назначения, в котором нужно отправить журналы. Эти сведения зависят от каждого типа назначения. Дополнительные сведения о параметрах каждого типа назначения см. в разделе "Параметры ".

   

7. Перейдите на вкладку "Исправление ". Это приведет к применению политики к существующим ресурсам в области. Без задачи исправления инициатива или назначение политики применяется только к новым ресурсам, созданным после назначения.

8. Установите флажок "Создать задачу исправления", а затем убедитесь, что включено Создание управляемого удостоверения. В разделе "Тип управляемого удостоверения" выберите назначаемое системой управляемое удостоверение.

   

9. Выберите Проверить и создать, а затем выберите Создать.

Используйте команду New-AzPolicyAssignment для создания назначения для инициативы или политики. В следующем примере показано, как назначить инициативу для отправки audit журналов групп категорий в пространство Log Analytics.

1. Настройка переменных среды

   $subscriptionId = <your subscription ID>;
   $rg = Get-AzResourceGroup -Name <your resource group name>;
   Select-AzSubscription $subscriptionId;
   $logAnalyticsWorkspaceId=</subscriptions/$subscriptionId/resourcegroups/$rg.ResourceGroupName/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>;
   

2. Используйте Get-AzPolicySetDefinition для инициатив или Get-AzPolicyDefinition для политик, чтобы получить определение.

   # Initiative
   $definition = Get-AzPolicySetDefinition | Where-Object {$_.DisplayName -eq 'Enable allLogs category group resource logging for supported resources to Log Analytics'}
   
   # Policy
   $definition = Get-AzPolicyDefinition | Where-Object {$_.DisplayName -eq 'Enable logging by category group for Key vaults (microsoft.keyvault/vaults) to Log Analytics'}
   

3. Задайте имя назначения и настройте параметры. В этом примере параметры включают идентификатор рабочей области Log Analytics. Дополнительные сведения о параметрах для других типов назначения см. в разделе "Параметры ".

   $assignmentName = <your assignment name>;
   $params =  @{"logAnalytics"="/subscriptions/$subscriptionId/resourcegroups/$($rg.ResourceGroupName)/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>"}  
   

4. Создайте назначение с помощью параметров.

   $policyAssignment=New-AzPolicyAssignment -Name $assignmentName  -Scope $rg.ResourceId -PolicySetDefinition $definition -PolicyparameterObject $params -IdentityType 'SystemAssigned' -Location eastus
   

5. Contributor Назначьте роль назначенному системой управляемому удостоверению. Для других инициатив проверьте, какие роли необходимы.

    New-AzRoleAssignment -Scope $rg.ResourceId -ObjectId $policyAssignment.Identity.PrincipalId -RoleDefinitionName Contributor
   

6. Проверка соответствия политик. Команда Start-AzPolicyComplianceScan занимает несколько минут, чтобы вернуться

   Start-AzPolicyComplianceScan -ResourceGroupName $rg.ResourceGroupName;
   

7. Получение списка ресурсов для исправления и необходимых параметров путем вызова Get-AzPolicyState

   $assignmentState=Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName;   
   $policyAssignmentId=$assignmentState.PolicyAssignmentId[0];
   $policyDefinitionReferenceIds=$assignmentState.PolicyDefinitionReferenceId;
   

8. Для каждого типа ресурса с несоответствующим ресурсам запустите задачу исправления.

       $policyDefinitionReferenceIds | ForEach-Object {
             $referenceId = $_
             Start-AzPolicyRemediation -ResourceGroupName $rg.ResourceGroupName  -PolicyAssignmentId $policyAssignmentId   -PolicyDefinitionReferenceId $referenceId -Name "$($rg.ResourceGroupName) remediation $referenceId";
       }
   

9. Проверьте состояние соответствия при завершении задач исправления.

   Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName|select-object IsCompliant, ResourceID
   

Используйте следующие команды, чтобы применить политику с помощью интерфейса командной строки. Дополнительные сведения о назначении политик с помощью CLI см. в справочнике по Azure CLI — az policy assignment.

1. Создание назначения политики с помощью az policy assignment create. Для этого требуется имя или идентификатор инициативы или определения политики вместо отображаемого имени.

   # Initiative        
   az policy assignment create --name <policy assignment name>  --policy-set-definition "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID>\"}}" --mi-system-assigned --location <location>
   
   # Policy
   az policy assignment create --name <policy assignment name>  --policy "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID"}}" --mi-system-assigned --location <location>
   

2. Назначьте необходимую роль идентификатору, созданному для назначения политики. Поиск роли в определении политики путем поиска roleDefinitionIds

      ...},
         "roleDefinitionIds": [
           "/providers/Microsoft.Authorization/roleDefinitions/92aaf0da-9dab-42b6-94a3-d43ce8d16293"
         ],
         "deployment": {
           "properties": {...
   

   Назначьте требуемую роль с помощью az policy assignment identity assign:

   az policy assignment identity assign --system-assigned --resource-group <resource group name> --role <role name or ID> --identity-scope </scope> --name <policy assignment name>
   

   Рассмотрим пример.

   az policy assignment identity assign --system-assigned --resource-group rg-001  --role 92aaf0da-9dab-42b6-94a3-d43ce8d16293 --identity-scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rg001 --name policy-assignment-1
   

3. Создайте задачи исправления для политик в инициативе.

   Задачи исправления создаются для каждой политики. Каждая задача предназначена для конкретной definition-reference-idзадачи, указанной в инициативе как policyDefinitionReferenceId. Чтобы найти definition-reference-id параметр, используйте следующую команду:

   az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId
   

   Исправление ресурсов с помощью az policy remediation create

   az policy remediation create --resource-group <resource group name> --policy-assignment <assignment name> --name <remediation task name> --definition-reference-id  "policy specific reference ID"  --resource-discovery-mode ReEvaluateCompliance
   

   Рассмотрим пример.

   az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name "rem-assign-cli-example-01" --definition-reference-id  "keyvault-vaults"  --resource-discovery-mode ReEvaluateCompliance
   

   Чтобы создать задачу исправления для всех политик в инициативе, используйте следующий пример:

   for policyDefinitionReferenceId in $(az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId |cut -d":" -f2|sed s/\"//g) 
   do 
       az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name remediate-$policyDefinitionReferenceId --definition-reference-id $policyDefinitionReferenceId; 
   done 
   

4. Активируйте проверку, чтобы найти существующие ресурсы с помощью az policy state trigger-scan.

   az policy state trigger-scan --resource-group rg-001
   

5. Создайте задачу исправления, чтобы применить политику к существующим ресурсам с помощью az policy remediation create.

   az policy remediation create -g <resource group name> --policy-assignment <policy assignment name> --name <remediation name> 
   

   Например

   az policy remediation create -g rg-001 -n remediation-001 --policy-assignment policy-assignment-1