Встроенные политики для Azure Monitor

Ниже показано, как применить политику для отправки журналов аудита в хранилища ключей в рабочую область Log Analytics.

1. На странице "Политика" выберите "Определения".

2. Выберите область. Политику можно применить ко всей подписке, группе ресурсов или отдельному ресурсу.

3. В раскрывающемся списке "Тип определения" выберите "Политика".

4. Выберите "Мониторинг" в раскрывающемся списке "Категория"

5. Введите keyvault в поле поиска .

6. Выберите группу "Включить ведение журнала по категориям" для хранилищ ключей (microsoft.keyvault/vaults) в политику Log Analytics ,

7. На странице определения политики выберите " Назначить"

8. Перейдите на вкладку Параметры.

9. Выберите рабочую область Log Analytics, в которую нужно отправить журналы аудита.

10. Перейдите на вкладку "Исправление".

11. На вкладке "Исправление" выберите политику keyvault в раскрывающемся списке "Политика".

12. Установите флажок "Создать управляемое удостоверение ".

13. В разделе "Тип управляемого удостоверения" выберите назначаемое системой управляемое удостоверение.

14. Выберите Проверить и создать, а затем выберите Создать.

Чтобы применить политику с помощью интерфейса командной строки, используйте следующие команды:

1. Создание назначения политики с помощью az policy assignment create.

     az policy assignment create --name <policy assignment name>  --policy "6b359d8f-f88d-4052-aa7c-32015963ecc1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID"}}" --mi-system-assigned --location <location>
   

   Например, чтобы применить политику для отправки журналов аудита в рабочую область Log Analytics

     az policy assignment create --name "policy-assignment-1"  --policy "6b359d8f-f88d-4052-aa7c-32015963ecc1"  --scope /subscriptions/12345678-aaaa-bbbb-cccc-1234567890ab/resourceGroups/rg-001 --params "{\"logAnalytics\": {\"value\": \"/subscriptions/12345678-aaaa-bbbb-cccc-1234567890ab/resourcegroups/rg-001/providers/microsoft.operationalinsights/workspaces/workspace-001\"}}" --mi-system-assigned --location eastus
   

2. Назначьте необходимую роль идентификатору, созданному для назначения политики. Поиск роли в определении политики путем поиска roleDefinitionIds

      ...},
         "roleDefinitionIds": [
           "/providers/Microsoft.Authorization/roleDefinitions/92aaf0da-9dab-42b6-94a3-d43ce8d16293"
         ],
         "deployment": {
           "properties": {...
   

   Назначьте требуемую роль с помощью az policy assignment identity assign:

   az policy assignment identity assign --system-assigned --resource-group <resource group name> --role <role name or ID> --identity-scope </scope> --name <policy assignment name>
   

   Например:

   az policy assignment identity assign --system-assigned --resource-group rg-001  --role 92aaf0da-9dab-42b6-94a3-d43ce8d16293 --identity-scope /subscriptions/12345678-aaaa-bbbb-cccc-1234567890ab/resourceGroups/rg001 --name policy-assignment-1
   

3. Активируйте проверку, чтобы найти существующие ресурсы с помощью az policy state trigger-scan.

   az policy state trigger-scan --resource-group rg-001
   

4. Создайте задачу исправления, чтобы применить политику к существующим ресурсам с помощью az policy remediation create.

   az policy remediation create -g <resource group name> --policy-assignment <policy assignment name> --name <remediation name> 
   

   Например,

   az policy remediation create -g rg-001 -n remediation-001 --policy-assignment policy-assignment-1
   

Дополнительные сведения о назначении политик с помощью CLI см . в справочнике по Azure CLI — az policy assignment

Чтобы применить политику с помощью PowerShell, используйте следующие команды:

1. Настройте свое окружение. Выберите подписку и задайте группу ресурсов

   Select-AzSubscription <subscriptionID>
   $rg = Get-AzResourceGroup -Name <resource groups name>    
   

2. Получите определение политики и настройте параметры политики. В приведенном ниже примере мы назначаем политику отправки журналов keyVault в рабочую область Log Analytics.

   $definition = Get-AzPolicyDefinition |Where-Object Name -eq 6b359d8f-f88d-4052-aa7c-32015963ecc1
   $params =  @{"logAnalytics"="/subscriptions/<subscriptionID/resourcegroups/<resourcgroup>/providers/microsoft.operationalinsights/workspaces/<log anlaytics workspace name>"}  
   

3. Назначение политики

   $policyAssignment=New-AzPolicyAssignment -Name <assignment name> -DisplayName "assignment display name" -Scope $rg.ResourceId -PolicyDefinition $definition -PolicyparameterObject $params -IdentityType 'SystemAssigned' -Location <location>
   
   #To get your assignemnt use:
   $policyAssignment=Get-AzPolicyAssignment -Name '<assignment name>' -Scope '/subscriptions/<subscriptionID>/resourcegroups/<resource group name>'
   
   

4. Назначение требуемой роли или ролей назначенному системой управляемому удостоверению

       $principalID=$policyAssignment.Identity.PrincipalId
       $roleDefinitionIds=$definition.Properties.policyRule.then.details.roleDefinitionIds
       $roleDefinitionIds | ForEach-Object {
           $roleDefId = $_.Split("/") | Select-Object -Last 1
           New-AzRoleAssignment -Scope $rg.ResourceId -ObjectId $policyAssignment.Identity.PrincipalId -RoleDefinitionId $roleDefId
       }
   

5. Проверьте соответствие требованиям, а затем создайте задачу исправления для принудительного соответствия существующим ресурсам.

       Start-AzPolicyComplianceScan -ResourceGroupName $rg.ResourceGroupName
       Start-AzPolicyRemediation -Name $policyAssignment.Name -PolicyAssignmentId $policyAssignment.PolicyAssignmentId  -ResourceGroupName $rg.ResourceGroupName
   

6. Проверка соответствия

   Get-AzPolicyState -PolicyAssignmentName  $policyAssignment.Name -ResourceGroupName $policyAssignment.ResourceGroupName|select-object IsCompliant, ResourceID
   

1. На странице "Определения политики " выберите область.

2. Выберите инициативу в раскрывающемся списке "Тип определения".

3. Выберите "Мониторинг" в раскрывающемся списке "Категория ".

4. Введите аудит в поле поиска .

5. Выберите параметр "Включить ведение журнала ресурсов группы аудита" для поддерживаемых ресурсов в Log Analytics .

6. На следующей странице выберите " Назначить"

7. На вкладке "Основные сведения" на странице "Назначение инициативы" выберите область, к которой будет применена инициатива.

8. Введите имя в поле "Имя назначения".

9. Перейдите на вкладку "Параметры ".

   Параметры содержат параметры, определенные в политике. В этом случае необходимо выбрать рабочую область Log Analytics, в которую мы хотим отправить журналы. Дополнительные сведения о отдельных параметрах для каждой политики см. в разделе "Параметры, относящиеся к политике".

10. Выберите рабочую область Log Analytics, чтобы отправить журналы аудита.

11. Выберите Проверить и создать, а затем — Создать.

Чтобы убедиться, что ваша политика или назначение инициативы работает, создайте ресурс в области подписки или группы ресурсов, определенной в назначении политики.

Через 10 минут выберите страницу параметров диагностики для ресурса. Параметр диагностики отображается в списке с именем по умолчанию setByPolicy-LogAnalytics и именем рабочей области, настроенным в политике.

Измените имя по умолчанию на вкладке "Параметры" на странице "Назначить инициативу" или страницу политики, отменив выборку "Только параметры" для ввода или проверки.

1. Настройка переменных среды

   # Set up your environment variables.
   $subscriptionId = <your subscription ID>;
   $rg = Get-AzResourceGroup -Name <your resource group name>;
   Select-AzSubscription $subscriptionId;
   $logAnlayticsWorskspaceId=</subscriptions/$subscriptionId/resourcegroups/$rg.ResourceGroupName/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>;
   

2. Получите определение инициативы. В этом примере мы будем использовать ведение журнала ресурсов группы аудита для поддерживаемых ресурсов в Log Analytics, ResourceID "/providers/Microsoft.Authorization/policySetDefinitions/f5b29bc4-feca-4cc6-a58a-772dd5e290a5"

   $definition = Get-AzPolicySetDefinition |Where-Object ResourceID -eq /providers/Microsoft.Authorization/policySetDefinitions/f5b29bc4-feca-4cc6-a58a-772dd5e290a5;
   

3. Задайте имя назначения и настройте параметры. Для этой инициативы параметры включают идентификатор рабочей области Log Analytics.

   $assignmentName=<your assignment name>;
   $params =  @{"logAnalytics"="/subscriptions/$subscriptionId/resourcegroups/$($rg.ResourceGroupName)/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>"}  
   

4. Назначение инициативы с помощью параметров

   $policyAssignment=New-AzPolicyAssignment -Name $assignmentName  -Scope $rg.ResourceId -PolicySetDefinition $definition -PolicyparameterObject $params -IdentityType 'SystemAssigned' -Location eastus;
   

5. Contributor Назначьте роль назначенному системой управляемому удостоверению. Для других инициатив проверьте, какие роли необходимы.

    New-AzRoleAssignment -Scope $rg.ResourceId -ObjectId $policyAssignment.Identity.PrincipalId -RoleDefinitionName Contributor;
   

6. Проверка соответствия политик. Команда Start-AzPolicyComplianceScan занимает несколько минут, чтобы вернуться

   Start-AzPolicyComplianceScan -ResourceGroupName $rg.ResourceGroupName;
   

7. Получение списка ресурсов для исправления и необходимых параметров путем вызова Get-AzPolicyState

   $assignmentState=Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName;   
   $policyAssignmentId=$assignmentState.PolicyAssignmentId[0];
   $policyDefinitionReferenceIds=$assignmentState.PolicyDefinitionReferenceId;
   

8. Для каждого типа ресурса с несоответствующим ресурсам запустите задачу исправления.

       $policyDefinitionReferenceIds | ForEach-Object {
             $referenceId = $_
             Start-AzPolicyRemediation -ResourceGroupName $rg.ResourceGroupName  -PolicyAssignmentId $policyAssignmentId   -PolicyDefinitionReferenceId $referenceId -Name "$($rg.ResourceGroupName) remediation $referenceId";
       }
   

9. Проверьте состояние соответствия при завершении задач исправления.

   Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName|select-object IsCompliant, ResourceID
   

Сведения о назначении политики можно получить с помощью следующей команды:

  $policyAssignment=Get-AzPolicyAssignment -Name $assignmentName -Scope "/subscriptions/$subscriptionId/resourcegroups/$($rg.ResourceGroupName)";

1. Войдите в учетную запись Azure с помощью az login команды.

2. Выберите подписку, в которой вы хотите применить инициативу политики с помощью az account set команды.

3. Назначьте инициативу с помощью az policy assignment create.

   az policy assignment create --name <assignment name> --resource-group <resource group name> --policy-set-definition <initiative name> --params <parameters object> --mi-system-assigned --location <location>
   

   Например:

   az policy assignment create --name "assign-cli-example-01" --resource-group "cli-example-01" --policy-set-definition 'f5b29bc4-feca-4cc6-a58a-772dd5e290a5' --params '{"logAnalytics":{"value":"/subscriptions/12345678-aaaa-bbbb-cccc-1234567890ab/resourcegroups/cli-example-01/providers/microsoft.operationalinsights/workspaces/cli-example-01-ws"}, "diagnosticSettingName":{"value":"AssignedBy-cli-example-01"}}' --mi-system-assigned --location eastus
   

4. Назначение требуемой роли управляемому удостоверению системы

   Найдите роли для назначения в любом из определений политик в инициативе, выполнив поиск определения roleDefinitionIds, например:

      ...},
         "roleDefinitionIds": [
           "/providers/Microsoft.Authorization/roleDefinitions/92aaf0da-9dab-42b6-94a3-d43ce8d16293"
         ],
         "deployment": {
           "properties": {...
   

   Назначьте требуемую роль с помощью az policy assignment identity assign:

   az policy assignment identity assign --system-assigned --resource-group <resource group name> --role <role name or ID> --identity-scope <scope> --name <policy assignment name>
   

   Например:

   az policy assignment identity assign --system-assigned --resource-group "cli-example-01" --role 92aaf0da-9dab-42b6-94a3-d43ce8d16293 --identity-scope "/subscriptions/12345678-aaaa-bbbb-cccc-1234567890ab/resourcegroups/cli-example-01" --name assign-cli-example-01
   

5. Создайте задачи исправления для политик в инициативе.

   Задачи исправления создаются для каждой политики. Каждая задача предназначена для конкретной definition-reference-idзадачи, указанной в инициативе как policyDefinitionReferenceId. Чтобы найти definition-reference-id параметр, используйте следующую команду:

   az policy set-definition show --name f5b29bc4-feca-4cc6-a58a-772dd5e290a5 |grep policyDefinitionReferenceId
   

   Исправление ресурсов с помощью az policy remediation create

   az policy remediation create --resource-group <resource group name> --policy-assignment <assignment name> --name <remediation task name> --definition-reference-id  "policy specific reference ID"  --resource-discovery-mode ReEvaluateCompliance
   

   Например:

   az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name "rem-assign-cli-example-01" --definition-reference-id  "keyvault-vaults"  --resource-discovery-mode ReEvaluateCompliance
   

   Чтобы создать задачу исправления для всех политик в инициативе, используйте следующий пример:

   for policyDefinitionReferenceId in $(az policy set-definition show --name f5b29bc4-feca-4cc6-a58a-772dd5e290a5 |grep policyDefinitionReferenceId |cut -d":" -f2|sed s/\"//g) 
   do 
       az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name remediate-$policyDefinitionReferenceId --definition-reference-id $policyDefinitionReferenceId; 
   done