Общие сведения о блокировке ресурсов в Azure Blueprints

Создание согласованных сред в масштабе действительно ценно, если существует механизм поддержания этой согласованности. В этой статье объясняется, как работает блокировка ресурсов в Azure Blueprints. Пример блокировки ресурсов и применения назначений запретов см. в руководстве по защите новых ресурсов .

Режимы блокировки и состояния

Режим блокировки применяется к присвоению чертежа и имеет три варианта: не блокировать, только для чтения или удаление запрещено. Режим блокировки настраивается во время развертывания артефактов во время назначения схемы. Другой режим блокировки можно задать, обновив назначение схемы. Однако не удается изменить режимы блокировки за пределами Azure Blueprints.

Ресурсы, созданные артефактами в назначении схемы, имеют четыре состояния: «Не заблокировано», «Только чтение», «Не удается изменить или удалить» или «Не удается удалить». Каждый тип артефакта может находиться в состоянии "Не заблокирован". Следующая таблица может использоваться для определения состояния ресурса:

Переопределение состояний блокировки

Обычно это возможно, чтобы кто-то с соответствующим управлением доступом на основе ролей Azure (Azure RBAC) в подписке, например, с ролью 'Владелец', мог изменять или удалять любой ресурс. Этот вид доступа не имеет места, когда Azure Blueprints применяет блокировку в составе развернутого задания. Если назначение было задано с параметром "Только чтение " или " Не удалять ", даже владелец подписки не может выполнить заблокированное действие для защищенного ресурса.

Эта мера безопасности предотвращает нарушение целостности определённой схемы и среды, которую она предназначена создавать, от случайного или преднамеренного удаления или изменения.

Назначение в группе управления

Единственный способ запретить владельцам подписок удалить назначение схемы — назначить схему группе управления. В этом сценарии только владельцы группы управления имеют разрешения, необходимые для удаления назначения схемы.

Чтобы назначить схему группе управления вместо подписки, вызов REST API изменится следующим образом:

PUT https://management.azure.com/providers/Microsoft.Management/managementGroups/{assignmentMG}/providers/Microsoft.Blueprint/blueprintAssignments/{assignmentName}?api-version=2018-11-01-preview

Группа управления, определенная в {assignmentMG} иерархии групп управления, должна находиться в иерархии группы управления или в той же группе управления, где сохраняется определение схемы.

Текст запроса назначения схемы выглядит следующим образом:

{
    "identity": {
        "type": "SystemAssigned"
    },
    "location": "eastus",
    "properties": {
        "description": "enforce pre-defined simpleBlueprint to this XXXXXXXX subscription.",
        "blueprintId": "/providers/Microsoft.Management/managementGroups/{blueprintMG}/providers/Microsoft.Blueprint/blueprints/simpleBlueprint",
        "scope": "/subscriptions/{targetSubscriptionId}",
        "parameters": {
            "storageAccountType": {
                "value": "Standard_LRS"
            },
            "costCenter": {
                "value": "Contoso/Online/Shopping/Production"
            },
            "owners": {
                "value": [
                    "johnDoe@contoso.com",
                    "johnsteam@contoso.com"
                ]
            }
        },
        "resourceGroups": {
            "storageRG": {
                "name": "defaultRG",
                "location": "eastus"
            }
        }
    }
}

Ключевым различием в этом тексте запроса и тексте, назначенном подписке, является properties.scope свойство. Это необходимое свойство должно быть установлено для подписки, к которой применяется назначение плана. Подписка должна быть прямым дочерним элементом иерархии группы управления, где хранится назначение схемы.

Удаление состояний блокировки

Если необходимо изменить или удалить ресурс, защищенный назначением, это можно сделать двумя способами.

• Обновление назначения схемы в режим Не блокировать
• Удалите назначение чертежа

При удалении назначения блоки, созданные Azure Blueprints, удаляются. Однако ресурс остается недействующим и его необходимо удалить с помощью обычных средств.

Как работают замки чертежей

Действие запрета назначения в Azure RBAC применяется к ресурсам артефактов во время присвоения плана, если для назначения выбран параметр "Только для чтения" или "Не удалять". Действие запрета добавляется управляемым удостоверением назначения схемы и может быть удалено только из ресурсов артефактов с помощью того же управляемого удостоверения. Эта мера безопасности применяет механизм блокировки и предотвращает снятие блокировки чертежа за пределами Azure Blueprints.

Свойства запрета назначения каждого режима следующие:

Исключение субъекта из назначения запрета

В некоторых сценариях проектирования или безопасности может потребоваться исключить субъект из назначения отказа, создаваемого схемой. Этот шаг выполняется в REST API путем добавления до пяти значений в массив excludedPrincipals в свойстве locks при создании присвоения. Следующее определение задания является примером тела запроса, которое включает исключенные принципалы:

{
  "identity": {
    "type": "SystemAssigned"
  },
  "location": "eastus",
  "properties": {
    "description": "enforce pre-defined simpleBlueprint to this XXXXXXXX subscription.",
    "blueprintId": "/providers/Microsoft.Management/managementGroups/{mgId}/providers/Microsoft.Blueprint/blueprints/simpleBlueprint",
    "locks": {
        "mode": "AllResourcesDoNotDelete",
        "excludedPrincipals": [
            "7be2f100-3af5-4c15-bcb7-27ee43784a1f",
            "38833b56-194d-420b-90ce-cff578296714"
        ]
    },
    "parameters": {
      "storageAccountType": {
        "value": "Standard_LRS"
      },
      "costCenter": {
        "value": "Contoso/Online/Shopping/Production"
      },
      "owners": {
        "value": [
          "johnDoe@contoso.com",
          "johnsteam@contoso.com"
        ]
      }
    },
    "resourceGroups": {
      "storageRG": {
        "name": "defaultRG",
        "location": "eastus"
      }
    }
  }
}

Исключить действие из правила запрета

Аналогично исключению субъекта в назначении отказа в схеме, можно исключать определенные операции поставщика ресурсов Azure. В блоке properties.locks в том же месте, где находится excludedPrincipals, можно добавить excludedActions:

"locks": {
    "mode": "AllResourcesDoNotDelete",
    "excludedPrincipals": [
        "7be2f100-3af5-4c15-bcb7-27ee43784a1f",
        "38833b56-194d-420b-90ce-cff578296714"
    ],
    "excludedActions": [
        "Microsoft.ContainerRegistry/registries/push/write",
        "Microsoft.Authorization/*/read"
    ]
},

Хотя исключенные субъекты должны быть явно указаны, записи исключенных действий могут использовать * для сопоставления операций поставщика ресурсов с помощью подстановочных символов.

Дальнейшие шаги

• Следуйте инструкциям по защите новых ресурсов .
• Узнайте о жизненном цикле схемы.
• Узнайте, как использовать статические и динамические параметры.
• Узнайте, как настроить порядок последовательности схемы.
• Узнайте, как обновить существующие назначения.
• Устраните проблемы при назначении плана с общими методами устранения проблем.