Что такое Azure Blueprints (предварительная версия)?

Внимание

Azure Blueprints (предварительная версия) будет выведена из эксплуатации 31 января 2027 года, при этом поэтапный вывод из эксплуатации начнется 31 июля 2026 года. Перенесите существующие определения и назначения схем в стеки развертывания (рекомендуется) и спецификации шаблонов. Артефакты схемы преобразуются в JSON-шаблоны ARM или Bicep-файлы, которые используются для определения стеков развертывания. Сведения о полном поэтапном графике, последствиях и часто задаваемых вопросах см. в разделе О прекращении поддержки Azure Blueprints или https://aka.ms/AzureBlueprintsRetirement. Сведения о том, как создать артефакт в качестве ресурса ARM, см. в статье:

Так же, как чертеж позволяет инженеру или архитектору набросать конструктивные параметры для проекта, схемы Azure Blueprints позволяют облачным архитекторам и центральным ИТ-группам определять воспроизводимый набор ресурсов Azure, который реализует стандарты, шаблоны и требования организации и соблюдает их. С помощью Azure Blueprints группы разработчиков могут быстро создавать и вводить в действие новые среды, зная, что они создаются в соответствии с требованиями организации и обладают рядом встроенных возможностей, таких как сетевое взаимодействие, для ускорения разработки и поставки.

Схемы — это декларативный способ оркестрации развертывания различных шаблонов ресурсов и других артефактов, таких как:

  • Назначения ролей
  • Назначения политик
  • шаблоны Azure Resource Manager (шаблоны ARM);
  • Группы ресурсов

Служба Azure Blueprint поддерживает глобально распределенную базу данных Azure Cosmos DB. Объекты схемы реплицируются в нескольких регионах Azure. Такая репликация обеспечивает низкую задержку, высокий уровень доступности и постоянный доступ к объектам схемы, независимо от того, в каком регионе служба Azure Blueprints развернула ресурсы.

Отличия от шаблонов ARM

Служба предназначена для помощи с настройкой среды. Эта настройка часто включает набор групп ресурсов, политик, назначений ролей и развертываний шаблонов ARM. Схема — это пакет, который объединяет все эти артефакты. Вы можете компоновать такие пакеты и создавать их версии, в том числе через конвейер непрерывной интеграции и непрерывной поставки (CI/CD). В итоге каждый из них назначается одной подписке в рамках одной операции, которую можно проверить и отследить.

Почти все, что вы решите включить в схемы для развертывания в Azure Blueprints, можно реализовать с помощью шаблонов ARM. При этом шаблоны ARM — это документы, которые не существуют в Azure в исходном виде. Каждый из них хранится локально, в системе управления версиями или в службе Шаблоны (предварительная версия). Шаблон используется для развертывания одного или нескольких ресурсов Azure, но после развертывания этих ресурсов нет ни активного подключения с используемым шаблоном, ни отношения к нему.

В Azure Blueprints связь между определением схемы (тем, что должно быть развернуто) и назначением схемы (тем, что было развернуто) сохраняется. Эта связь поддерживает улучшенное отслеживание и аудит развертываний. Azure Blueprints также поддерживает одновременное обновление нескольких подписок, управляемых одной схемой.

Нет необходимости выбирать между схемой и шаблоном ARM. Каждая схема может состоять из нуля или более артефактов шаблона ARM. Это означает, что предыдущие действия по разработке и поддержке библиотеки шаблонов ARM не будут напрасными, так как все это можно использовать в Azure Blueprints.

Отличие от Политики Azure

Схема — это пакет или контейнер для составления специальных наборов стандартов, шаблонов и требований к реализации облачных служб Azure, безопасности и разработке, которые можно использовать многократно для поддержания согласованности и соответствия требованиям.

Политика — это система разрешений по умолчанию и явных запретов, ориентированная на свойства ресурсов во время развертывания и предназначенная для уже существующих ресурсов. Она поддерживает облачное управление, проверяя соответствие ресурсов в подписке требованиям и стандартам.

Включение политики в схему позволяет создавать правильный шаблон или проект во время назначения схемы. Применение политики также гарантирует, что в среду могут вноситься только утвержденные или планируемые изменения. Это обеспечивает постоянное соответствие целям схемы.

Политику можно включать в определение схем в качестве одного из многих артефактов. Схемы также поддерживают применение параметров в политиках и инициативах.

Определение схемы

Схема состоит из артефактов. Сейчас Azure Blueprints поддерживает следующие ресурсы в качестве артефактов:

Ресурс Параметры иерархии Описание
Группы ресурсов Подписка Создайте новую группу ресурсов для использования другими артефактами в схеме. Эти группы ресурсов-заполнителей позволяют упорядочивать ресурсы в точном соответствии с требуемой структурой и предоставляют механизм ограничения области для включенных артефактов назначения политик и ролей и шаблонов ARM.
Шаблон ARM Подписка, группа ресурсов Шаблоны, включая вложенные и связанные, используются для создания сложных сред. Примеры сред: ферма SharePoint, платформа настройки состояния службы автоматизации Azure или рабочая область Log Analytics.
Назначение политики Подписка, группа ресурсов Позволяет назначить политику или инициативу для подписки, которой назначен план. Эта политика или инициатива должна быть в области расположения определения схемы. Если политика или инициатива имеет параметры, эти параметры назначаются при создании схемы или во время назначения схемы.
Назначение ролей Подписка, группа ресурсов Добавьте существующего пользователя или группу во встроенную роль, чтобы соответствующие пользователи всегда имели соответствующий доступ к ресурсам. Назначения ролей можно определить для всей подписки или в определенной группе ресурсов, включенной в схему.

Примечание.

Размер каждого артефакта не должен превышать 2 МБ. Если размер артефакта превышает 2 МБ, вы получите ошибку HTTP 500 (внутренняя ошибка сервера).

Расположение определений чертежа

При создании определения схемы вы указываете место сохранения схемы. Схемы можно сохранять только в группах управления или подписках, к которым у вас есть доступ участника. Если расположение представляет собой группу управления, схему можно назначать любой дочерней подписке этой группы управления.

Параметры схемы

Схемы могут передавать параметры в политику или инициативу либо в шаблон ARM. При добавлении в схему какого-либо артефакта автор выбирает, предоставить ли определенное значение каждому назначению схемы или разрешить предоставлять значение каждому назначению схемы во время назначения. Такая гибкость позволяет задать предопределенное значение для всех видов использования схемы или разрешить принимать это решение во время назначения.

Примечание.

Схема может иметь собственные параметры, но в настоящее время их можно создать только в том случае, если схема была создана из REST API, а не на портале.

Дополнительные сведения см. в описании параметров схемы.

Публикация чертежа

При первом создании проект считается находящимся в режиме Draft. Когда она будет готова к назначению, ее следует опубликовать. Для публикации необходимо задать строку версия (буквы, цифры и дефисы, не более 20 символов) и при желании указать необязательные сведения об изменениях. Version отличает его от будущих изменений того же шаблона и позволяет назначить каждую версию. Это управление версиями также означает, что разные версии одного и того же шаблона могут быть назначены одной и той же подписке. Когда в схему вносятся дополнительные изменения, опубликованнаяверсия продолжает существовать как версия с неопубликованными изменениями. После завершения изменений обновленная схема публикуется с новой и уникальной версией, и с этого момента ее также можно назначать.

Назначение схемы

Каждую опубликованнуюверсию схемы (с именем максимальной длины в 90 символов) можно назначить существующей группе управления или подписке. На портале схеме по умолчанию назначается версия, соответствующая версии последней опубликованной схемы. Если имеются параметры артефакта или схемы, они будут задаваться в процессе назначения.

Примечание.

Назначение определения схемы для группы управления означает, что объект назначения существует в группе управления. Развертывание артефактов все равно ориентировано на подписку. Чтобы выполнить назначение группы управления, используйте REST API создания или обновления и укажите в теле запроса значение для properties.scope, чтобы определить целевую подписку.

Разрешения в Azure Blueprint

Управляйте разрешениями чертежа с помощью средства управления доступом Azure на основе ролей (Azure RBAC).

Для чтения или просмотра определения схемы не требуется выделенное Azure разрешение RBAC. Определения схем должны быть доступны для обнаружения теми субъектами, к которым они применяются, поэтому любой прошедший аутентификацию субъект в арендаторе может перечислять и читать определения схем с областью действия на уровне группы управления, их версии и артефакты, в том числе через REST API, даже без назначения роли для этой группы управления. Для чтения определения схемы, хранящегося в подписке, требуется доступ на чтение к этой подписке. Для создания, публикации, назначения, обновления и удаления схем всегда требуются разрешения, описанные в этой статье.

Внимание

Так как любой прошедший проверку подлинности субъект в клиенте может читать определения схемы, не хранить секреты или другие конфиденциальные сведения непосредственно в определении схемы или в его параметрах defaultValue. Для секретов используйте параметры secureString или secureObject со ссылками на Azure Key Vault, которые хранят значение секрета в Key Vault, а не в плане.

Для создания схем ваша учетная запись должна иметь следующие разрешения:

  • Microsoft.Blueprint/blueprints/write — создание определения схемы
  • Microsoft.Blueprint/blueprints/artifacts/write — создание артефактов в определении схемы
  • Microsoft.Blueprint/blueprints/versions/write — публикация схемы

Для удаления схем ваша учетная запись должна иметь следующие разрешения:

  • Microsoft.Blueprint/blueprints/delete
  • Microsoft.Blueprint/blueprints/artifacts/delete
  • Microsoft.Blueprint/blueprints/versions/delete

Примечание.

Разрешения на определение плана должны быть предоставлены или унаследованы на уровне группы управления или подписки, в которой оно сохранено.

Для назначения или отмены назначения схем ваша учетная запись должна иметь следующие разрешения:

  • Microsoft.Blueprint/blueprintAssignments/write — назначить схему
  • Microsoft.Blueprint/blueprintAssignments/delete — отменить назначение шаблона

Примечание.

Так как назначения проектов создаются в рамках подписки, разрешения на назначение и отмену назначения проектов должны быть предоставлены на уровне области действия подписки или наследоваться на этот уровень.

Доступны следующие встроенные роли:

Роль Azure Описание
Ответственное лицо Наряду с другими разрешениями включает все разрешения, связанные с Azure Blueprints.
Участник Наряду с другими разрешениями позволяет создавать и удалять определения схем, но не назначать схемы.
Участник схемы Позволяет управлять определениями схем, но не назначать их.
Оператор чертежа Позволяет назначать существующие опубликованные схемы, но не создавать новые определения схем. Назначение схемы работает только в том случае, если оно выполняется с использованием управляемого удостоверения, назначаемого пользователем.

Если эти встроенные роли не соответствуют вашим требованиям безопасности, можно создать настраиваемую роль.

Примечание.

При использовании управляемого удостоверения, назначенного системой, субъекту-службе для Azure Blueprints требуется роль владельца в назначенной подписке, чтобы включить развертывание. Если используется портал, эта роль автоматически назначается и отзывается для данного развертывания. При использовании REST API эту роль необходимо предоставлять вручную, но она тоже автоматически отменяется после завершения развертывания. При использовании управляемого идентификатора, назначаемого пользователем, разрешение Microsoft.Blueprint/blueprintAssignments/write требуется только пользователю, создающему назначение схемы. Это разрешение входит в обе встроенные роли: Владелец и Оператор схемы.

Ограничения имен

Для некоторых полей применяются следующие ограничения:

Объект Поле Допустимые символы Макс. Длина
Чертеж Имя. буквы, цифры, дефисы и подчеркивания 48
Чертеж Версия буквы, цифры, дефисы и точки 20
Назначение схемы Имя. буквы, цифры, дефисы и подчеркивания 90
Артефакт схемы Имя. буквы, цифры, дефисы и точки 48

Видеообзор

Следующий обзор Azure Blueprints взят из цикла Azure Fridays. Чтобы скачать видео, перейдите на Azure Fridays — обзор Azure Blueprints на Channel 9.

Прекращение поддержки Azure Blueprints

Azure Blueprints (предварительная версия) выходит на пенсию 31 января 2027 года, с поэтапного выхода на пенсию с 31 июля 2026 года. Перенесите определения и назначения планов в стеки развертывания Azure (рекомендуемые) и спецификации шаблонов до даты прекращения поддержки. Сведения о поэтапной временной шкале, влиянии и руководстве по миграции см. в следующих статье:

Следующие шаги

  • Last updated on