Руководство: Создание среды из примера шаблона

Примеры схем содержат примеры того, что можно сделать с помощью Azure Blueprints. Каждый из них является примером с конкретным намерением или целью, но не создает полную среду самостоятельно. Каждый из них предназначен в качестве отправного места для изучения с помощью azure Blueprints с различными сочетаниями включенных артефактов, конструкций и параметров.

В следующем руководстве используется пример схемы групп ресурсов с RBAC для демонстрации различных аспектов службы Azure Blueprints. Рассматриваются следующие действия.

Предпосылки

Для работы с этим руководством требуется подписка Azure. Если у вас нет подписки на Azure, создайте бесплатную учетную запись перед началом.

Создание определения схемы из примера

Сначала реализуйте пример схемы. Импорт создает новый шаблон в среде на основе примера.

1. Выберите все службы в левой области. Найдите и выберите чертежи.

2. На странице "Начало работы " слева нажмите кнопку "Создать " в разделе "Создать схему".

3. Найдите пример схемы групп ресурсов с RBAC в разделе "Другие примеры" и выберите его.

4. Введите основы примера схемы:

   • Имя схемы: укажите имя копии примера схемы. В этом руководстве мы будем использовать two-rgs-with-role-assignments.
   • Расположение определения: используйте многоточие и выберите группу управления или подписку, чтобы сохранить копию примера.

5. Выберите вкладку "Артефакты" в верхней части страницы или "Далее": артефакты в нижней части страницы.

6. Просмотрите список артефактов, составляющих пример схемы. В этом примере определяются две группы ресурсов с отображаемыми именами ProdRG и PreProdRG. Конечное имя и расположение каждой группы ресурсов задаются во время назначения схемы. Группе ресурсов ProdRG назначена роль участника , а группе ресурсов PreProdRG назначены роли владельца и читателей . Роли, назначенные в определении, являются статическими, но пользователь, приложение или группа, которым назначена роль, назначаются во время установки плана.

7. Нажмите кнопку "Сохранить черновик " после завершения проверки примера схемы.

На этом шаге создается копия примера определения схемы в выбранной группе управления или подписке. Сохраненное определение схемы управляется как любая схема, созданная с нуля. Вы можете сохранить образец в группе управления или подписке столько раз, сколько нужно. Однако каждая копия должна иметь уникальное имя.

После успешного отображения уведомления портала о сохранении определения схемы перейдите к следующему шагу.

Публикация примера копии

Копия образца чертежа теперь создана в вашей среде. Прежде чем его можно будет назначить и развернуть, он создается в режиме черновика и должен быть опубликован. Копия примера схемы может быть настроена для вашей среды и потребностей. В этом руководстве мы не будем вносить никаких изменений.

1. Выберите все службы в левой области. Найдите и выберите чертежи.

2. Выберите страницу определений схемы слева. Используйте фильтры, чтобы найти определение схемы с двумя rgs-with-role-assignments , а затем выберите его.

3. Выберите "Опубликовать схему " в верхней части страницы. В новой области справа укажите версию1.0 для копии примера схемы. Это свойство полезно, если вы внесите изменения позже. Укажите заметки об изменениях , например "Первая версия, опубликованная из групп ресурсов с примером схемы RBAC". Затем выберите "Опубликовать " в нижней части страницы.

Этот шаг позволяет назначить схему подписке. После публикации изменения по-прежнему можно вносить. Дополнительные изменения требуют публикации с новым значением версии для отслеживания различий между различными версиями одного определения схемы.

После успешного отображения уведомления портала о определении схемы публикации перейдите к следующему шагу.

Назначить образец копии

После успешной публикации копии примера схемы ее можно назначить подписке в группе управления, в которую она была сохранена. На этом шаге параметры предоставляются для того, чтобы сделать каждое развертывание копии примера чертежа уникальным.

1. Выберите все службы в левой области. Найдите и выберите чертежи.

2. Выберите страницу определений схемы слева. Используйте фильтры, чтобы найти определение схемы с двумя rgs-with-role-assignments , а затем выберите его.

3. Выберите "Назначить схему " в верхней части страницы определения схемы.

4. Укажите значения параметров для назначения схемы:

   • Basics

     • Подписки. Выберите одну или несколько подписок, которые находятся в группе управления, в которую вы сохранили копию примера схемы. Если выбрать несколько подписок, для каждого из них будет создано назначение с помощью введенных параметров.
     • Имя назначения: имя предварительно заполняется на основе имени определения схемы.
     • Расположение: Выберите регион для создаваемого управляемого удостоверения. Azure Blueprints использует это управляемое удостоверение для развертывания всех артефактов в назначенном чертеже. Дополнительные сведения см. в статье об управляемых удостоверениях для ресурсов Azure. В этом руководстве выберите Восток США 2.
     • Версия определения схемы. Выберите опубликованную версию 1.0 копии определения схемы.

   • Назначение блокировки

     Выберите режим блокировки чертежа "Только для чтения". Дополнительные сведения см. в разделе о блокировке ресурсов схемы.

   • Управляемая идентичность

     Оставьте параметр назначенный системой по умолчанию. Дополнительные сведения см. в управляемых идентификаторах.

   • Параметры артефакта

     Параметры, определенные в этом разделе, применяются к артефакту, в котором он определен. Эти параметры являются динамическими параметрами , так как они определены во время назначения схемы. Для каждого артефакта задайте для параметра значение, определенное в столбце Value . Для {Your ID} выберите учетную запись пользователя Azure.

     Имя артефакта	Тип артефакта	Имя параметра	Ценность	Description
     Группа ресурсов ProdRG	Группа ресурсов	Имя	ProductionRG	Определяет имя первой группы ресурсов.
     Группа ресурсов ProdRG	Группа ресурсов	Местоположение	Западная часть США 2	Задает расположение первой группы ресурсов.
     Contributor	Назначение ролей	Пользователь или группа	{Ваш идентификатор}	Определяет, какому пользователю или группе предоставить назначение роли Участник в первой группе ресурсов.
     Группа ресурсов PreProdRG	Группа ресурсов	Имя	PreProductionRG	Определяет имя второй группы ресурсов.
     Группа ресурсов PreProdRG	Группа ресурсов	Местоположение	West US	Задает расположение второй группы ресурсов.
     Владелец	Назначение ролей	Пользователь или группа	{Ваш идентификатор}	Определяет, какому пользователю или группе предоставить роль владельца во второй группе ресурсов.
     Читатели	Назначение ролей	Пользователь или группа	{Ваш идентификатор}	Определяет, какому пользователю или группе будет предоставлено назначение роли читателя во второй группе ресурсов.

5. После ввода всех параметров нажмите кнопку "Назначить " в нижней части страницы.

Этот шаг развертывает определенные ресурсы и настраивает выбранное назначение блокировки. Блокировка чертежа может занять до 30 минут.

После того как на портале появится уведомление Назначение определения схемы выполнено успешно, перейдите к следующему шагу.

Проверка ресурсов, развернутых заданием

Назначение схемы создает и отслеживает артефакты, определенные в определении схемы. Статус ресурсов можно увидеть на странице назначения шаблона и при непосредственном просмотре самих ресурсов.

1. Выберите все службы в левой области. Найдите и выберите чертежи.

2. Выберите страницу "Назначенные схемы" слева. Используйте фильтры, чтобы найти назначение шаблона Assignment-two-rgs-with-role-assignments и затем выберите его.

   На этой странице мы видим успешное назначение и список созданных ресурсов вместе с состоянием блокировки схемы. Если назначение обновлено, в раскрывающемся списке операций назначения отображаются сведения о развертывании каждой версии определения. Каждый созданный ресурс можно выбрать и открыть страницу свойств ресурсов.

3. Выберите группу ресурсов ProductionRG .

   Мы видим, что имя группы ресурсов — ProductionRG , а не отображаемое имя артефакта ProdRG. Это имя соответствует значению, заданному во время назначения схемы.

4. Выберите страницу управления доступом (IAM) слева, а затем вкладку "Назначения ролей ".

   Здесь мы видим, что вашей учетной записи была назначена роль Участника в рамках этого ресурса. Назначение схемы Assignment-two-rgs-with-role-assignments имеет роль Owner, поскольку оно использовалось для создания группы ресурсов. Эти разрешения также используются для управления ресурсами с настроенными блокировками схемы.

5. На портале Azure в верхней навигационной цепочке выберите Assignment-two-rgs-with-role-assignments, чтобы вернуться на одну страницу назад, затем выберите группу ресурсов PreProductionRG.

6. Выберите страницу управления доступом (IAM) слева, а затем вкладку "Назначения ролей ".

   Здесь мы видим, что вашей учетной записи были назначены роли и владельца, и читателя, в пределах этого ресурса. Назначение схемы также имеет роль владельца, как и первая группа ресурсов.

7. Выберите вкладку "Запретить назначения".

   Назначение схемы создало назначение запрета в развернутой группе ресурсов, чтобы применить режим блокировки схемы только для чтения . Назначение запрета запрещает пользователям с соответствующими правами на вкладке "Назначения ролей " выполнять определенные действия. Назначение отказа применяется ко всем субъектам.

8. Выберите назначение запрета, а затем выберите страницу «Запрещенные разрешения» слева.

   Назначение запрета предотвращает все операции с * и конфигурацией Action, но позволяет доступ на чтение, исключая */read с помощью NotActions.

9. На панели навигации портала Azure выберите PreProductionRG — управление доступом (IAM). Затем щелкните страницу обзора слева и нажмите кнопку "Удалить группу ресурсов ". Введите имя PreProductionRG , чтобы подтвердить удаление и нажмите кнопку "Удалить " в нижней части области.

   На портале отображается уведомление "Ошибка удаления группы ресурсов PreProductionRG". Ошибка указывает, что, в то время как у вашей учетной записи есть разрешение на удаление группы ресурсов, доступ ограничен назначением схемы. Помните, что мы выбрали режим блокировки схемы только для чтения во время назначения схемы. Защита чертежа запрещает учетной записи с разрешениями, даже владельцу, удалять ресурс. Дополнительные сведения см. в разделе о блокировке ресурсов схемы.

В этих шагах показано, что наши ресурсы были созданы согласно установленным параметрам, а блокировки чертежа предотвратили нежелательное удаление, даже если учетная запись имела соответствующие разрешения.

Отменить назначение схемы

Последним шагом является удаление присвоения плана и развернутых на его основе ресурсов. Удаление назначения не удаляет развернутые артефакты.

1. Выберите все службы в левой области. Найдите и выберите чертежи.

2. Выберите страницу "Назначенные схемы" слева. Используйте фильтры, чтобы найти назначение шаблона Assignment-two-rgs-with-role-assignments и затем выберите его.

3. Нажмите кнопку "Отменить назначение схемы " в верхней части страницы. Прочтите предупреждение в диалоговом окне подтверждения, а затем нажмите кнопку "ОК".

   При удалении назначения схемы также удаляются блокировки схемы. Созданные ресурсы можно еще раз удалить учетной записью с разрешениями.

4. Выберите группы ресурсов в меню Azure, а затем выберите ProductionRG.

5. Выберите страницу управления доступом (IAM) слева, а затем вкладку "Назначения ролей ".

Настройки безопасности для каждой группы ресурсов по-прежнему имеют развернутые назначения ролей, но назначение схемы больше не имеет доступа уровня владелец.

После того как появится успешное уведомление портала об удалении назначения схемы, перейдите к следующему шагу.

Очистите ресурсы

После завершения работы с этим руководством удалите следующие ресурсы:

• Группа ресурсов ProductionRG
• Группа ресурсов PreProductionRG
• Определение схемы two-rgs-with-role-assignments

Дальнейшие шаги

В этом руководстве вы узнали, как создать новую схему из примера определения. Дополнительные сведения о Azure Blueprints см. в статье о жизненном цикле шаблонов.