Руководство по защите новых ресурсов с помощью блокировок ресурсов Azure Blueprints

С помощью блокировок ресурсов Azure Blueprints можно защитить новые развернутые ресурсы от вмешательства, даже от учетной записи с ролью Владельца. Эту защиту можно добавить в определения чертежей ресурсов, созданных с помощью артефакта шаблона Azure Resource Manager (шаблона ARM). Блокировка ресурса схемы устанавливается во время назначения схемы.

В этом руководстве описано, как выполнить следующие действия.

Предпосылки

Если у вас нет подписки на Azure, создайте бесплатную учетную запись перед началом.

Создание определения схемы

Сначала создайте определение схемы.

1. Выберите все службы в левой области. Найдите и выберите чертежи.

2. На странице "Начало работы " слева выберите "Создать " в разделе "Создать схему".

3. Найдите образец схемы Пустая Схема в верхней части страницы. Выберите "Начать с пустой схемы".

4. Введите эти сведения на вкладке "Основные сведения" :

   • Имя схемы: укажите имя копии примера схемы. В этом руководстве мы будем использовать имя locked-storageaccount.
   • Описание схемы: добавьте описание определения схемы. Используйте для тестирования блокировки схемы ресурсов на развернутых ресурсах.
   • Расположение определения: нажмите кнопку с многоточием (...), а затем выберите группу управления или подписку, чтобы сохранить определение схемы.

5. Выберите вкладку "Артефакты" в верхней части страницы или нажмите кнопку "Далее: артефакты " в нижней части страницы.

6. Добавьте группу ресурсов на уровне подписки:

   1. Выберите строку "Добавить артефакт" в разделе "Подписка".
   2. Выберите группу ресурсов в разделе "Артефакт".
   3. Задайте отображаемое имя артефакта как RGtoLock.
   4. Оставьте пустые поля "Имя группы ресурсов " и "Расположение ", но убедитесь, что флажок установлен для каждого свойства, чтобы сделать их динамическими параметрами.
   5. Нажмите кнопку "Добавить ", чтобы добавить артефакт в схему.

7. Добавьте шаблон в группу ресурсов:

   1. Выберите строку "Добавить артефакт" в записи RGtoLock .

   2. Выберите шаблон Azure Resource Manager в разделе "Тип артефакта", задайте отображаемое имя артефакта в StorageAccount и оставьте описание пустым.

   3. На вкладке "Шаблон" вставьте следующий шаблон ARM в поле редактора. После вставки в шаблон нажмите кнопку "Добавить ", чтобы добавить артефакт в схему.

      Замечание

      На этом шаге определяются ресурсы для развертывания, которые блокируются блокировкой ресурсов Схемы, но не включают блокировки ресурсов схемы. Блокировки ресурсов схемы задаются в качестве параметра назначения схемы.

   {
       "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
       "contentVersion": "1.0.0.0",
       "parameters": {
           "storageAccountType": {
               "type": "string",
               "defaultValue": "Standard_LRS",
               "allowedValues": [
                   "Standard_LRS",
                   "Standard_GRS",
                   "Standard_ZRS",
                   "Premium_LRS"
               ],
               "metadata": {
                   "description": "Storage Account type"
               }
           }
       },
       "variables": {
           "storageAccountName": "[concat('store', uniquestring(resourceGroup().id))]"
       },
       "resources": [{
           "type": "Microsoft.Storage/storageAccounts",
           "name": "[variables('storageAccountName')]",
           "location": "[resourceGroup().location]",
           "apiVersion": "2018-07-01",
           "sku": {
               "name": "[parameters('storageAccountType')]"
           },
           "kind": "StorageV2",
           "properties": {}
       }],
       "outputs": {
           "storageAccountName": {
               "type": "string",
               "value": "[variables('storageAccountName')]"
           }
       }
   }
   

8. Нажмите кнопку "Сохранить черновик " в нижней части страницы.

На этом шаге создается определение схемы в выбранной группе управления или подписке.

После того как появится уведомление портала об успешном сохранении определения схемы, перейдите к следующему шагу.

Публикация определения схемы

Определение схемы теперь создано в вашей среде. Он создается в режиме черновика и должен быть опубликован, прежде чем его можно назначить и развернуть.

1. Выберите все службы в левой области. Найдите и выберите чертежи.

2. Выберите страницу определений схемы слева. Используйте фильтры для поиска определения проекта locked-storageaccount, а затем выберите его.

3. Выберите "Опубликовать схему " в верхней части страницы. В новой области справа введите 1.0 как Версия. Это свойство полезно при внесении изменений позже. Введите заметки об изменениях, например первая версия, опубликованная для блокировки развернутых ресурсов схемы. Затем выберите "Опубликовать " в нижней части страницы.

Этот шаг позволяет назначить схему подписке. После публикации определения схемы можно внести изменения. При внесении изменений необходимо опубликовать определение с новым значением версии, чтобы отслеживать различия между версиями одного определения схемы.

После успешного отображения уведомления портала о определении схемы публикации перейдите к следующему шагу.

Назначьте описание чертежа

После публикации определения плана его можно назначить подписке в той группе управления, где оно сохранено. На этом шаге вы предоставляете параметры, чтобы сделать каждое развертывание определения схемы уникальным.

1. Выберите все службы в левой области. Найдите и выберите чертежи.

2. Выберите страницу определений схемы слева. Используйте фильтры для поиска определения проекта locked-storageaccount, а затем выберите его.

3. Выберите "Назначить схему " в верхней части страницы определения схемы.

4. Укажите значения параметров для назначения схемы:

   • Основы

     • Подписки. Выберите одну или несколько подписок, которые находятся в группе управления, где вы сохранили определение схемы. Если выбрать несколько подписок, для каждой подписки будет создано назначение, используя вводимые параметры.
     • Имя назначения: имя предварительно заполняется на основе имени определения шаблона. Мы хотим, чтобы это назначение означало блокировку новой группы ресурсов, поэтому измените имя назначения на assignment-locked-storageaccount-TestingBPLocks.
     • Расположение. Выберите регион, в котором создается управляемое удостоверение. Azure Blueprints использует это управляемое удостоверение для развертывания всех артефактов в назначенном чертеже. Дополнительные сведения см. в статье об управляемых удостоверениях для ресурсов Azure. В этом руководстве выберите Восток США 2.
     • Версия определения схемы: выберите опубликованную версию 1.0 определения схемы.

   • Назначение блокировки

     Выберите режим блокировки чертежа "Только для чтения". Дополнительные сведения см. в разделе о блокировке ресурсов схемы.

     Замечание

     На этом шаге настраивается блокировка ресурса Blueprint для недавно развернутых ресурсов.

   • Управляемая идентичность

     Используйте параметр по умолчанию: системное назначение. Дополнительные сведения см. в управляемых идентификаторах.

   • Параметры артефакта

     Параметры, определенные в этом разделе, применяются к артефакту, в котором они определены. Эти параметры являются динамическими параметрами , так как они определены во время назначения схемы. Для каждого артефакта установите значение параметра, как указано в столбце Значение.

     Имя артефакта	Тип артефакта	Имя параметра	Ценность	Description
     Группа ресурсов RGtoLock	Группа ресурсов	Имя	TestingBPLocks	Определяет имя новой группы ресурсов, к которой будут применены блокировки плана.
     Группа ресурсов RGtoLock	Группа ресурсов	Местоположение	Западная часть США 2	Определяет расположение новой группы ресурсов для применения блокировок схемы.
     StorageAccount	Шаблон диспетчера ресурсов	Тип учетной записи хранения (StorageAccount)	Стандарт_GRS	Номер SKU хранилища. Значение по умолчанию — Standard_LRS.

5. После ввода всех параметров нажмите кнопку "Назначить " в нижней части страницы.

Этот шаг развертывает определенные ресурсы и настраивает выбранное назначение блокировки. Для применения блокировок схемы может потребоваться до 30 минут.

После того как появится уведомление портала об успешном назначении определения схемы , перейдите к следующему шагу.

Проверка ресурсов, развернутых заданием

Назначенная задача создает группу ресурсов TestingBPLocks и учетную запись хранилища, развернутую артефактом шаблона ARM. Новая группа ресурсов и выбранное состояние блокировки отображаются на странице сведений о назначении.

1. Выберите все службы в левой области. Найдите и выберите чертежи.

2. Выберите страницу "Назначенные схемы" слева. Используйте фильтры, чтобы найти назначение с заблокированным хранилищемaccount-TestingBPLocks , а затем выберите его.

   На этой странице мы видим, что назначение выполнено успешно и что ресурсы были развернуты с новым состоянием блокировки шаблона. Если назначение обновлено, в раскрывающемся списке операций назначения отображаются сведения о развертывании каждой версии определения. Чтобы открыть страницу свойств, можно выбрать группу ресурсов.

3. Выберите группу ресурсов TestingBPLocks .

4. Выберите страницу управления доступом (IAM) слева. Затем перейдите на вкладку "Назначения ролей ".

   Здесь мы видим, что назначение схемы assignment-locked-storageaccount-TestingBPLocks имеет роль владельца. Она имеет эту роль, так как эта роль использовалась для развертывания и блокировки группы ресурсов.

5. Выберите вкладку "Запретить назначения".

   Назначение схемы создало назначение запрета в развернутой группе ресурсов, чтобы применить режим блокировки схемы только для чтения . Назначение запрета запрещает пользователям с соответствующими правами на вкладке "Назначения ролей " выполнять определенные действия. Назначение отказа применяется ко всем субъектам.

   Сведения об исключении субъекта из назначения запрета см. в схеме блокировки ресурсов.

6. Выберите назначение запрета, а затем выберите страницу "Отклоненные разрешения" слева.

   Назначение запрета предотвращает все операции с конфигурацией * и Action, но разрешает доступ на чтение, исключая */read через NotActions.

7. На портале Azure на панели навигации выберите TestingBPLocks — управление доступом (IAM). Затем щелкните страницу обзора слева и нажмите кнопку "Удалить группу ресурсов ". Введите имя TestingBPLocks , чтобы подтвердить удаление, а затем нажмите кнопку "Удалить " в нижней части области.

   Появляется уведомление "Не удалось удалить группу ресурсов TestingBPLocks". Ошибка указывает, что хотя у вашей учетной записи есть разрешение на удаление группы ресурсов, доступ запрещен из-за назначения шаблона. Помните, что мы выбрали режим блокировки схемы только для чтения во время назначения схемы. Защита чертежа запрещает учетной записи с разрешениями, даже владельцу, удалять ресурс. Дополнительные сведения см. в разделе о блокировке ресурсов схемы.

Эти шаги показывают, что развернутые ресурсы теперь защищены блокировками Blueprint, которые предотвращают нежелательное удаление, даже в учетной записи, имеющей разрешение на удаление ресурсов.

Отменить назначение схемы

Последним шагом является снятие назначения определения схемы. Удаление назначения не удаляет связанные артефакты.

1. Выберите все службы в левой области. Найдите и выберите чертежи.

2. Выберите страницу "Назначенные схемы" слева. Используйте фильтры, чтобы найти назначение с заблокированным хранилищемaccount-TestingBPLocks , а затем выберите его.

3. Выберите "Отменить назначение схемы " в верхней части страницы. Прочтите предупреждение в диалоговом окне подтверждения и нажмите кнопку "ОК".

   При удалении назначения плана блокировки плана также удаляются. Ресурсы можно еще раз удалить учетной записью с соответствующими разрешениями.

4. Выберите группы ресурсов в меню Azure и выберите "TestingBPLocks".

5. Выберите страницу управления доступом (IAM) слева и перейдите на вкладку "Назначения ролей ".

Безопасность группы ресурсов показывает, что назначение схемы больше не имеет доступа владельца .

После того как появится уведомление портала об успешном удалении назначения схемы, перейдите к следующему шагу.

Очистите ресурсы

После завершения работы с этим руководством удалите следующие ресурсы:

• Группа ресурсов TestingBPLocks
• Определение проекта locked-storageaccount

Дальнейшие шаги

В этом руководстве вы узнали, как защитить новые ресурсы, развернутые с помощью Azure Blueprints. Дополнительные сведения о Azure Blueprints см. в статье о жизненном цикле шаблонов.