Principy zamykání prostředků v Azure Blueprints

Vytváření konzistentních prostředí ve velkém měřítku je skutečně cenné pouze v případě, že existuje mechanismus pro zachování této konzistence. Tento článek vysvětluje, jak funguje uzamykání prostředků v Azure Blueprints. Pokud se chcete podívat na příklad uzamčení prostředků a použití přiřazení zamítnutí, podívejte se na kurz ochrany nových prostředků .

Uzamykání režimů a stavů

Režim uzamčení se vztahuje na přiřazení podrobného plánu a má tři možnosti: Nezamknout, Jen pro čtení nebo Neodstraňovat. Režim uzamykání se konfiguruje během nasazování artefaktů během přiřazení podrobného plánu. Jiný režim uzamčení lze nastavit aktualizací přiřazení podrobného plánu. Režimy uzamčení se ale nedají změnit mimo Azure Blueprints.

Prostředky vytvořené artefakty v přiřazení podrobného plánu mají čtyři stavy: Není uzamčeno, Jen pro čtení, Nelze upravit nebo Odstranit nebo Nelze odstranit. Každý typ artefaktu může být ve stavu Není uzamčen. K určení stavu prostředku můžete použít následující tabulku:

Přepsání stavů uzamčení

Obvykle je možné, aby někdo, kdo má v předplatném odpovídající řízení přístupu na základě role v Azure (Azure RBAC), jako je role Vlastník, mohl měnit nebo odstraňovat jakýkoli prostředek. Tento přístup není případ, kdy Azure Blueprints použije uzamčení jako součást nasazeného přiřazení. Pokud bylo přiřazení nastaveno s možností Jen pro čtení nebo Neodstraňovat , ani vlastník předplatného nemůže u chráněného prostředku provést blokovanou akci.

Toto bezpečnostní opatření chrání konzistenci definovaného podrobného plánu a prostředí, které bylo navrženo k vytvoření před náhodným nebo programovým odstraněním nebo změnou.

Přiřazení ve skupině pro správu

Jedinou možností, jak zabránit vlastníkům předplatného v odebrání přiřazení podrobného plánu, je přiřadit podrobný plán skupině pro správu. V tomto scénáři mají oprávnění potřebná k odebrání přiřazení podrobného plánu jenom vlastníci skupiny pro správu.

Pokud chcete podrobný plán přiřadit ke skupině pro správu místo předplatného, volání rozhraní REST API bude vypadat takto:

PUT https://management.azure.com/providers/Microsoft.Management/managementGroups/{assignmentMG}/providers/Microsoft.Blueprint/blueprintAssignments/{assignmentName}?api-version=2018-11-01-preview

Skupina pro správu definovaná {assignmentMG} skupinou pro správu musí být buď v hierarchii skupin pro správu, nebo musí být stejnou skupinou pro správu, ve které je uložena definice podrobného plánu.

Text požadavku přiřazení podrobného plánu vypadá takto:

{
    "identity": {
        "type": "SystemAssigned"
    },
    "location": "eastus",
    "properties": {
        "description": "enforce pre-defined simpleBlueprint to this XXXXXXXX subscription.",
        "blueprintId": "/providers/Microsoft.Management/managementGroups/{blueprintMG}/providers/Microsoft.Blueprint/blueprints/simpleBlueprint",
        "scope": "/subscriptions/{targetSubscriptionId}",
        "parameters": {
            "storageAccountType": {
                "value": "Standard_LRS"
            },
            "costCenter": {
                "value": "Contoso/Online/Shopping/Production"
            },
            "owners": {
                "value": [
                    "johnDoe@contoso.com",
                    "johnsteam@contoso.com"
                ]
            }
        },
        "resourceGroups": {
            "storageRG": {
                "name": "defaultRG",
                "location": "eastus"
            }
        }
    }
}

Hlavní rozdíl v tomto textu požadavku a jeden přiřazený k předplatnému je properties.scope vlastnost. Tato požadovaná vlastnost musí být nastavená na předplatné, na které se přiřazení podrobného plánu vztahuje. Předplatné musí být přímým podřízeným objektem hierarchie skupin pro správu, kde je uloženo přiřazení podrobného plánu.

Odebrání stavů uzamčení

Pokud je nutné upravit nebo odstranit prostředek chráněný přiřazením, existují dva způsoby, jak to udělat.

• Aktualizace přiřazení podrobného plánu do režimu uzamčení zámku
• Odstranění přiřazení podrobného plánu

Po odebrání přiřazení se zámky vytvořené službou Azure Blueprints odeberou. Prostředek však zůstane za sebou a bude potřeba ho odstranit běžnými prostředky.

Jak fungují zámky podrobného plánu

Akce odepření přiřazení azure RBAC se použije u prostředků artefaktů během přiřazení podrobného plánu, pokud přiřazení vybrali možnost Jen pro čtení nebo Neodstraňovat. Akce zamítnutí se přidá spravovanou identitou přiřazení podrobného plánu a dá se odebrat jenom ze stejných prostředků artefaktů stejnou spravovanou identitou. Tato bezpečnostní opatření vynucuje mechanismus uzamčení a zabraňuje odebrání zámku podrobného plánu mimo Azure Blueprints.

Vlastnosti přiřazení zamítnutí jednotlivých režimů jsou následující:

Vyloučení objektu zabezpečení z přiřazení zamítnutí

V některýchscénářch Tento krok se provádí v rozhraní REST API přidáním až pěti hodnot do pole vyloučenýchPrincipals v uzamčení vlastnosti při vytváření přiřazení. Následující definice přiřazení je příkladem textu požadavku, který obsahuje vyloučenéPrincipals:

{
  "identity": {
    "type": "SystemAssigned"
  },
  "location": "eastus",
  "properties": {
    "description": "enforce pre-defined simpleBlueprint to this XXXXXXXX subscription.",
    "blueprintId": "/providers/Microsoft.Management/managementGroups/{mgId}/providers/Microsoft.Blueprint/blueprints/simpleBlueprint",
    "locks": {
        "mode": "AllResourcesDoNotDelete",
        "excludedPrincipals": [
            "7be2f100-3af5-4c15-bcb7-27ee43784a1f",
            "38833b56-194d-420b-90ce-cff578296714"
        ]
    },
    "parameters": {
      "storageAccountType": {
        "value": "Standard_LRS"
      },
      "costCenter": {
        "value": "Contoso/Online/Shopping/Production"
      },
      "owners": {
        "value": [
          "johnDoe@contoso.com",
          "johnsteam@contoso.com"
        ]
      }
    },
    "resourceGroups": {
      "storageRG": {
        "name": "defaultRG",
        "location": "eastus"
      }
    }
  }
}

Vyloučení akce z přiřazení zamítnutí

Podobně jako u objektu zabezpečení přiřazení zamítnutí v přiřazení podrobného plánu můžete vyloučit konkrétní operace poskytovatele prostředků Azure. V rámci bloku properties.locks lze přidat vyloučené akce na stejném místě, kde jsou vyloučenéPrincipals:

"locks": {
    "mode": "AllResourcesDoNotDelete",
    "excludedPrincipals": [
        "7be2f100-3af5-4c15-bcb7-27ee43784a1f",
        "38833b56-194d-420b-90ce-cff578296714"
    ],
    "excludedActions": [
        "Microsoft.ContainerRegistry/registries/push/write",
        "Microsoft.Authorization/*/read"
    ]
},

I když vyloučenéPrincipals musí být explicitní, položky excludedActions mohou využít * pro porovnávání zástupných znaků operací poskytovatele prostředků.

Další kroky

• Postupujte podle kurzu ochrana nových prostředků.
• Další informace o životním cyklu podrobného plánu
• Principy použití statických a dynamických parametrů
• Další informace o přizpůsobení pořadí podrobných plánů
• Další informace o aktualizaci existujících přiřazení
• Řešení potíží při přiřazení podrobného plánu – obecné řešení potíží