Zarządzanie dziennikami przepływów sieciowej grupy zabezpieczeń przy użyciu usługi Azure Policy
Usługa Azure Policy pomaga wymuszać standardy organizacyjne i oceniać zgodność na dużą skalę. Typowe przypadki użycia usługi Azure Policy obejmują implementowanie ładu na potrzeby spójności zasobów, zgodności z przepisami, bezpieczeństwa, kontroli kosztów i zarządzania. Aby dowiedzieć się więcej na temat zasad platformy Azure, zobacz Co to jest usługa Azure Policy? i Szybki start: tworzenie przypisania zasad w celu identyfikowania niezgodnych zasobów.
Z tego artykułu dowiesz się, jak zarządzać konfiguracją dzienników przepływów sieciowej grupy zabezpieczeń przy użyciu dwóch wbudowanych zasad. Pierwsze zasady flaguje wszystkie sieciowe grupy zabezpieczeń, które nie mają włączone dzienniki przepływu. Drugie zasady automatycznie wdrażają dzienniki przepływu sieciowej grupy zabezpieczeń, które nie mają włączonych dzienników przepływu.
Inspekcja sieciowych grup zabezpieczeń przy użyciu wbudowanych zasad
Dzienniki przepływu należy skonfigurować dla wszystkich zasad sieciowej grupy zabezpieczeń przeprowadza inspekcję wszystkich istniejących sieciowych grup zabezpieczeń w zakresie przez sprawdzenie wszystkich obiektów usługi Azure Resource Manager typu Microsoft.Network/networkSecurityGroups. Te zasady następnie sprawdzają dzienniki połączonego przepływu za pośrednictwem właściwości dzienników przepływu sieciowej grupy zabezpieczeń i flaguje każdą sieciową grupę zabezpieczeń, która nie ma włączonych dzienników przepływu.
Aby przeprowadzić inspekcję dzienników przepływu przy użyciu wbudowanych zasad:
Zaloguj się w witrynie Azure Portal.
W polu wyszukiwania w górnej części portalu wprowadź zasady. Wybierz pozycję Zasady w wynikach wyszukiwania.
Wybierz pozycję Przypisania, a następnie wybierz pozycję Przypisz zasady.
Wybierz wielokropek (...) obok pozycji Zakres , aby wybrać subskrypcję platformy Azure zawierającą sieciowe grupy zabezpieczeń, które mają zostać poddane inspekcji. Możesz również wybrać grupę zasobów zawierającą sieciowe grupy zabezpieczeń. Po wybraniu opcji wybierz przycisk Wybierz .
Wybierz wielokropek (...) obok pozycji Definicja zasad, aby wybrać wbudowane zasady, które chcesz przypisać. Wprowadź dziennik przepływu w polu wyszukiwania, a następnie wybierz wbudowany filtr. W wynikach wyszukiwania wybierz pozycję Dzienniki przepływu powinny być skonfigurowane dla każdej sieciowej grupy zabezpieczeń, a następnie wybierz pozycję Dodaj.
Wprowadź nazwę w polu Nazwa przypisania i wprowadź nazwę w polu Przypisane przez.
Te zasady nie wymagają żadnych parametrów. Nie zawiera ona również żadnych definicji ról, więc nie trzeba tworzyć przypisań ról dla tożsamości zarządzanej na karcie Korygowanie .
Wybierz opcję Przejrzyj i utwórz, a następnie wybierz pozycję Utwórz.
Wybierz pozycję Zgodność. Wyszukaj nazwę przypisania, a następnie wybierz ją.
Wybierz pozycję Zgodność zasobów, aby uzyskać listę wszystkich niezgodnych sieciowych grup zabezpieczeń.
Wdrażanie i konfigurowanie dzienników przepływu sieciowej grupy zabezpieczeń przy użyciu wbudowanych zasad
W polu Wdróż zasób dziennika przepływu z docelowymi zasadami sieciowej grupy zabezpieczeń sprawdza wszystkie istniejące sieciowe grupy zabezpieczeń w zakresie, sprawdzając wszystkie obiekty typu Microsoft.Network/networkSecurityGroupsusługi Azure Resource Manager. Następnie sprawdza dzienniki połączonego przepływu za pośrednictwem właściwości dzienników przepływu sieciowej grupy zabezpieczeń. Jeśli właściwość nie istnieje, zasady wdrażają dziennik przepływu.
Aby przypisać zasady deployIfNotExists :
Zaloguj się w witrynie Azure Portal.
W polu wyszukiwania w górnej części portalu wprowadź zasady. Wybierz pozycję Zasady w wynikach wyszukiwania.
Wybierz pozycję Przypisania, a następnie wybierz pozycję Przypisz zasady.
Wybierz wielokropek (...) obok pozycji Zakres , aby wybrać subskrypcję platformy Azure zawierającą sieciowe grupy zabezpieczeń, które mają zostać poddane inspekcji. Możesz również wybrać grupę zasobów zawierającą sieciowe grupy zabezpieczeń. Po wybraniu opcji wybierz przycisk Wybierz .
Wybierz wielokropek (...) obok pozycji Definicja zasad, aby wybrać wbudowane zasady, które chcesz przypisać. Wprowadź dziennik przepływu w polu wyszukiwania, a następnie wybierz wbudowany filtr. W wynikach wyszukiwania wybierz pozycję Wdróż zasób dziennika przepływu z docelową sieciową grupą zabezpieczeń, a następnie wybierz pozycję Dodaj.
Wprowadź nazwę w polu Nazwa przypisania i wprowadź nazwę w polu Przypisane przez.
Wybierz przycisk Dalej dwa razy lub wybierz kartę Parametry . Następnie wprowadź lub wybierz następujące wartości:
Ustawienie Wartość Region sieciowej grupy zabezpieczeń Wybierz region sieciowej grupy zabezpieczeń, dla której chcesz za pomocą zasad. Identyfikator magazynu Wprowadź pełny identyfikator zasobu konta magazynu. Konto magazynu musi znajdować się w tym samym regionie co sieciowa grupa zabezpieczeń. Format identyfikatora zasobu magazynu to /subscriptions/<SubscriptionID>/resourceGroups/<ResouceGroupName>/providers/Microsoft.Storage/storageAccounts/<StorageAccountName>.Network Watchers RG Wybierz grupę zasobów wystąpienia usługi Azure Network Watcher. Nazwa usługi Network Watcher Wprowadź nazwę wystąpienia usługi Network Watcher. 
Wybierz przycisk Dalej lub kartę Korygowanie . Wprowadź lub wybierz następujące wartości:
Ustawienie Wartość Tworzenie zadania korygowania Zaznacz pole wyboru, jeśli chcesz, aby zasady wpływały na istniejące zasoby. Tworzenie tożsamości zarządzanej Zaznacz pole wyboru. Typ tożsamości zarządzanej Wybierz typ tożsamości zarządzanej, której chcesz użyć. Lokalizacja tożsamości przypisanej przez system Wybierz region tożsamości przypisanej przez system. Scope Wybierz zakres tożsamości przypisanej przez użytkownika. Istniejące tożsamości przypisane przez użytkownika Wybierz tożsamość przypisaną przez użytkownika. Uwaga
Do korzystania z tych zasad potrzebne są uprawnienia Współautor lub Właściciel .
Wybierz opcję Przejrzyj i utwórz, a następnie wybierz pozycję Utwórz.
Wybierz pozycję Zgodność. Wyszukaj nazwę przypisania, a następnie wybierz ją.
Wybierz pozycję Zgodność zasobów, aby uzyskać listę wszystkich niezgodnych sieciowych grup zabezpieczeń.
Pozostaw przebiegi zasad, aby ocenić i wdrożyć dzienniki przepływu dla wszystkich niezgodnych sieciowych grup zabezpieczeń. Następnie ponownie wybierz pozycję Zgodność zasobów, aby sprawdzić stan sieciowych grup zabezpieczeń (nie widzisz niezgodnych sieciowych grup zabezpieczeń, jeśli zasady zakończyły korygowanie).
Następne kroki
- Aby dowiedzieć się więcej na temat dzienników przepływów sieciowej grupy zabezpieczeń, zobacz Dzienniki przepływu dla sieciowych grup zabezpieczeń.
- Aby dowiedzieć się więcej na temat używania wbudowanych zasad z analizą ruchu, zobacz Zarządzanie analizą ruchu przy użyciu usługi Azure Policy.
- Aby dowiedzieć się, jak używać szablonu usługi Azure Resource Manager (ARM) do wdrażania dzienników przepływu i analizy ruchu, zobacz Konfigurowanie dzienników przepływów sieciowej grupy zabezpieczeń przy użyciu szablonu usługi Azure Resource Manager.