padrão de Azure Policy: implementar recursos
O efeito deployIfNotExists permite implementar um modelo do Azure Resource Manager (modelo arm) ao criar ou atualizar um recurso que não está em conformidade. Esta abordagem pode ser preferencial para utilizar o efeito de negação , uma vez que permite que os recursos continuem a ser criados, mas garante que as alterações são feitas para torná-los conformes.
Definição de política de exemplo
Esta definição de política utiliza o operador de campo para avaliar o type
recurso criado ou atualizado. Quando esse recurso é um Microsoft.Network/virtualNetworks, a política procura um observador de rede na localização do recurso novo ou atualizado. Se não estiver localizado um observador de rede correspondente, o modelo do ARM é implementado para criar o recurso em falta.
Nota
Esta política requer que tenha um grupo de recursos chamado NetworkWatcherRG na sua subscrição. O Azure cria o grupo de recursos NetworkWatcherRG quando ativa Observador de Rede numa região.
{
"properties": {
"displayName": "Deploy network watcher when virtual networks are created",
"mode": "Indexed",
"description": "This policy creates a network watcher resource in regions with virtual networks. You need to ensure existence of a resource group named networkWatcherRG, which will be used to deploy network watcher instances.",
"metadata": {
"category": "Network"
},
"parameters": {},
"policyRule": {
"if": {
"field": "type",
"equals": "Microsoft.Network/virtualNetworks"
},
"then": {
"effect": "DeployIfNotExists",
"details": {
"type": "Microsoft.Network/networkWatchers",
"resourceGroupName": "networkWatcherRG",
"existenceCondition": {
"field": "location",
"equals": "[field('location')]"
},
"roleDefinitionIds": [
"/providers/Microsoft.Authorization/roleDefinitions/4d97b98b-1d4f-4787-a291-c67834d212e7"
],
"deployment": {
"properties": {
"mode": "incremental",
"template": {
"$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json",
"contentVersion": "1.0.0.0",
"parameters": {
"location": {
"type": "string"
}
},
"resources": [{
"apiVersion": "2016-09-01",
"type": "Microsoft.Network/networkWatchers",
"name": "[concat('networkWacher_', parameters('location'))]",
"location": "[parameters('location')]"
}]
},
"parameters": {
"location": {
"value": "[field('location')]"
}
}
}
}
}
}
}
}
}
Explicação
existenceCondition
"type": "Microsoft.Network/networkWatchers",
"resourceGroupName": "networkWatcherRG",
"existenceCondition": {
"field": "location",
"equals": "[field('location')]"
},
O bloco properties.policyRule.then.details indica Azure Policy o que procurar relacionado com o recurso criado ou atualizado no bloco properties.policyRule.if. Neste exemplo, um observador de rede no grupo de recursos networkWatcherRG tem de existir com um campolocation
igual à localização do recurso novo ou atualizado. A utilização da field()
função permite que existenceCondition aceda às propriedades no recurso novo ou atualizado, especificamente na location
propriedade .
roleDefinitionIds
"roleDefinitionIds": [
"/providers/Microsoft.Authorization/roleDefinitions/4d97b98b-1d4f-4787-a291-c67834d212e7"
],
A propriedade de matrizroleDefinitionIds no bloco properties.policyRule.then.details indica à definição de política quais os direitos que a identidade gerida precisa para implementar o modelo de Resource Manager incluído. Esta propriedade tem de ser definida para incluir funções que tenham as permissões necessárias para a implementação do modelo, mas que devem utilizar o conceito de "princípio do menor privilégio" e ter apenas as operações necessárias e nada mais.
Modelo de implementação
A parte de implementação da definição de política tem um bloco de propriedades que define os três componentes principais:
mode - Esta propriedade define o modo de implementação do modelo.
modelo – esta propriedade inclui o próprio modelo. Neste exemplo, o parâmetro do modelo de localização define a localização do novo recurso do observador de rede.
"template": { "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json", "contentVersion": "1.0.0.0", "parameters": { "location": { "type": "string" } }, "resources": [{ "apiVersion": "2016-09-01", "type": "Microsoft.Network/networkWatchers", "name": "[concat('networkWacher_', parameters('location'))]", "location": "[parameters('location')]" }] },
parâmetros – esta propriedade define os parâmetros que são fornecidos ao modelo. Os nomes dos parâmetros têm de corresponder ao que está definido no modelo. Neste exemplo, o parâmetro tem o nome localização para corresponder. O valor da localização utiliza novamente a
field()
função para obter o valor do recurso avaliado, que é a rede virtual no bloco policyRule.if ."parameters": { "location": { "value": "[field('location')]" } }
Passos seguintes
- Reveja outros padrões e definições incorporadas.
- Reveja a estrutura de definição do Azure Policy.
- Veja Compreender os efeitos do Policy.