Управление журналами потоков NSG с помощью Политика Azure
Политика Azure помогает применять стандарты организации и оценивать соответствие в масштабе. Политика Azure широко применяется для реализации средств контроля за согласованностью ресурсов, соответствием нормативным требованиям, безопасностью, расходами и управлением. Дополнительные сведения о политике Azure см. в статье "Что такое Политика Azure?" И краткое руководство. Создание назначения политики для выявления несоответствующих ресурсов.
В этой статье вы узнаете, как использовать две встроенные политики для управления настройкой журналов потоков группы безопасности сети (NSG). Первая политика помечает любую группу безопасности сети, включающую журналы потоков. Вторая политика автоматически развертывает журналы потоков NSG, у которых нет включенных журналов потоков.
Аудит групп безопасности сети с помощью встроенной политики
Журналы потоков должны быть настроены для каждой групповой политики безопасности сети проверяет все существующие группы безопасности сети в область путем проверка всех объектов Azure Resource Manager типаMicrosoft.Network/networkSecurityGroups. Затем эта политика проверка для связанных журналов потоков через свойство журналов потоков группы безопасности сети, и она помечает любую группу безопасности сети, которая не включает журналы потоков.
Для аудита журналов потоков с помощью встроенной политики выполните следующие действия.
Войдите на портал Azure.
В поле поиска в верхней части портала введите политику. Выберите политику в результатах поиска.
Выберите "Назначения" и выберите " Назначить политику".
Выберите многоточие (...) рядом с областью , чтобы выбрать подписку Azure с группами безопасности сети, которые требуется выполнить аудит политики. Вы также можете выбрать группу ресурсов с группами безопасности сети. После выбора нажмите кнопку "Выбрать ".
Выберите многоточие (...) рядом с определением политики, чтобы выбрать встроенную политику, которую вы хотите назначить. Введите журнал потока в поле поиска и выберите встроенный фильтр. В результатах поиска выберите журналы потока должны быть настроены для каждой группы безопасности сети, а затем нажмите кнопку "Добавить".
Введите имя в имени назначения и введите имя в поле "Назначено".
Эта политика не требует каких-либо параметров. Он также не содержит определений ролей, поэтому вам не нужно создавать назначения ролей для управляемого удостоверения на вкладке "Исправление ".
Выберите Проверить и создать, а затем выберите Создать.
Выберите Соответствие. Найдите имя назначения и выберите его.
Выберите соответствие ресурсам, чтобы получить список всех несоответствующих групп безопасности сети.
Развертывание и настройка журналов потоков NSG с помощью встроенной политики
Развертывание ресурса журнала потоков с целевой групповой политикой безопасности сети проверка всех существующих групп безопасности сети в область путем проверка всех объектов Azure Resource Manager типаMicrosoft.Network/networkSecurityGroups. Затем он проверка для журналов связанных потоков через свойство журналов потоков группы безопасности сети. Если свойство не существует, политика развертывает журнал потоков.
Чтобы назначить политику deployIfNotExists , выполните следующие действия.
Войдите на портал Azure.
В поле поиска в верхней части портала введите политику. Выберите политику в результатах поиска.
Выберите "Назначения" и выберите " Назначить политику".
Выберите многоточие (...) рядом с областью , чтобы выбрать подписку Azure с группами безопасности сети, которые требуется выполнить аудит политики. Вы также можете выбрать группу ресурсов с группами безопасности сети. После выбора нажмите кнопку "Выбрать ".
Выберите многоточие (...) рядом с определением политики, чтобы выбрать встроенную политику, которую вы хотите назначить. Введите журнал потока в поле поиска и выберите встроенный фильтр. В результатах поиска выберите "Развернуть ресурс журнала потоков" с целевой группой безопасности сети, а затем нажмите кнопку "Добавить".
Введите имя в имени назначения и введите имя в поле "Назначено".
Дважды нажмите кнопку "Далее " или перейдите на вкладку "Параметры ". Затем введите или выберите следующие значения:
Параметр Значение Регион NSG Выберите регион группы безопасности сети, на которую вы нацелены с помощью политики. идентификатор служба хранилища Введите полный идентификатор ресурса учетной записи хранения. Учетная запись хранения должна находиться в том же регионе, что и группа безопасности сети. Формат идентификатора ресурса хранилища . /subscriptions/<SubscriptionID>/resourceGroups/<ResouceGroupName>/providers/Microsoft.Storage/storageAccounts/<StorageAccountName>Наблюдатель за сетями RG Выберите группу ресурсов экземпляра Azure Наблюдатель за сетями. имя Наблюдатель за сетями Введите имя экземпляра Наблюдатель за сетями. 
Нажмите кнопку "Далее" или "Исправление". Введите или выберите следующие значения:
Параметр Значение Создание задачи исправления Выберите проверка box, если вы хотите, чтобы политика повлияла на существующие ресурсы. Создание управляемого удостоверения Установите флажок. Тип управляемого удостоверения Выберите тип управляемого удостоверения, который требуется использовать. Расположение назначаемого системой удостоверения Выберите регион назначенного системой удостоверения. Область применения Выберите область удостоверения, назначаемого пользователем. Существующие удостоверения, назначенные пользователем Выберите удостоверение, назначаемое пользователем. Примечание.
Для использования этой политики требуется разрешение участника или владельца .
Выберите Проверить и создать, а затем выберите Создать.
Выберите Соответствие. Найдите имя назначения и выберите его.
Выберите соответствие ресурсам, чтобы получить список всех несоответствующих групп безопасности сети.
Оставьте политику для оценки и развертывания журналов потоков для всех несоответствующих групп безопасности сети. Затем снова выберите соответствие ресурсов, чтобы проверка состояние групп безопасности сети (если политика завершила ее исправление, не отображаются несоответствующие группы безопасности сети).
Следующие шаги
- Дополнительные сведения о журналах потоков NSG см. в журналах потоков для групп безопасности сети.
- Сведения об использовании встроенных политик с аналитикой трафика см. в статье "Управление аналитикой трафика с помощью Политика Azure".
- Сведения о том, как использовать шаблон Azure Resource Manager (ARM) для развертывания журналов потоков и аналитики трафика, см. в статье Настройка журналов потоков NSG с помощью шаблона Azure Resource Manager.