Share via

快速入門：使用 Bicep 檔案建立原則指派，以識別不符合規範的資源

  • 發行項

在本快速入門中，您會使用 Bicep 檔案建立一個原則指派，驗證資源是否符合 Azure 原則。 此原則會指派給資源群組，且其會稽核不使用受控磁碟的虛擬機器。 建立原則指派之後，您將識別不符合規範的虛擬機器。

Bicep 是使用宣告式語法來部署 Azure 資源的特定領域語言 (DSL)。 其提供簡潔的語法、可靠的類型安全，並支援程式碼重複使用。 Bicep 能夠為您在 Azure 中的基礎結構即程式碼解決方案，提供最佳的製作體驗。

必要條件

檢閱 Bicep 檔案

Bicep 檔案會為資源群組範圍建立一個原則指派，並指派內建原則定義 (稽核不使用受控磁碟的 VM)。

建立下列 Bicep 檔案作為 policy-assignment.bicep。

  1. 開啟 Visual Studio Code，並選取 [檔案]>[新增文字檔]。
  2. 複製 Bicep 檔案並將其貼入 Visual Studio Code 中。
  3. 選取 [檔案]>[儲存]，並使用檔案名稱 policy-assignment.bicep。
param policyAssignmentName string = 'audit-vm-managed-disks'
param policyDefinitionID string = '/providers/Microsoft.Authorization/policyDefinitions/06a78e20-9358-41c9-923c-fb736d382a4d'
param policyDisplayName string = 'Audit VM managed disks'

resource assignment 'Microsoft.Authorization/policyAssignments@2023-04-01' = {
  name: policyAssignmentName
  scope: resourceGroup()
  properties: {
    policyDefinitionId: policyDefinitionID
    description: 'Policy assignment to resource group scope created with Bicep file'
    displayName: policyDisplayName
    nonComplianceMessages: [
      {
        message: 'Virtual machines should use managed disks'
      }
    ]
  }
}

output assignmentId string = assignment.id

Bicep 檔案中定義的資源類型為 Microsoft.Authorization/policyAssignments。

Bicep 檔案會使用三個參數來部署原則指派：

  • policyAssignmentName 會建立名為 audit-vm-managed-disks 的原則指派。
  • policyDefinitionID 會使用內建原則定義的標識碼。 如需參考，取得標識符的命令位於部署範本的 區段中。
  • policyDisplayName會建立顯示在 Azure 入口網站 中的顯示名稱。

如需 Bicep 檔案的詳細資訊：

部署 Bicep 檔案

您可以使用 Azure PowerShell 或 Azure CLI 來部署 Bicep 檔案。

從 Visual Studio Code 終端機工作階段中，連線到 Azure。 如果您有多個訂用帳戶，請執行命令來設定您訂用帳戶的內容。 使用您的 Azure 訂用帳戶識別碼來取代 <subscriptionID> 。

Connect-AzAccount

# Run these commands if you have multiple subscriptions
Get-AzSubScription
Set-AzContext -Subscription <subscriptionID>

您可以驗證 Microsoft.PolicyInsights 是否已註冊。 若未註冊，您可以執行命令來註冊資源提供者。

Get-AzResourceProvider -ProviderNamespace 'Microsoft.PolicyInsights' |
   Select-Object -Property ResourceTypes, RegistrationState

Register-AzResourceProvider -ProviderNamespace 'Microsoft.PolicyInsights'

如需詳細資訊，請移至 Get-AzResourceProvider 和 Register-AzResourceProvider。

下列命令會顯示 policyDefinitionID 參數的值：

(Get-AzPolicyDefinition |
  Where-Object { $_.Properties.DisplayName -eq 'Audit VMs that do not use managed disks' }).ResourceId

下列命令會將原則定義部署至您的資源群組。 將 <resourceGroupName> 取代為您的資源群組名稱：

$rg = Get-AzResourceGroup -Name '<resourceGroupName>'

$deployparms = @{
Name = 'PolicyDeployment'
ResourceGroupName = $rg.ResourceGroupName
TemplateFile = 'policy-assignment.bicep'
}

New-AzResourceGroupDeployment @deployparms

$rg 變數會儲存資源群組的屬性。 $deployparms 變數會使用 splatting 來建立參數值並改善可讀性。 New-AzResourceGroupDeployment 命令會使用 $deployparms 變數中定義的參數值。

  • Name 是輸出中和 Azure 中針對資源群組部署所顯示的部署名稱。
  • ResourceGroupName 會使用 $rg.ResourceGroupName 屬性來取得其中指派原則的資源群組名稱。
  • TemplateFile 會指定本機電腦上 Bicep 檔案的名稱和位置。

您可以使用下列命令來驗證原則指派的部署：

此命令會使用 $rg.ResourceId 屬性來取得資源群組的識別碼。

Get-AzPolicyAssignment -Name 'audit-vm-managed-disks' -Scope $rg.ResourceId

Name               : audit-vm-managed-disks
ResourceId         : /subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.Authorization/policyAssignments/audit-vm-managed-disks
ResourceName       : audit-vm-managed-disks
ResourceGroupName  : {resourceGroupName}
ResourceType       : Microsoft.Authorization/policyAssignments
SubscriptionId     : {subscriptionId}
PolicyAssignmentId : /subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.Authorization/policyAssignments/audit-vm-managed-disks
Properties         : Microsoft.Azure.Commands.ResourceManager.Cmdlets.Implementation.Policy.PsPolicyAssignmentProperties

如需詳細資訊，請移至 Get-AzPolicyAssignment。

識別不符合規範的資源

在部署原則指派之後，會稽核部署至資源群組的虛擬機器，是否符合受控磁碟原則。

新原則指派的合規性狀態需要幾分鐘的時間才會生效，而且其會提供原則狀態的相關結果。

$complianceparms = @{
ResourceGroupName = $rg.ResourceGroupName
PolicyAssignmentName = 'audit-vm-managed-disks'
Filter = 'IsCompliant eq false'
}

Get-AzPolicyState @complianceparms

$complianceparms 變數會建立 Get-AzPolicyState 命令中使用的參數值。

  • ResourceGroupName 會從 $rg.ResourceGroupName 屬性中取得資源群組名稱。
  • PolicyAssignmentName 會指定建立原則指派時所使用的名稱。
  • Filter 會使用運算式來尋找不符合原則指派規範的資源。

您的結果類似下列範例，且 ComplianceState 顯示 NonCompliant：

Timestamp                : 2/20/2024 18:55:45
ResourceId               : /subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/microsoft.compute/virtualmachines/{vmId}
PolicyAssignmentId       : /subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/microsoft.authorization/policyassignments/audit-vm-managed-disks
PolicyDefinitionId       : /providers/microsoft.authorization/policydefinitions/06a78e20-9358-41c9-923c-fb736d382a4d
IsCompliant              : False
SubscriptionId           : {subscriptionId}
ResourceType             : Microsoft.Compute/virtualMachines
ResourceLocation         : {location}
ResourceGroup            : {resourceGroupName}
ResourceTags             : tbd
PolicyAssignmentName     : audit-vm-managed-disks
PolicyAssignmentOwner    : tbd
PolicyAssignmentScope    : /subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}
PolicyDefinitionName     : 06a78e20-9358-41c9-923c-fb736d382a4d
PolicyDefinitionAction   : audit
PolicyDefinitionCategory : tbd
ManagementGroupIds       : {managementGroupId}
ComplianceState          : NonCompliant
AdditionalProperties     : {[complianceReasonCode, ]}

如需詳細資訊，請移至 Get-AzPolicyState。

清除資源

Remove-AzPolicyAssignment -Name 'audit-vm-managed-disks' -Scope $rg.ResourceId

若要登出您的 Azure PowerShell 工作階段：

Disconnect-AzAccount

下一步

在這個快速入門中，您指派原則定義以識別 Azure 環境中的不相容資源。

若要深入瞭解如何指派驗證資源合規性的原則，請繼續進行教學課程。

教學課程：建立和管理原則來強制執行相容性