Korrigieren nicht konformer Ressourcen mit Azure Policy

Wenn Sie eine Zuweisung über das Portal erstellen, kann Azure Policy eine systemseitig zugewiesene verwaltete Identität generieren und ihr die in den roleDefinitionIds der Richtliniendefinition definierten Rollen zuweisen. Alternativ können Sie eine benutzerseitig zugewiesene verwaltete Identität angeben, bei der sie dieselbe Rollenzuweisung vornehmen.

So legen Sie eine systemseitig zugewiesene verwaltete Identität im Portal fest:

1. Vergewissern Sie sich in der Ansicht zum Erstellen/Bearbeiten von Zuweisungen auf der Registerkarte Korrektur unter Types of Managed Identity (Typen der verwalteten Identität), dass die Option Systemseitig zugewiesene verwaltete Identität ausgewählt ist.

2. Geben Sie den Standort an, an dem sich die verwaltete Identität befinden soll.

3. Weisen Sie der vom System zugewiesenen verwalteten Identität keinen Bereich zu, da der Bereich vom Zuweisungsbereich geerbt wird.

So legen Sie eine benutzerseitig zugewiesene verwaltete Identität im Portal fest:

1. Vergewissern Sie sich in der Ansicht zum Erstellen/Bearbeiten von Zuweisungen auf der Registerkarte Korrektur unter Types of Managed Identity (Typen der verwalteten Identität), dass die Option Benutzerseitig zugewiesene verwaltete Identität ausgewählt ist.

2. Geben Sie den Bereich an, in dem die verwaltete Identität gehostet wird. Der Bereich der verwalteten Identität muss nicht dem Bereich der Zuweisung entsprechen, muss sich aber im gleichen Mandanten befinden.

3. Wählen Sie unter Vorhandene benutzerseitig zugewiesene Identitäten die verwaltete Identität aus.

Zum Erstellen einer Identität während der Zuweisung der Richtlinie muss ein Standort definiert und die Identität verwendet werden.

Im folgenden Beispiel wird die Definition der integrierten Richtlinie Transparente SQL DB-Datenbankverschlüsselung bereitstellen abgerufen, die Zielressourcengruppe festgelegt und anschließend mithilfe einer systemseitig zugewiesenen verwalteten Identität die Zuweisung erstellt.

# Login first with Connect-AzAccount if not using Cloud Shell

# Get the built-in "Deploy SQL DB transparent data encryption" policy definition
$policyDef = Get-AzPolicyDefinition -Id '/providers/Microsoft.Authorization/policyDefinitions/86a912f6-9a06-4e26-b447-11b16ba8659f'

# Get the reference to the resource group
$resourceGroup = Get-AzResourceGroup -Name 'MyResourceGroup'

# Create the assignment using the -Location and -Identity properties
$assignment = New-AzPolicyAssignment -Name 'sqlDbTDE' -DisplayName 'Deploy SQL DB transparent data encryption' -Scope $resourceGroup.ResourceId -PolicyDefinition $policyDef -Location 'westus' -IdentityType "SystemAssigned"

Im folgenden Beispiel wird die Definition der integrierten Richtlinie Transparente SQL DB-Datenbankverschlüsselung bereitstellen abgerufen, die Zielressourcengruppe festgelegt und anschließend mithilfe einer benutzerseitig zugewiesenen verwalteten Identität die Zuweisung erstellt:

# Login first with Connect-AzAccount if not using Cloud Shell

# Get the built-in "Deploy SQL DB transparent data encryption" policy definition
$policyDef = Get-AzPolicyDefinition -Id '/providers/Microsoft.Authorization/policyDefinitions/86a912f6-9a06-4e26-b447-11b16ba8659f'

# Get the reference to the resource group
$resourceGroup = Get-AzResourceGroup -Name 'MyResourceGroup'

# Get the existing user assigned managed identity ID
$userassignedidentity = Get-AzUserAssignedIdentity -ResourceGroupName $rgname -Name $userassignedidentityname
$userassignedidentityid = $userassignedidentity.Id

# Create the assignment using the -Location and -Identity properties
$assignment = New-AzPolicyAssignment -Name 'sqlDbTDE' -DisplayName 'Deploy SQL DB transparent data encryption' -Scope $resourceGroup.ResourceId -PolicyDefinition $policyDef -Location 'westus' -IdentityType "UserAssigned" -IdentityId $userassignedidentityid

Die Variable $assignment enthält nun die Prinzipal-ID der verwalteten Identität und die Standardwerte, die bei der Erstellung einer Richtlinienzuweisung zurückgegeben werden. Darauf kann bei systemseitig zugewiesenen verwalteten Identitäten über $assignment.Identity.PrincipalId und bei benutzerseitig zugewiesenen verwalteten Identitäten über $assignment.Identity.UserAssignedIdentities[$userassignedidentityid].PrincipalId zugegriffen werden.

Um während der Zuweisung der Richtlinie eine Identität zu erstellen, verwenden Sie az policy assignment create-Befehle mit den Parametern --location, --mi-system-assigned, --mi-user-assigned und --identity-scope, je nachdem, ob die verwaltete Identität systemseitig oder benutzerseitig zugewiesen sein sollte.

Um einer Richtlinienzuweisung eine systemseitig oder benutzerseitig zugewiesene Identität hinzuzufügen, folgen Sie az policy assignment identity assign-Beispielbefehlen.

Es gibt zwei Möglichkeiten, der verwalteten Identität einer Zuweisung die definierten Rollen über das Portal zuzuweisen: Durch die Verwendung der Zugriffssteuerung (IAM) oder durch die Bearbeitung der Richtlinie oder der Initiativzuweisung und dem anschließenden Auswählen von Speichern.

Führen Sie die folgenden Schritte aus, um eine Rolle zu der verwalteten Identität der Zuweisung hinzuzufügen:

1. Starten Sie den Azure Policy-Dienst über das Azure-Portal, indem Sie die Option Alle Dienste auswählen und dann nach Policy suchen und die entsprechende Option auswählen.

2. Wählen Sie links auf der Seite „Azure Policy“ die Option Zuweisungen.

3. Suchen Sie die Zuweisung, die über eine verwaltete Identität verfügt, und wählen Sie den Namen aus.

4. Suchen Sie auf der Bearbeitungsseite nach der Eigenschaft Zuweisungs-ID. Das Zuweisungs-ID sollte dem folgenden Beispiel entsprechen:

   /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Authorization/policyAssignments/2802056bfc094dfb95d4d7a5
   

   Der letzte Teil der Ressourcen-ID der Zuweisung enthält den Namen der verwalteten Identität, in diesem Beispiel 2802056bfc094dfb95d4d7a5. Kopieren Sie diesen Teil der Ressourcen-ID der Zuweisung.

5. Navigieren Sie zu der Ressource des übergeordneten Containers der Ressource (Ressourcengruppe, Abonnement, Verwaltungsgruppe). Dort muss die Rollendefinition manuell hinzugefügt werden.

6. Wählen Sie auf der Seite „Ressourcen“ den Link Zugriffssteuerung (IAM) und anschließend oben auf der Seite „Zugriffssteuerung“ die Option + Rollenzuweisung hinzufügen aus.

7. Wählen Sie die entsprechende Rolle aus, die roleDefinitionIds aus der Richtliniendefinition entspricht. Lassen Sie für Zugriff zuweisen zu den Standardwert „Benutzer, Gruppe oder Anwendung“ festgelegt. Fügen Sie im Feld Auswählen den zuvor lokalisierten Teil der Ressourcen-ID der Zuweisung ein oder geben Sie diesen ein. Wählen Sie nach Abschluss der Suche das Objekt mit dem gleichen Namen aus, um die ID auszuwählen, und anschließend wählen Sie Speichern aus.

Die neue verwaltete Identität muss die Replikation über Microsoft Entra ID ausführen, bevor ihr die erforderlichen Rollen zugewiesen werden können. Nach Abschluss der Replikation werden in den folgenden Beispielen die Richtliniendefinition in $policyDef für die roleDefinitionIds wiederholt und New-AzRoleAssignment zum Zuweisen der Rollen zur neuen verwalteten Identität verwendet.

Im ersten Beispiel wird insbesondere gezeigt, wie Sie Rollen im Richtlinienbereich gewähren. Im zweiten Beispiel wird veranschaulicht, wie Sie Rollen im Initiativenbereich (Richtliniensatz) gewähren.

###################################################
# Grant roles to managed identity at policy scope #
###################################################

# Use the $policyDef to get to the roleDefinitionIds array
$roleDefinitionIds = $policyDef.Properties.policyRule.then.details.roleDefinitionIds

if ($roleDefinitionIds.Count -gt 0)
{
    $roleDefinitionIds | ForEach-Object {
        $roleDefId = $_.Split("/") | Select-Object -Last 1
        New-AzRoleAssignment -Scope $resourceGroup.ResourceId -ObjectId $assignment.Identity.PrincipalId
        -RoleDefinitionId $roleDefId
    }
}

#######################################################
# Grant roles to managed identity at initiative scope #
#######################################################

#If the policy had no managed identity in its logic, then no impact. If there is a managed identity
used for enforcement, replicate it on the new assignment.
$getNewInitiativeAssignment = Get-AzPolicyAssignment -Name $newInitiativeDefinition.Name

#Create an array to store role definition's IDs used by policies inside the initiative.
$InitiativeRoleDefinitionIds = @();

#Loop through the policy definitions inside the initiative and gather their role definition IDs
foreach ($policyDefinitionIdInsideInitiative in $InitiativeDefinition.Properties.PolicyDefinitions.policyDefinitionId) {
  $policyDef = Get-AzPolicyDefinition -Id $policyDefinitionIdInsideInitiative
  $roleDefinitionIds = $policyDef.Properties.PolicyRule.then.details.roleDefinitionIds
  $InitiativeRoleDefinitionIds += $roleDefinitionIds
}

#Create the role assignments used by the initiative assignment at the subscription scope.
if ($InitiativeRoleDefinitionIds.Count -gt 0) {
  $InitiativeRoleDefinitionIds | Sort-Object -Unique | ForEach-Object {
    $roleDefId = $_.Split("/") | Select-Object -Last 1
    New-AzRoleAssignment -Scope "/subscriptions/$($subscription)" -ObjectId $getNewInitiativeAssignment.Identity.PrincipalId
    -RoleDefinitionId $roleDefId
  }
}

Die neue verwaltete Identität muss die Replikation über Microsoft Entra ID ausführen, bevor ihr die erforderlichen Rollen zugewiesen werden können. Sobald die Replikation abgeschlossen ist, sollten die in den roleDefinitionIds der Richtliniendefinition angegebenen Rollen der verwalteten Identität gewährt werden.

Greifen Sie mithilfe des Befehls az policy definition show auf die in der Richtliniendefinition angegebenen Rollen zu, und führen Sie eine Iteration über jede roleDefinitionIds durch, um die Rollenzuweisung mithilfe des az role assignment create-Befehls zu erstellen.

Starten Sie den Azure Policy-Dienst über das Azure-Portal, indem Sie die Option Alle Dienste auswählen und dann nach Policy suchen und die entsprechende Option auswählen.

Schritt 1: Initiieren der Erstellung eines Wartungstasks

Es gibt drei Möglichkeiten, einen Wartungstask über das Portal zu erstellen.

Option 1: Erstellen eines Wartungstasks auf der Seite „Wartung“

1. Wählen Sie links auf der Seite „Azure Policy“ die Option Wartung aus.

   

2. Alle deployIfNotExists- und modify-Richtlinienzuweisungen werden auf der Registerkarte Richtlinien zur Bereinigung angezeigt. Wählen Sie eine mit Ressourcen aus, die nicht kompatibel sind, um die Seite Neue Korrekturaufgabe zu öffnen.

3. Führen Sie die Schritte aus, um Wartungstaskdetails anzugeben.

Option 2: Erstellen eines Wartungstasks aus einer nicht konformen Richtlinienzuweisung

1. Wählen Sie links auf der Seite „Azure Policy“ die Option Konformität.

2. Wählen Sie eine nicht konforme Richtlinien- oder Initiativenzuweisung aus, die deployIfNotExists- oder modify-Effekte enthält.

3. Wählen Sie oben auf der Seite die Schaltfläche Wartungstask erstellen aus, um die Seite Neuer Wartungstask zu öffnen.

4. Führen Sie die Schritte aus, um Wartungstaskdetails anzugeben.

Option 3: Erstellen eines Wartungstasks während der Richtlinienzuweisung

Wenn die zuzuweisende Richtlinien- oder Initiativendefinition über einen deployIfNotExists- odermodify-Effekt verfügt, bietet die Registerkarte Wartung des Assistenten eine Option Korrekturtask erstellen, die gleichzeitig mit der Richtlinienzuweisung einen Wartungstask erstellt.

1. Navigieren Sie vom Zuweisungs-Assistenten im Portal zur Registerkarte Wartung. Aktivieren Sie das Kontrollkästchen Korrekturtask erstellen.

2. Wenn der Wartungstask von einer Initiativenzuweisung initiiert wird, wählen Sie die zu korrigierende Richtlinie aus der Dropdownliste aus.

3. Konfigurieren Sie die verwaltete Identität, und füllen Sie den Rest des Assistenten aus. Der Wartungstask wird erstellt, wenn die Zuweisung erstellt wird.

Schritt 2: Angeben von Wartungstaskdetails

Dieser Schritt gilt nur, wenn Sie Option 1 oder Option 2 verwenden, um die Erstellung von Wartungstasks zu initiieren.

1. Wenn der Wartungstask von einer Initiativenzuweisung initiiert wird, wählen Sie die zu korrigierende Richtlinie aus der Dropdownliste aus. Eine deployIfNotExists- oder modify-Richtlinie kann jeweils über einen einzelnen Wartungstask korrigiert werden.

2. Ändern Sie optional Wartungseinstellungen auf der Seite. Informationen dazu, was die einzelnen Einstellungen steuern, finden Sie unter Struktur der Wartungsaufgabe.

3. Filtern Sie auf der gleichen Seite die zu korrigierenden Ressourcen, indem Sie die über die Auslassungspunkte bei Bereich untergeordnete Ressourcen auswählen, von denen aus die Richtlinie zugewiesen wurde (bis hin zu den einzelnen Ressourcenobjekten). Darüber hinaus können Sie die Ressourcen über die Dropdownliste Standorte weiter filtern.

   

4. Nachdem die Ressourcen gefiltert wurden, können Sie den Wartungstask auslösen, indem Sie Korrigieren auswählen. Auf der Registerkarte Wartungstasks wird die Seite zur Richtlinienkonformität geöffnet, auf der der Fortschritt der Tasks angezeigt wird. Durch dem Wartungstask erstellte Bereitstellungen beginnen sofort.

   

Schritt 3: Nachverfolgen des Fortschritts des Wartungstasks

1. Navigieren Sie zur Registerkarte Wartungstasks auf der Seite Wartung. Wählen Sie einen Wartungstask aus, um Details zur verwendeten Filterung, dem aktuellen Status und eine Liste der zu wartenden Ressourcen anzuzeigen.

2. Klicken Sie auf der Detailseite Wartungstask mit der rechten Maustaste auf eine Ressource, um die Bereitstellung des Wartungstasks oder die Ressource anzuzeigen. Wählen Sie am Ende der Zeile Verknüpfte Ereignisse aus, um Einzelheiten anzuzeigen, z. B. eine Fehlermeldung.

   

Ressourcen, die über einen Wartungstask bereitgestellt werden, werden auf der Seite der Richtlinienzuweisungsdetails der Registerkarte Bereitgestellte Ressourcen hinzugefügt.

Verwenden Sie zum Erstellen eines Wartungstasks mit Azure PowerShell die Start-AzPolicyRemediation-Befehle. Ersetzen Sie {subscriptionId} durch Ihre Abonnement-ID und {myAssignmentId} durch Ihre deployIfNotExists- oder modify-Richtlinienzuweisungs-ID.

# Login first with Connect-AzAccount if not using Cloud Shell

# Create a remediation for a specific assignment
Start-AzPolicyRemediation -Name 'myRemedation' -PolicyAssignmentId '/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/policyAssignments/{myAssignmentId}'

Sie können die Wartungseinstellungen auch über diese optionalen Parameter anpassen:

• -FailureThreshold: Mit dieser Einstellung wird angegeben, ob die Korrekturaufgabe fehlschlagen soll, wenn der Prozentsatz der Fehler den festgelegten Schwellenwert überschreitet. Wird als Zahl zwischen 0 und 100 angegeben. Standardmäßig ist der Fehlerschwellenwert 100 %.
• -ResourceCount: Legt fest, wie viele nicht konforme Ressourcen in einer bestimmten Korrekturaufgabe korrigiert werden sollen. Der Standardwert ist 500 (der vorherige Grenzwert). Die maximale Anzahl liegt bei 50.000 Ressourcen.
• -ParallelDeploymentCount: Bestimmt, wie viele Ressourcen gleichzeitig korrigiert werden sollen. Zulässig sind 1 bis 30 Ressourcen gleichzeitig. Der Standardwert ist 10.

Andere Cmdlets zur Wartung und Beispiele finden Sie im Az.PolicyInsights-Modul.

Verwenden Sie zum Erstellen eines Wartungstasks mit der Azure-Befehlszeilenschnittstelle die az policy remediation-Befehle. Ersetzen Sie {subscriptionId} durch Ihre Abonnement-ID und {myAssignmentId} durch Ihre deployIfNotExists- oder modify-Richtlinienzuweisungs-ID.

# Login first with az login if not using Cloud Shell

# Create a remediation for a specific assignment
az policy remediation create --name myRemediation --policy-assignment '/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/policyAssignments/{myAssignmentId}'

Informationen zu anderen Wartungsbefehlen und Beispiele finden Sie im Artikel zu den az policy remediation-Befehlen.