Condividere una raccolta con tutti gli utenti in una sottoscrizione o tenant (anteprima)

Questo articolo illustra come condividere una raccolta di calcolo di Azure con sottoscrizioni o tenant specifici usando una raccolta condivisa diretta. La condivisione di una raccolta con tenant e sottoscrizioni consente loro l'accesso in sola lettura alla raccolta.

Esistono tre modi principali per condividere le immagini in una Raccolta di calcolo di Azure, a seconda degli utenti con cui si desidera condividerle:

Limiti

Durante l'anteprima:

• È possibile condividere solo 30 sottoscrizioni e 5 tenant.
• Solo le immagini possono essere condivise. Non è possibile condividere direttamente un'applicazione vm durante l'anteprima.
• Una raccolta condivisa diretta non può contenere versioni di immagini crittografate. Non è possibile creare immagini crittografate all'interno di una raccolta condivisa direttamente.
• Solo il proprietario di una sottoscrizione o un'entità servizio o un utente assegnato al ruolo Compute Gallery Sharing Admin a livello di sottoscrizione o raccolta sarà in grado di abilitare la condivisione basata su gruppo.
• È necessario creare una nuova raccolta, con la proprietà sharingProfile.permissions impostata su Groups. Quando si usa l'interfaccia della riga di comando per creare una raccolta, usare il parametro --permissions groups. Non è possibile usare una raccolta esistente, la proprietà non può essere aggiornata.
• In anteprima è disponibile solo restAPI, interfaccia della riga di comando, supporto del portale. PowerShell, il supporto di Terraform sarà disponibile in un secondo momento.
• Anche se il supporto del portale è disponibile per questa funzionalità, l'utilizzo delle immagini nel portale è disponibile solo nel pannello di creazione di macchine virtuali/set di scalabilità di macchine virtuali e non è possibile esplorare le immagini condivise dirette direttamente nel portale.
• L'area della versione dell'immagine nella raccolta deve corrispondere all'area principale dell'area geografica, creando una versione tra aree in cui l'area principale è diversa da quella della raccolta, ma una volta che l'immagine si trova nell'area principale, può essere replicata in altre aree
• Non disponibile nei cloud per enti pubblici
• Problema noto: quando si crea una macchina virtuale da un'immagine condivisa diretta usando il portale di Azure, se si seleziona un'area, si seleziona un'immagine, quindi si modifica l'area, viene visualizzato un messaggio di errore: "È possibile creare una macchina virtuale solo nelle aree di replica di questa immagine" anche quando l'immagine viene replicata in tale area. Per eliminare l'errore, selezionare un'area diversa, quindi tornare all'area desiderata. Se l'immagine è disponibile, il messaggio di errore verrà cancellato.

Prerequisiti

È necessario creare una nuova raccolta condivisa diretta. Una raccolta condivisa diretta ha la sharingProfile.permissions proprietà impostata su Groups. Quando si usa l'interfaccia della riga di comando per creare una raccolta, usare il parametro --permissions groups. Non è possibile usare una raccolta esistente, la proprietà non può essere aggiornata.

Funzionamento della condivisione con la raccolta condivisa diretta

Prima di tutto si crea una raccolta in Microsoft.Compute/Galleries e si sceglie groups come opzione di condivisione.

Quando si è pronti, si condivide la raccolta con sottoscrizioni e tenant. Solo il proprietario di una sottoscrizione, un utente o un'entità servizio con il Compute Gallery Sharing Admin ruolo a livello di sottoscrizione o raccolta, può condividere la raccolta. A questo punto, l'infrastruttura di Azure crea risorse di area di sola lettura proxy, in Microsoft.Compute/SharedGalleries. Solo le sottoscrizioni e i tenant condivisi con possono interagire con le risorse proxy, non interagiscono mai con le risorse private. L'editore della risorsa privata deve considerare la risorsa privata un handle per le risorse proxy pubbliche. Le sottoscrizioni e i tenant con cui è stata condivisa la raccolta vedranno il nome della raccolta come ID sottoscrizione in cui è stata creata la raccolta, seguito dal nome della raccolta.

az sig create \
   --gallery-name myGallery \
   --permissions groups \
   --resource-group myResourceGroup  

sub=<subscription-id>
tenant=<tenant-id>
gallery=<gallery-name>
rg=<resource-group-name>
az sig share add \
   --subscription-ids $sub \
   --tenant-ids $tenant \
   --gallery-name $gallery \
   --resource-group $rg

sub=<subscription-id>
tenant=<tenant-id>
gallery=<gallery-name>
rg=<resource-group-name>

az sig share remove \
   --subscription-ids $sub \
   --tenant-ids $tenant \
   --gallery-name $gallery \
   --resource-group $rg

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{rgName}/providers/Microsoft.Compute/galleries/{gallery-name}?api-version=2020-09-30

{
	"properties": {
		"sharingProfile": {
			"permissions": "Groups"
		}
	},
	"location": "{location}
}
 

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{rgName}/providers/Microsoft.Compute/galleries/{galleryName}/share?api-version=2020-09-30

{
  "operationType": "Add",
  "groups": [
    {
      "type": "Subscriptions",
      "ids": [
        "{SubscriptionID}"
      ]
    },
    {
      "type": "AADTenants",
      "ids": [
        "{tenantID}"
      ]
    }
  ]
}

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{rgName}/providers/Microsoft.Compute/galleries/{galleryName}/share?api-version=2020-09-30

{
	"operationType": "Remove",
	"groups":[ 
		{
			"type": "Subscriptions",
			"ids": [
				"{subscriptionId1}",
				"{subscriptionId2}"
			],
},
{
			"type": "AADTenants",
			"ids": [
				"{tenantId1}",
				"{tenantId2}"
			]
		}
	]
}

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{rgName}/providers/Microsoft.Compute/galleries/{galleryName}/share?api-version=2020-09-30 

{ 
 "operationType" : "Reset", 
} 

Passaggi successivi

• Creare una definizione dell'immagine e una raccolta.
• Creare una macchina virtuale da un'immagine generalizzata o specializzata da un'immagine condivisa diretta nella sottoscrizione o nel tenant di destinazione.