デプロイスタック

[アーティクル]
06/24/2024

Azure デプロイスタックは、Azure リソースのグループを 1 つのまとまりのある単位として管理できるリソースです。 Bicep ファイルまたは ARM JSON テンプレートをデプロイスタックに送信すると、スタックによって管理されるリソースが定義されます。以前にテンプレートに含まれていたリソースが削除された場合、デプロイスタックの指定された actionOnUnmanage 動作に基づいて、そのリソースはデタッチまたは削除されます。その他の Azure リソースと同様に、Azure ロールベースのアクセス制御 (Azure RBAC) を使用して、デプロイスタックへのアクセスを制限できます。

デプロイスタックを作成して更新するには、Bicep ファイルと共に Azure CLI、Azure PowerShell、または Azure portal を利用できます。これらの Bicep ファイルは ARM JSON テンプレートにトランスパイルされ、スタックによってデプロイオブジェクトとしてデプロイされます。デプロイスタックには、使い慣れたデプロイリソース以外にも、これらの機能のスーパーセットとして機能する追加の機能が用意されています。

Microsoft.Resources/deploymentStacks は、デプロイスタックのリソースの種類です。これはメインテンプレートで構成されており、記述されているリソースに対してスコープ全体で 1 対多の更新を実行でき、それらのリソースに対する不要な変更をブロックできます。

デプロイを計画し、同じスタックに含めるリソースグループを決定するときは、これらのリソースの管理ライフサイクル (作成、更新、削除など) を考慮することが重要です。たとえば、さまさまなリソースグループスコープにわたって、さまざまなアプリケーションチーム用にいくつかのテスト仮想マシン (VM) をプロビジョニングする必要があるとします。この場合、デプロイスタックを利用して、これらのテスト環境を作成し、その後のデプロイスタックの更新を通じてテスト VM 構成を更新できます。プロジェクトを完了した後、作成されたすべてのリソース (テスト VM など) を削除する必要がある場合があります。デプロイスタックを利用して、適切な削除フラグを指定することで、管理対象リソースを簡単に削除できます。この合理化されたアプローチでは、各種リソースグループスコープでそれぞれのテスト VM を個別に変更または削除するのではなく、スタックリソースへの 1 回の更新で行われるため、環境のクリーンアップにかかる時間を節約できます。

デプロイスタックには、Azure PowerShell バージョン 12.0.0 以降または Azure CLI バージョン 2.61.0 以降が必要です。

最初のデプロイスタックを作成するには、クイックスタート: デプロイスタックの作成に関するページを参照してください。

デプロイスタックを使用する理由

デプロイスタックには、次の利点があります。

統一エンティティとして合理化された、さまざまなスコープにわたるリソースのプロビジョニングと管理。
拒否設定による管理対象リソースへの不要な変更の防止。
デプロイスタックの更新時の削除フラグの使用による効率的な環境のクリーンアップ。
デプロイスタックに対する Bicep、ARM テンプレート、テンプレートスペックなどの標準テンプレートの利用。

既知の制限事項

暗黙的に作成されたリソースは、デプロイスタックによって管理されません。そのため、拒否の割り当てやクリーンアップはできません。
拒否の割り当てでは、タグはサポートされていません。
拒否の割り当ては、管理グループのスコープではサポートされていません。ただし、デプロイがサブスクリプションのスコープで指し示されている場合は、管理グループスタックでサポートされます。
デプロイスタックでは、キーコンテナーシークレットを削除できません。テンプレートからキーコンテナーシークレットを削除する場合、デタッチモードでデプロイスタックの更新/削除コマンドも必ず実行してください。

既知の問題

現在、リソースグループを削除すると、拒否の割り当てがバイパスされます。リソースグループのスコープ内にデプロイスタックを作成する場合、Bicep ファイルにはリソースグループの定義が含まれません。拒否の割り当ての設定にもかかわらず、リソースグループとそれに含まれているスタックは削除できます。ただし、グループ内の任意のリソース上でロックがアクティブになっている場合、削除操作は失敗します。
What-If のサポートは、まだ使用できません。
管理グループに範囲が設定されたスタックでは、別の管理グループにデプロイてできません。スタック自体の管理グループか子サブスクリプションにのみデプロイできます。
PowerShell コマンド help を使うと、ActionOnUnmanage スイッチの DeleteResourcesAndResourcesGroups 値が一覧表示されます。この値を使うと、コマンドは管理対象リソースとリソースグループをデタッチします。この値は、次の更新プログラムで削除されます。この値は使用しないでください。
場合によっては、Azure PowerShell の New コマンドレットと Set コマンドレットからは、対処方法がはっきりしない汎用的なテンプレート検証エラーが返されることがあります。このバグは次のリリースで修正されますが、現時点では、エラーが不明な場合、デバッグモードでコマンドレットを実行し、より詳細なエラーを未加工の応答で確認できます。
デプロイスタックは、Microsoft Graph プロバイダーではサポートされていません。

組み込みのロール

警告

RBAC のアクセス許可 Microsoft.Resources/deploymentStacks/manageDenySetting/action の適用は、政府機関向けクラウドも含めて、リージョン間にロールアウトされています。

デプロイスタック用に 2 つの組み込みロールがあります。

Azure デプロイスタック共同作成者: ユーザーはデプロイスタックを管理できますが、デプロイスタック内で拒否の割り当てを作成または削除することはできません。
Azure デプロイスタック所有者: ユーザーは、拒否の割り当てを持つものも含めて、デプロイスタックを管理できます。

デプロイスタックを作成する

デプロイスタックリソースは、リソースグループ、サブスクリプション、または管理グループのスコープで作成できます。デプロイスタックに渡されるテンプレートにより、テンプレートのデプロイに指定されたターゲットスコープで作成または更新されるリソースが定義されます。

リソースグループスコープのスタックは、デプロイスタックが存在するのと同じリソースグループスコープに、渡されたテンプレートをデプロイできます。
サブスクリプションスコープのスタックは、リソースグループスコープ (指定されている場合) またはデプロイスタックが存在するのと同じサブスクリプションスコープに、渡されたテンプレートをデプロイできます。
管理グループスコープのスタックは、指定されたサブスクリプションスコープに渡されたテンプレートをデプロイできます。

デプロイスタックが存在する場所は、拒否設定機能を使用して作成された拒否の割り当てであることに注意することが重要です。たとえば、テンプレートをリソースグループスコープにデプロイするサブスクリプションスコープでデプロイスタックを作成し、拒否設定モード DenyDelete を使用すると、指定したリソースグループに管理対象リソースを簡単にプロビジョニングでき、それらのリソースへの削除の試行をブロックできます。この方法を使用すると、リソースグループレベルではなくサブスクリプションレベルで分離することで、デプロイスタックのセキュリティも強化されます。この分離により、デプロイスタックは高いレベルで分離されたまま、プロビジョニングされたリソースを操作する開発者チームはリソースグループへの可視性と書き込みアクセス権のみを持つことができます。これにより、デプロイスタックを編集し、拒否の割り当てを変更できるユーザーの数が最小限に抑えられます。詳細については、「管理対象リソースを削除から保護する」を参照してください。

create-stack コマンドを使用して、デプロイスタックを更新することもできます。

リソースグループスコープでデプロイスタックを作成するには:

New-AzResourceGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

az stack group create \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll'
  --deny-settings-mode 'none'

サブスクリプションスコープでデプロイスタックを作成するには:

New-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentResourceGroupName "<resource-group-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

DeploymentResourceGroupName パラメータは、管理対象リソースを保存するのに使用されるリソースグループを指定します。パラメータが指定されていない場合、管理対象リソースはサブスクリプションスコープに保存されます。

az stack sub create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-resource-group' <resource-group-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

deployment-resource-group パラメータは、管理対象リソースを保存するのに使用されるリソースグループを指定します。パラメータが指定されていない場合、管理対象リソースはサブスクリプションスコープに保存されます。

管理グループスコープでデプロイスタックを作成するには:

New-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentSubscriptionId "<subscription-id>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

deploymentSubscriptionId パラメータは、管理対象リソースを保存するのに使用されるサブスクリプションを指定します。パラメータが指定されていない場合、管理対象リソースは管理グループスコープに保存されます。

az stack mg create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-subscription '<subscription-id>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

deployment-subscription パラメータは、管理対象リソースを保存するのに使用されるサブスクリプションを指定します。パラメータが指定されていない場合、管理対象リソースは管理グループスコープに保存されます。

デプロイスタックを一覧表示する

リソースグループスコープでデプロイスタックリソースを一覧表示するには:

Get-AzResourceGroupDeploymentStack `
  -ResourceGroupName "<resource-group-name>"

az stack group list \
  --resource-group '<resource-group-name>'

サブスクリプションスコープでデプロイスタックリソースを一覧表示するには:

Get-AzSubscriptionDeploymentStack

az stack sub list

管理グループスコープでデプロイスタックリソースを一覧表示するには:

Get-AzManagementGroupDeploymentStack `
  -ManagementGroupId "<management-group-id>"

az stack mg list \
  --management-group-id '<management-group-id>'

デプロイスタックを更新する

デプロイスタックを更新するには (管理対象リソースの追加または削除が含まれる場合があります)、基になる Bicep ファイルを変更する必要があります。変更が行われたら、update コマンドを実行するか、create コマンドを再実行するというデプロイスタックを更新するための 2 つのオプションがあります。

管理対象リソースの一覧は、コードとしてのインフラストラクチャ (IaC) 設計パターンを通じて完全に制御できます。

Set コマンドを使用する

リソースグループスコープでデプロイスタックを更新するには:

Set-AzResourceGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

az stack group create \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

注意

Azure CLI にはデプロイスタックの set コマンドはありません。代わりに新規作成コマンドを使用します。

サブスクリプションスコープでデプロイスタックを更新するには:

Set-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentResourceGroupName "<resource-group-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

DeploymentResourceGroupName パラメータは、デプロイスタックリソースを保存するのに使用されるリソースグループを指定します。リソースグループ名を指定しない場合、デプロイスタックサービスによって新しいリソースグループが作成されます。

az stack sub create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-resource-group '<resource-group-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

管理グループスコープでデプロイスタックを更新するには:

Set-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentSubscriptionId "<subscription-id>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

az stack mg create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-subscription '<subscription-id>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

新規作成コマンドを使用する

次のような警告が表示されます。

The deployment stack 'myStack' you're trying to create already exists in the current subscription/management group/resource group. Do you want to overwrite it? Detaching: resources, resourceGroups (Y/N)

詳細については、「デプロイスタックを作成する」を参照してください。

デタッチと削除を制御する

デタッチされたリソース (または非管理対象リソース) とは、デプロイスタックによって追跡または管理されていないが、Azure 内にまだ存在するリソースを指します。

管理対象ではないリソースを削除するよう Azure に指示するには、次のスイッチを指定したスタック作成コマンドでスタックを更新します。詳細については、「デプロイスタックを作成する」を参照してください。

ActionOnUnmanage スイッチを使用して、スタックの更新または削除後に管理されなくなったリソースに対する動作を定義します。使用できる値は、以下のとおりです。

deleteAll: 管理対象リソースとリソースグループに対して、デタッチではなく、削除を使用します。
deleteResources: 管理対象リソースのみに対して、デタッチではなく、削除を使用します。
detachAll: 管理対象リソースとリソースグループをデタッチします。

次に例を示します。

New-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name" `
  -TemplateFile "<bicep-file-name>" `
  -DenySettingsMode "none" `
  -ActionOnUnmanage "deleteAll"

action-on-unmanage スイッチを使用して、スタックの更新または削除後に管理されなくなったリソースに対する動作を定義します。使用できる値は、以下のとおりです。

deleteAll: 管理対象リソースとリソースグループに対して、デタッチではなく、削除を使用します。
deleteResources: 管理対象リソースのみに対して、デタッチではなく、削除を使用します。
detachAll: 管理対象リソースとリソースグループをデタッチします。

次に例を示します。

az stack sub create `
  --name '<deployment-stack-name>' `
  --location '<location>' `
  --template-file '<bicep-file-name>' `
  --action-on-unmanage 'deleteAll' `
  --deny-settings-mode 'none'

警告

action-on-unmanage スイッチを DeleteAll に設定してリソースグループを削除すると、管理対象リソースグループとその中に含まれるすべてのリソースも削除されます。

stack-out-of-sync エラーを処理する

デプロイスタックを更新または削除するときに、スタックリソースのリストが正しく同期されていないことを示す、次の stack-out-of-sync エラーが発生する可能性があります。

The deployment stack '{0}' may not have an accurate list of managed resources. To ensure no resources are accidentally deleted, please check that the managed resource list does not have any additional values. If there is any uncertainty, we recommend redeploying the stack with the same template and parameters as the current iteration. To bypass this warning, please specify the 'BypassStackOutOfSyncError' flag.

Azure portal からリソースのリストを取得するか、同じパラメーターを使用して現在デプロイされている Bicep ファイルを再デプロイできます。出力には、管理対象リソースが表示されます

...
Resources: /subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Network/virtualNetworks/vnetthmimleef5fwk
           /subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Storage/storageAccounts/storethmimleef5fwk

"resources": [
  {
    "denyStatus": "none",
    "id": "/subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Network/virtualNetworks/vnetthmimleef5fwk",
    "resourceGroup": "demoRg",
    "status": "managed"
  },
  {
    "denyStatus": "none",
    "id": "/subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Storage/storageAccounts/storethmimleef5fwk",
    "resourceGroup": "demoRg",
    "status": "managed"
  }
]

スタック内のリソースのリストをレビューして確認したら、Azure PowerShell の BypassStackOutOfSyncError スイッチ (または Azure CLI の bypass-stack-out-of-sync-error) を使用してコマンドを再実行できます。このスイッチは、コマンドを再実行する前に、スタック内のリソースのリストを十分に確認した後にのみ使用する必要があります。このスイッチは、既定では使用しないでください。

デプロイスタックを削除する

ActionOnUnmanage スイッチは、管理されなくなったリソースに対するアクションを定義します。スイッチの値は次のとおりです。

DeleteAll: リソースとリソースグループの両方を削除します。
DeleteResources: リソースのみを削除します。
DetachAll: リソースをデタッチします。

すべて削除のスイッチを指定した場合でも、デプロイスタックが配置されているリソースグループ内に非管理対象リソースがある場合は、非管理対象リソースとリソースグループ自体が両方とも削除が防止されます。

リソースグループスコープでデプロイスタックリソースを削除するには:

Remove-AzResourceGroupDeploymentStack `
  -name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -ActionOnUnmanage "<deleteAll/deleteResources/detachAll>"

az stack group delete \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --action-on-unmanage '<deleteAll/deleteResources/detachAll>'

サブスクリプションスコープでデプロイスタックリソースを削除するには:

Remove-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ActionOnUnmanage "<deleteAll/deleteResources/detachAll>"

az stack sub delete \
  --name '<deployment-stack-name>' \
  --action-on-unmanage '<deleteAll/deleteResources/detachAll>'

管理グループスコープでデプロイスタックリソースを削除するには:

Remove-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ManagementGroupId "<management-group-id>" `
  -ActionOnUnmanage "<deleteAll/deleteResources/detachAll>"

az stack mg delete \
  --name '<deployment-stack-name>' \
  --management-group-id '<management-group-id>' \
  --action-on-unmanage '<deleteAll/deleteResources/detachAll>'

デプロイスタックの管理対象リソースを表示する

デプロイスタックサービスには、Azure portal のグラフィカルユーザーインターフェイス (GUI) はまだありません。デプロイスタック内の管理対象リソースを表示するには、次の Azure Powershell または Azure CLI コマンドを使用します。

リソースグループスコープで管理対象リソースを表示するには:

(Get-AzResourceGroupDeploymentStack -Name "<deployment-stack-name>" -ResourceGroupName "<resource-group-name>").Resources

az stack group list \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --output 'json'

サブスクリプションスコープで管理対象リソースを表示するには:

(Get-AzSubscriptionDeploymentStack -Name "<deployment-stack-name>").Resources

az stack sub show \
  --name '<deployment-stack-name>' \
  --output 'json'

管理グループスコープで管理対象リソースを表示するには:

(Get-AzManagementGroupDeploymentStack -Name "<deployment-stack-name>" -ManagementGroupId "<management-group-id>").Resources

az stack mg show \
  --name '<deployment-stack-name>' \
  --management-group-id '<management-group-id>' \
  --output 'json'

デプロイスタックにリソースを追加する

管理対象リソースを追加するには、基になる Bicep ファイルにリソース定義を追加し、update コマンドを実行するか、create コマンドを再実行します。詳細については、「デプロイスタックを更新する」参照してください。

デプロイスタックから管理対象リソースを削除する

管理対象リソースを削除するには、基になる Bicep ファイルからリソース定義を削除し、update コマンドを実行するか、create コマンドを再実行します。詳細については、「デプロイスタックを更新する」参照してください。

管理対象リソースを保護する

デプロイスタックの管理対象リソースに特定のアクセス許可を割り当てて、承認されていないセキュリティプリンシパルが管理対象リソースを削除または更新することを防止できます。これらのアクセス許可は拒否設定と呼ばれます。スタックを親スコープに格納する場合について考えます。たとえば、サブスクリプション内のリソースを保護するには、スタックを親スコープ (直接の親管理グループ) に配置する必要があります。

拒否設定は、コントロールプレーン操作にのみ適用され、データプレーン操作には適用されません。たとえば、ストレージアカウントとキーコンテナーはコントロールプレーンを介して作成されるため、デプロイスタックで管理することができます。しかし、データプレーンを介して作成されるシークレットや BLOB コンテナーなどの子リソースは、デプロイスタックでは管理できません。

拒否設定は、明示的に作成されたリソースにのみ適用され、暗黙的に作成されたリソースには適用されません。たとえば、マネージド AKS クラスターは、仮想マシンなど、クラスター自身をサポートするための他の複数のサービスを作成します。この場合、仮想マシンは Bicep ファイルで定義されておらず、暗黙的に作成されたリソースであるため、デプロイスタックの拒否設定の対象にはなりません。

Note

最新のリリースでは、次のことを行うにはスタックスコープでの特定のアクセス許可が必要です。

デプロイスタックを作成または更新し、拒否設定を None 以外の値に設定します。
既存の拒否設定が None 以外の値に設定されているデプロイスタックを更新または削除します。

デプロイスタックの組み込みロールを使用してアクセス許可を付与します。

Azure PowerShell には、拒否の割り当てをカスタマイズするための、こちらのパラメーターが含まれています。

DenySettingsMode: 未承認のセキュリティプリンシパルによる削除または更新の試行から保護するために、管理対象リソースで禁止される操作を定義します。この制限は、明示的にアクセスが許可されていない限り、すべてのユーザーに適用されます。値には、None、DenyDelete、DenyWriteAndDelete が含まれます。
DenySettingsApplyToChildScopes: 指定すると、拒否設定モードの構成が管理対象リソースの子スコープにも適用されます。たとえば、Bicep ファイルは、Microsoft.Sql/servers リソース (親) と Microsoft.Sql/servers/databases リソース (子) を定義します。 DenySettingsApplyToChildScopes 設定が有効で、DenySettingsMode が DenyWriteAndDelete に設定された Bicep ファイルを使用してデプロイスタックを作成した場合、 Microsoft.Sql/servers リソースまたは Microsoft.Sql/servers/databases リソースに子リソースを追加することはできません。
DenySettingsExcludedAction: 拒否設定から除外されるロールベースの管理操作の一覧です。最大 200 個のアクションが許可されます。
DenySettingsExcludedPrincipal: ロックから除外された Microsoft Entra プリンシパル ID の一覧。最大 5 つのプリンシパルが許可されます。

Azure CLI には、拒否の割り当てをカスタマイズするための、こちらのパラメーターが含まれています。

deny-settings-mode: 未承認のセキュリティプリンシパルによる削除または更新の試行から保護するために、管理対象リソースで禁止される操作を定義します。この制限は、明示的にアクセスが許可されていない限り、すべてのユーザーに適用されます。値には、none、denyDelete、denyWriteAndDelete が含まれます。
deny-settings-apply-to-child-scopes: 指定すると、拒否設定モードの構成が管理対象リソースの子スコープにも適用されます。たとえば、Bicep ファイルは、Microsoft.Sql/servers リソース (親) と Microsoft.Sql/servers/databases リソース (子) を定義します。 deny-settings-apply-to-child-scopes 設定が有効で、deny-settings-mode が denyWriteAndDelete に設定された Bicep ファイルを使用してデプロイスタックを作成した場合、 Microsoft.Sql/servers リソースまたは Microsoft.Sql/servers/databases リソースに子リソースを追加することはできません。
deny-settings-excluded-actions: 拒否設定から除外されるロールベースのアクセス制御 (RBAC) 管理操作の一覧です。最大 200 個のアクションが許可されます。
deny-settings-excluded-principals: ロックから除外された Microsoft Entra プリンシパル ID の一覧。最大 5 つのプリンシパルが許可されます。

リソースグループスコープで拒否設定を適用するには:

New-AzResourceGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "denyDelete" `
  -DenySettingsExcludedAction "Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete" `
  -DenySettingsExcludedPrincipal "<object-id>,<object-id>"

az stack group create \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'denyDelete' \
  --deny-settings-excluded-actions 'Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete' \
  --deny-settings-excluded-principals '<object-id> <object-id>'

サブスクリプションスコープで拒否設定を適用するには:

New-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "denyDelete" `
  -DenySettingsExcludedAction "Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete" `
  -DenySettingsExcludedPrincipal "<object-id>,<object-id>"

DeploymentResourceGroupName パラメータを使用して、デプロイスタックを作成するリソースグループ名を指定します。スコープが指定されていない場合は、デプロイスタックのスコープが使用されます。

az stack sub create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'denyDelete' \
  --deny-settings-excluded-actions 'Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete' \
  --deny-settings-excluded-principals '<object-id> <object-id>'

deployment-resource-group パラメータを使用して、デプロイスタックを作成するリソースグループ名を指定します。スコープが指定されていない場合は、デプロイスタックのスコープが使用されます。

管理グループスコープで拒否設定を適用するには:

New-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "denyDelete" `
  -DenySettingsExcludedActions "Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete" `
  -DenySettingsExcludedPrincipal "<object-id>,<object-id>"

DeploymentSubscriptionId パラメータを使用して、デプロイスタックを作成するサブスクリプション ID を指定します。スコープが指定されていない場合は、デプロイスタックのスコープが使用されます。

az stack mg create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'denyDelete' \
  --deny-settings-excluded-actions 'Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete' \
  --deny-settings-excluded-principals '<object-id> <object-id>'

deployment-subscription パラメータを使用して、デプロイスタックを作成するサブスクリプション ID を指定します。スコープが指定されていない場合は、デプロイスタックのスコープが使用されます。

デプロイスタックから管理対象リソースをデタッチする

既定では、非管理対象リソースがスタックの管理スコープ内に含まれなくなった場合、それらはデプロイスタックによりデタッチされ、削除はされません。詳細については、「デプロイスタックを更新する」参照してください。

デプロイスタックからテンプレートをエクスポートする

デプロイスタックから JSON 出力にリソースをエクスポートできます。出力をファイルにパイプすることができます。

リソースグループスコープでデプロイスタックをエクスポートするには:

Save-AzResourceGroupDeploymentStack `
   -Name "<deployment-stack-name>" `
   -ResourceGroupName "<resource-group-name>" `

az stack group export \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>'

サブスクリプションスコープでデプロイスタックをエクスポートするには:

Save-AzSubscriptionDeploymentStack `
  -name "<deployment-stack-name>"

az stack sub export \
  --name '<deployment-stack-name>'

管理グループスコープでデプロイスタックをエクスポートするには:

Save-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ManagementGroupId "<management-group-id>"

az stack mg export \
  --name '<deployment-stack-name>' \
  --management-group-id '<management-group-id>'

次のステップ

クイックスタートを実行するには、クイックスタート: デプロイスタックの作成に関する記事を参照してください。

次の方法で共有

デプロイスタック

デプロイスタックを使用する理由

既知の制限事項

既知の問題

組み込みのロール

デプロイスタックを作成する

デプロイスタックを一覧表示する

デプロイスタックを更新する

Set コマンドを使用する

新規作成コマンドを使用する

デタッチと削除を制御する

stack-out-of-sync エラーを処理する

デプロイスタックを削除する

デプロイスタックの管理対象リソースを表示する

デプロイスタックにリソースを追加する

デプロイスタックから管理対象リソースを削除する

管理対象リソースを保護する

デプロイスタックから管理対象リソースをデタッチする

デプロイスタックからテンプレートをエクスポートする

次のステップ

フィードバック

フィードバック

その他のリソース

次の方法で共有

デプロイ スタック

デプロイ スタックを使用する理由

既知の制限事項

既知の問題

組み込みのロール

デプロイ スタックを作成する

デプロイ スタックを一覧表示する

デプロイ スタックを更新する

Set コマンドを使用する

新規作成コマンドを使用する

デタッチと削除を制御する

stack-out-of-sync エラーを処理する

デプロイ スタックを削除する

デプロイ スタックの管理対象リソースを表示する

デプロイ スタックにリソースを追加する

デプロイ スタックから管理対象リソースを削除する

管理対象リソースを保護する

デプロイ スタックから管理対象リソースをデタッチする

デプロイ スタックからテンプレートをエクスポートする

次のステップ

フィードバック

フィードバック

その他のリソース

デプロイスタック

デプロイスタックを使用する理由

デプロイスタックを作成する

デプロイスタックを一覧表示する

デプロイスタックを更新する

デプロイスタックを削除する

デプロイスタックの管理対象リソースを表示する

デプロイスタックにリソースを追加する

デプロイスタックから管理対象リソースを削除する

デプロイスタックから管理対象リソースをデタッチする

デプロイスタックからテンプレートをエクスポートする