Compartilhar uma galeria com todos os usuários de uma assinatura ou locatários (versão prévia)

Este artigo aborda como compartilhar uma Galeria de Computação do Azure com assinaturas ou locatários específicos usando uma galeria compartilhada direta. Compartilhar uma galeria com locatários e assinaturas lhes dá acesso somente leitura à sua galeria.

Há três maneiras principais de compartilhar imagens em uma Galeria de Computação do Azure, dependendo de com quem você deseja compartilhar:

Limitações

Durante a versão prévia:

• Você só pode compartilhar com 30 assinaturas e 5 locatários.
• Apenas imagens podem ser compartilhadas. Você não pode compartilhar diretamente um aplicativo de VM durante a visualização.
• Uma galeria compartilhada direta não pode conter versões de imagem criptografadas. Imagens criptografadas não podem ser criadas em uma galeria que seja compartilhada diretamente.
• Somente o proprietário de uma assinatura, um usuário ou uma entidade de serviço atribuída para a função Compute Gallery Sharing Admin no nível da assinatura ou galeria poderá permitir o compartilhamento baseado em grupo.
• Você precisa criar uma galeria, com a propriedade sharingProfile.permissions definida como Groups. Ao usar a CLI para criar uma galeria, use o parâmetro --permissions groups. Você não pode usar uma galeria existente, a propriedade não pode ser atualizada no momento.
• Somente suporte a API REST, CLI e ao portal está disponível na versão prévia. O suporte ao PowerShell e ao Terraform virá mais tarde.
• Embora o suporte ao portal esteja disponível para esse recurso, o consumo de imagens no portal só está disponível na folha de criação da VM/VMSS e não há como procurar imagens compartilhadas diretas diretamente no portal.
• A região de versão da imagem na galeria deve ser igual a da região inicial da região. Não há suporte para criação de uma versão entre regiões em que a região inicial é diferente da galeria, no entanto, quando a imagem estiver na região inicial, ela poderá ser replicada para outras regiões.
• Não disponível em nuvens do Governo
• Problema conhecido: ao criar uma VM de uma imagem compartilhada direta usando o portal do Azure, se você selecionar uma região, selecionar uma imagem e alterar a região, você receberá uma mensagem de erro: "Você só pode criar VM nas regiões de replicação dessa imagem" mesmo quando a imagem for replicada para essa região. Para se livrar do erro, selecione uma região diferente e, em seguida, volte para a região desejada. Se a imagem estiver disponível, ela deverá limpar a mensagem de erro.

Pré-requisitos

Você precisa criar uma nova galeria compartilhada direta . Uma galeria compartilhada direta tem a propriedade sharingProfile.permissions definida como Groups. Ao usar a CLI para criar uma galeria, use o parâmetro --permissions groups. Você não pode usar uma galeria existente, a propriedade não pode ser atualizada no momento.

Como funciona o compartilhamento com a galeria compartilhada direta

Primeiro você cria uma galeria em Microsoft.Compute/Galleries e escolhe groups como opção de compartilhamento.

Quando estiver pronto, você compartilhará sua galeria com assinaturas e locatários. Somente o proprietário de uma assinatura, ou um usuário ou entidade de serviço com a função Compute Gallery Sharing Admin no nível da assinatura ou galeria, pode compartilhar a galeria. Neste ponto, a infraestrutura do Azure cria recursos regionais somente leitura de proxy, em Microsoft.Compute/SharedGalleries. Somente assinaturas e locatários com os quais você compartilhou podem interagir com os recursos de proxy, eles nunca interagem com os recursos privados. Como o editor do recurso privado, você deve considerar o recurso privado como seu identificador para os recursos de proxy público. As assinaturas e locatários com os quais você compartilhou sua galeria verão o nome da galeria como a ID da assinatura em que a galeria foi criada, seguida pelo nome da galeria.

az sig create \
   --gallery-name myGallery \
   --permissions groups \
   --resource-group myResourceGroup  

sub=<subscription-id>
tenant=<tenant-id>
gallery=<gallery-name>
rg=<resource-group-name>
az sig share add \
   --subscription-ids $sub \
   --tenant-ids $tenant \
   --gallery-name $gallery \
   --resource-group $rg

sub=<subscription-id>
tenant=<tenant-id>
gallery=<gallery-name>
rg=<resource-group-name>

az sig share remove \
   --subscription-ids $sub \
   --tenant-ids $tenant \
   --gallery-name $gallery \
   --resource-group $rg

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{rgName}/providers/Microsoft.Compute/galleries/{gallery-name}?api-version=2020-09-30

{
	"properties": {
		"sharingProfile": {
			"permissions": "Groups"
		}
	},
	"location": "{location}
}
 

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{rgName}/providers/Microsoft.Compute/galleries/{galleryName}/share?api-version=2020-09-30

{
  "operationType": "Add",
  "groups": [
    {
      "type": "Subscriptions",
      "ids": [
        "{SubscriptionID}"
      ]
    },
    {
      "type": "AADTenants",
      "ids": [
        "{tenantID}"
      ]
    }
  ]
}

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{rgName}/providers/Microsoft.Compute/galleries/{galleryName}/share?api-version=2020-09-30

{
	"operationType": "Remove",
	"groups":[ 
		{
			"type": "Subscriptions",
			"ids": [
				"{subscriptionId1}",
				"{subscriptionId2}"
			],
},
{
			"type": "AADTenants",
			"ids": [
				"{tenantId1}",
				"{tenantId2}"
			]
		}
	]
}

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{rgName}/providers/Microsoft.Compute/galleries/{galleryName}/share?api-version=2020-09-30 

{ 
 "operationType" : "Reset", 
} 

Próximas etapas

• Crie uma definição de imagem e uma versão de imagem.
• Crie uma VM com base em uma imagem generalizada ou especializada, por meio de uma imagem compartilhada diretamente na assinatura ou no locatário de destino.