通过向 Azure 资源管理器模板添加加密功能自动执行安全的 VM 部署

  • 5 分钟

假设你的公司在过渡到云的过程中需要部署多个服务器。 虚拟机 (VM) 磁盘必须在部署过程中进行加密，这样磁盘从一开始就没有任何漏洞。 你想要自动化此过程，并且需要修改 Azure 资源管理器模板来自动启用加密。

本文介绍如何使用 Azure 资源管理器模板来自动为新的 Windows VM 启用加密。

什么是 Azure 资源管理器模板？

资源管理器模板是用于定义要部署到 Azure 的一系列资源的 JSON 文件。 可以从头开始编写这些模板；对于某些 Azure 资源（包括 VM），可使用 Azure 门户来生成模板。 对于手动进行的 VM 部署，你需要填写所需的信息，但随后不需要将 VM 部署到 Azure，而是应该保存模板。 然后，即可重复使用模板来创建特定 VM 配置。

若要自动执行各种管理任务，可查看提供的示例模板。 事实上，你在上一个练习中手动执行的 VM 加密可以使用其中一个模板来完成。

显示 Azure 模板的屏幕截图。

使用 GitHub 模板

实际的模板源存储在 GitHub 中。 可浏览至 GitHub 中的某个模板，然后从该页面直接部署到 Azure。

显示 GitHub 模板的屏幕截图，其中突出显示了“部署到 Azure”按钮。

部署模板后，Azure 会显示所需输入字段的列表。

显示 Azure 门户中的模板的屏幕截图。

然后，可执行模板以创建、修改或删除资源。

运行 Azure 门户中的模板

如果已知道要使用的模板，或已在 Azure 帐户中保存了模板，则可使用“创建资源”>“模板部署”资源来在门户中查找和运行定义的模板。 可按名称搜索模板，编辑模板以更改参数或行为，并直接从 GUI 执行该模板。

从命令行运行模板

给定模板的 URL 后，可使用 Azure PowerShell 执行它。 例如，可使用以下 PowerShell 命令运行磁盘加密模板：

New-AzResourceGroupDeployment `
    -Name encrypt-disk `
    -ResourceGroupName <resource-group-name> `
    -TemplateUri https://raw.githubusercontent.com/azure/azure-quickstart-templates/master/201-encrypt-running-windows-vm-without-aad/azuredeploy.json

或者，如果偏好 Azure CLI，则可运行 az deployment group create 命令。

az deployment group create --resource-group <my-resource-group> --name <my-deployment-name> \ 
    --template-uri https://raw.githubusercontent.com/azure/azure-quickstart-templates/master/201-encrypt-running-windows-vm-without-aad/azuredeploy.json