مكدسات التوزيع

مكدس توزيع Azure هو مورد يمكنك من إدارة مجموعة من موارد Azure كوحدة واحدة متماسكة. عند إرسال ملف Bicep أو قالب ARM JSON إلى مكدس توزيع، فإنه يحدد الموارد التي يديرها المكدس. إذا تمت إزالة مورد تم تضمينه مسبقا في القالب، فصله أو حذفه استنادا إلى الإجراء المحدد سلوكOnUnmanage لمكدس التوزيع. يمكن تقييد الوصول إلى مكدس التوزيع باستخدام التحكم في الوصول المستند إلى الدور Azure (Azure RBAC)، على غرار موارد Azure الأخرى.

لإنشاء مكدس توزيع وتحديثه، يمكنك استخدام Azure CLI أو Azure PowerShell أو مدخل Azure جنبا إلى جنب مع ملفات Bicep. يتم تحويل ملفات Bicep هذه إلى قوالب ARM JSON، والتي يتم نشرها بعد ذلك ككائن توزيع بواسطة المكدس. يوفر مكدس التوزيع قدرات إضافية تتجاوز موارد النشر المألوفة، تعمل كمجموعة فائقة من هذه القدرات.

Microsoft.Resources/deploymentStacks هو نوع المورد لتكديسات التوزيع. وهو يتكون من قالب رئيسي يمكنه إجراء تحديثات من 1 إلى عدة تحديثات عبر نطاقات الموارد التي يصفها، وحظر أي تغييرات غير مرغوب فيها على تلك الموارد.

عند التخطيط للتوزيع وتحديد مجموعات الموارد التي يجب أن تكون جزءا من نفس المكدس، من المهم مراعاة دورة حياة الإدارة لتلك الموارد، والتي تتضمن الإنشاء والتحديث والحذف. على سبيل المثال، افترض أنك بحاجة إلى توفير بعض أجهزة الاختبار الظاهرية (VM) لفرق التطبيقات المختلفة عبر نطاقات مجموعة الموارد المختلفة. في هذه الحالة، يمكن استخدام مكدس توزيع لإنشاء بيئات الاختبار هذه وتحديث تكوينات الجهاز الظاهري للاختبار من خلال التحديثات اللاحقة لمكدس التوزيع. بعد إكمال المشروع، قد يكون من الضروري إزالة أو حذف أي موارد تم إنشاؤها، مثل اختبار الأجهزة الظاهرية. باستخدام مكدس توزيع، يمكن إزالة الموارد المدارة بسهولة عن طريق تحديد علامة الحذف المناسبة. يوفر هذا الأسلوب المبسط الوقت أثناء تنظيف البيئة، لأنه يتضمن تحديثا واحدا لمورد المكدس بدلا من تعديل أو إزالة كل جهاز ظاهري تجريبي بشكل فردي عبر نطاقات مجموعة الموارد المختلفة.

تتطلب مكدسات التوزيع إصدار Azure PowerShell 12.0.0 أو أحدث أو إصدار Azure CLI 2.61.0 أو أحدث.

لإنشاء مكدس التوزيع الأول، اعمل من خلال التشغيل السريع: إنشاء مكدس توزيع.

لماذا تستخدم مكدسات التوزيع؟

توفر مكدسات التوزيع المزايا التالية:

• توفير وإدارة الموارد بطريقة مبسطة عبر نطاقات مختلفة ككيان موحد.
• منع التعديلات غير المرغوب فيها على الموارد المدارة عبر إعدادات الرفض.
• تنظيف بيئة فعال باستخدام علامات الحذف أثناء تحديثات مكدس التوزيع.
• استخدام القوالب القياسية مثل Bicep أو قوالب ARM أو مواصفات القالب لتكديسات التوزيع.

القيود المعروفة

• لا تتم إدارة الموارد التي تم إنشاؤها ضمنيا بواسطة مكدس التوزيع. لذلك، لا يمكن رفض التعيينات أو التنظيف.
• رفض التعيينات لا يدعم العلامات.
• لا يتم دعم رفض التعيينات في نطاق مجموعة الإدارة. ومع ذلك، يتم دعمها في مكدس مجموعة إدارة إذا تم توجيه النشر إلى نطاق الاشتراك.
• لا يمكن لتكديسات التوزيع حذف أسرار Key vault. إذا كنت تقوم بإزالة أسرار key vault من قالب، فتأكد أيضا من تنفيذ الأمر تحديث/حذف مكدس التوزيع مع وضع الفصل.

المشكلات المعروفة

• حذف مجموعات الموارد يتجاوز حاليا رفض التعيينات. عند إنشاء مكدس توزيع في نطاق مجموعة الموارد، لا يحتوي ملف Bicep على تعريف مجموعة الموارد. على الرغم من إعداد رفض التعيين، من الممكن حذف مجموعة الموارد ومكدسها المضمن. ومع ذلك، إذا كان التأمين نشطا على أي مورد داخل المجموعة، تفشل عملية الحذف.
• دعم What-if غير متوفر بعد.
• يتم تقييد المكدس ذي نطاق مجموعة الإدارة من النشر إلى مجموعة إدارة أخرى. يمكن النشر فقط إلى مجموعة إدارة المكدس نفسه أو إلى اشتراك فرعي.
• يساعد أمر PowerShell في DeleteResourcesAndResourcesGroups سرد قيمة للتبديل ActionOnUnmanage . عند استخدام هذه القيمة، يفصل الأمر الموارد المدارة ومجموعات الموارد. ستتم إزالة هذه القيمة في التحديث التالي. لا تستخدم هذه القيمة.
• في بعض الحالات، قد يرجع الأمران New و Set cmdlets من Azure PowerShell خطأ عام في التحقق من صحة القالب غير قابل للتنفيذ بوضوح. سيتم إصلاح هذا الخطأ في الإصدار التالي، ولكن في الوقت الحالي، إذا كان الخطأ غير واضح، يمكنك تشغيل cmdlet في وضع التصحيح لرؤية خطأ أكثر تفصيلا في الاستجابة الأولية.
• لا يدعم موفر Microsoft Graph نشر المكدسات.

أدوار مدمجة

تحذير

يتم نشر فرض إذن RBAC Microsoft.Resources/deploymentStacks/manageDenySetting/action عبر المناطق، بما في ذلك السحب الحكومية.

هناك دوران مضمنان لمكدس التوزيع:

• Azure Deployment Stack Contributor: يسمح للمستخدمين بإدارة مكدسات التوزيع، ولكن لا يمكنهم إنشاء أو حذف تعيينات الرفض داخل مكدسات التوزيع.
• مالك Azure Deployment Stack: يسمح للمستخدمين بإدارة مكدسات التوزيع، بما في ذلك تلك التي بها تعيينات رفض.

إنشاء مكدسات توزيع

يمكن إنشاء مورد مكدس توزيع في نطاق مجموعة الموارد أو الاشتراك أو مجموعة الإدارة. يحدد القالب الذي تم تمريره إلى مكدس توزيع الموارد التي سيتم إنشاؤها أو تحديثها في النطاق الهدف المحدد لنشر القالب.

• يمكن للمكدس في نطاق مجموعة الموارد نشر القالب الذي تم تمريره إلى نفس نطاق مجموعة الموارد حيث يوجد مكدس التوزيع.
• يمكن للمكدس في نطاق الاشتراك نشر القالب الذي تم تمريره إلى نطاق مجموعة موارد (إذا تم تحديده) أو نفس نطاق الاشتراك حيث يوجد مكدس التوزيع.
• يمكن للمكدس في نطاق مجموعة الإدارة نشر القالب الذي تم تمريره إلى نطاق الاشتراك المحدد.

من المهم ملاحظة أنه حيث يوجد مكدس توزيع، وكذلك رفض التعيين الذي تم إنشاؤه باستخدام إمكانية إعدادات الرفض. على سبيل المثال، من خلال إنشاء مكدس توزيع في نطاق الاشتراك الذي ينشر القالب إلى نطاق مجموعة الموارد ومع وضع DenyDeleteإعدادات الرفض، يمكنك بسهولة توفير الموارد المدارة إلى مجموعة الموارد المحددة وحظر محاولات الحذف لتلك الموارد. باستخدام هذا الأسلوب، يمكنك أيضا تحسين أمان مكدس التوزيع عن طريق فصله على مستوى الاشتراك، بدلا من مستوى مجموعة الموارد. يضمن هذا الفصل أن فرق المطورين التي تعمل مع الموارد المتوفرة لديها رؤية فقط ووصول للكتابة إلى مجموعات الموارد، بينما يظل مكدس التوزيع معزولا على مستوى أعلى. يؤدي هذا إلى تقليل عدد المستخدمين الذين يمكنهم تحرير مكدس توزيع وإجراء تغييرات على رفض التعيين الخاص به. لمزيد من المعلومات، راجع حماية المورد المدار من الحذف.

يمكن أيضا استخدام أوامر إنشاء مكدس الذاكرة المؤقتة لتحديث مكدسات التوزيع.

لإنشاء مكدس توزيع في نطاق مجموعة الموارد:

بوويرشيل

New-AzResourceGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

المبادره القطريه

az stack group create \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll'
  --deny-settings-mode 'none'

بوابة

غير مطبق حاليا.

لإنشاء مكدس توزيع في نطاق الاشتراك:

بوويرشيل

New-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentResourceGroupName "<resource-group-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

DeploymentResourceGroupName تحدد المعلمة مجموعة الموارد المستخدمة لتخزين الموارد المدارة. إذا لم يتم تحديد المعلمة، يتم تخزين الموارد المدارة في نطاق الاشتراك.

المبادره القطريه

az stack sub create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-resource-group' <resource-group-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

deployment-resource-group تحدد المعلمة مجموعة الموارد المستخدمة لتخزين الموارد المدارة. إذا لم يتم تحديد المعلمة، يتم تخزين الموارد المدارة في نطاق الاشتراك.

بوابة

غير مطبق حاليا.

لإنشاء مكدس توزيع في نطاق مجموعة الإدارة:

بوويرشيل

New-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentSubscriptionId "<subscription-id>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

deploymentSubscriptionId تحدد المعلمة الاشتراك المستخدم لتخزين الموارد المدارة. إذا لم يتم تحديد المعلمة، يتم تخزين الموارد المدارة في نطاق مجموعة الإدارة.

المبادره القطريه

az stack mg create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-subscription '<subscription-id>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

deployment-subscription تحدد المعلمة الاشتراك المستخدم لتخزين الموارد المدارة. إذا لم يتم تحديد المعلمة، يتم تخزين الموارد المدارة في نطاق مجموعة الإدارة.

بوابة

غير مطبق حاليا.

سرد مكدسات التوزيع

لسرد موارد مكدس التوزيع في نطاق مجموعة الموارد:

بوويرشيل

Get-AzResourceGroupDeploymentStack `
  -ResourceGroupName "<resource-group-name>"

المبادره القطريه

az stack group list \
  --resource-group '<resource-group-name>'

بوابة

1. من مدخل Microsoft Azure، افتح مجموعة الموارد التي تحتوي على مكدسات التوزيع.

2. من القائمة اليسرى، حدد Deployment stacks لسرد مكدسات التوزيع الموزعة إلى مجموعة الموارد.

   

لسرد موارد مكدس التوزيع في نطاق الاشتراك:

بوويرشيل

Get-AzSubscriptionDeploymentStack

المبادره القطريه

az stack sub list

بوابة

1. من مدخل Microsoft Azure، افتح الاشتراك الذي يحتوي على مكدسات التوزيع.

2. من القائمة اليسرى، حدد Deployment stacks لسرد مكدسات التوزيع المنشورة في الاشتراك.

   

لسرد موارد مكدس التوزيع في نطاق مجموعة الإدارة:

بوويرشيل

Get-AzManagementGroupDeploymentStack `
  -ManagementGroupId "<management-group-id>"

المبادره القطريه

az stack mg list \
  --management-group-id '<management-group-id>'

بوابة

غير مطبق حاليا.

تحديث مكدسات التوزيع

لتحديث مكدس توزيع، والذي قد يتضمن إضافة مورد مدار أو حذفه، تحتاج إلى إجراء تغييرات على ملفات Bicep الأساسية. بمجرد إجراء التعديلات، لديك خياران لتحديث مكدس التوزيع: تشغيل أمر التحديث أو إعادة تشغيل أمر الإنشاء.

يمكن التحكم بشكل كامل في قائمة الموارد المدارة من خلال البنية الأساسية كنمط تصميم التعليمات البرمجية (IaC).

استخدام الأمر "تعيين"

لتحديث مكدس توزيع في نطاق مجموعة الموارد:

بوويرشيل

Set-AzResourceGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

المبادره القطريه

az stack group create \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

إشعار

لا يحتوي Azure CLI على أمر مجموعة مكدس توزيع. استخدم الأمر جديد بدلا من ذلك.

بوابة

غير مطبق حاليا.

لتحديث مكدس توزيع في نطاق الاشتراك:

بوويرشيل

Set-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentResourceGroupName "<resource-group-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

DeploymentResourceGroupName تحدد المعلمة مجموعة الموارد المستخدمة لتخزين موارد مكدس التوزيع. إذا لم تحدد اسم مجموعة موارد، تقوم خدمة مكدس التوزيع بإنشاء مجموعة موارد جديدة لك.

المبادره القطريه

az stack sub create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-resource-group '<resource-group-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

بوابة

غير مطبق حاليا.

لتحديث مكدس توزيع في نطاق مجموعة الإدارة:

بوويرشيل

Set-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentSubscriptionId "<subscription-id>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

المبادره القطريه

az stack mg create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-subscription '<subscription-id>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

بوابة

غير مطبق حاليا.

استخدام الأمر "جديد"

تتلقى تحذيرا مشابها للتحذير التالي:

The deployment stack 'myStack' you're trying to create already exists in the current subscription/management group/resource group. Do you want to overwrite it? Detaching: resources, resourceGroups (Y/N)

لمزيد من المعلومات، راجع إنشاء مكدسات توزيع.

التحكم في الفصل والحذف

يشير المورد المنفصل (أو المورد غير المدار) إلى مورد لا يتم تعقبه أو إدارته بواسطة مكدس التوزيع ولكنه لا يزال موجودا داخل Azure.

لإرشاد Azure لحذف الموارد غير المدارة، قم بتحديث المكدس باستخدام أمر إنشاء مكدس باستخدام المفتاح التالي. لمزيد من المعلومات، راجع إنشاء مكدس توزيع.

بوويرشيل

ActionOnUnmanage استخدم مفتاح التبديل لتحديد ما يحدث للموارد التي لم تعد مدارة بعد تحديث المكدس أو حذفه. القيم المسموح بها هي:

• deleteAll: استخدم الحذف بدلا من الفصل للموارد المدارة ومجموعات الموارد.
• deleteResources: استخدم الحذف بدلا من الفصل للموارد المدارة فقط.
• detachAll: افصل الموارد المدارة ومجموعات الموارد.

على سبيل المثال:

New-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name" `
  -TemplateFile "<bicep-file-name>" `
  -DenySettingsMode "none" `
  -ActionOnUnmanage "deleteAll" 

المبادره القطريه

action-on-unmanage استخدم مفتاح التبديل لتحديد ما يحدث للموارد التي لم تعد مدارة بعد تحديث المكدس أو حذفه. القيم المسموح بها هي:

• deleteAll: استخدم الحذف بدلا من الفصل للموارد المدارة ومجموعات الموارد.
• deleteResources: استخدم الحذف بدلا من الفصل للموارد المدارة فقط.
• detachAll: افصل الموارد المدارة ومجموعات الموارد.

على سبيل المثال:

az stack sub create `
  --name '<deployment-stack-name>' `
  --location '<location>' `
  --template-file '<bicep-file-name>' `
  --action-on-unmanage 'deleteAll' `
  --deny-settings-mode 'none' 

بوابة

غير مطبق حاليا.

تحذير

عند حذف مجموعات الموارد مع تعيين مفتاح التشغيل على إلغاء الإدارة إلى DeleteAll، سيتم أيضا حذف مجموعات الموارد المدارة وجميع الموارد المضمنة فيها.

معالجة خطأ المكدس خارج المزامنة

عند تحديث مكدس توزيع أو حذفه، قد تواجه خطأ التكديس خارج المزامنة التالي، مما يشير إلى عدم مزامنة قائمة موارد المكدس بشكل صحيح.

The deployment stack '{0}' may not have an accurate list of managed resources. To ensure no resources are accidentally deleted, please check that the managed resource list does not have any additional values. If there is any uncertainty, we recommend redeploying the stack with the same template and parameters as the current iteration. To bypass this warning, please specify the 'BypassStackOutOfSyncError' flag.

يمكنك الحصول على قائمة بالموارد من مدخل Microsoft Azure أو إعادة نشر ملف Bicep المنشور حاليا بنفس المعلمات. يظهر الإخراج الموارد المدارة

بوويرشيل

...
Resources: /subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Network/virtualNetworks/vnetthmimleef5fwk
           /subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Storage/storageAccounts/storethmimleef5fwk

المبادره القطريه

"resources": [
  {
    "denyStatus": "none",
    "id": "/subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Network/virtualNetworks/vnetthmimleef5fwk",
    "resourceGroup": "demoRg",
    "status": "managed"
  },
  {
    "denyStatus": "none",
    "id": "/subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Storage/storageAccounts/storethmimleef5fwk",
    "resourceGroup": "demoRg",
    "status": "managed"
  }
]

بوابة

1. افتح مدخل Azure.
2. افتح مجموعة الموارد التي تحتوي على المكدس.
3. من القائمة اليسرى، قم بتوسيع Settings، ثم حدد Deployment stacks.
4. حدد اسم المكدس لفتح المكدس.

بعد مراجعة قائمة الموارد والتحقق منها في المكدس، يمكنك إعادة تشغيل الأمر باستخدام BypassStackOutOfSyncError مفتاح التبديل في Azure PowerShell (أو bypass-stack-out-of-sync-error في Azure CLI). يجب استخدام مفتاح التبديل هذا فقط بعد مراجعة قائمة الموارد في المكدس بدقة قبل إعادة تشغيل الأمر. يجب عدم استخدام مفتاح التبديل هذا بشكل افتراضي.

حذف مكدسات التوزيع

بوويرشيل

ActionOnUnmanage يحدد مفتاح التبديل الإجراء إلى الموارد التي لم تعد مدارة. يحتوي مفتاح التبديل على القيم التالية:

• DeleteAll: احذف كلا من الموارد ومجموعات الموارد.
• DeleteResources: احذف الموارد فقط.
• DetachAll: افصل الموارد.

المبادره القطريه

action-on-unmanage يحدد مفتاح التبديل الإجراء إلى الموارد التي لم تعد مدارة. يحتوي مفتاح التبديل على القيم التالية:

• delete-all: احذف كلا من الموارد ومجموعات الموارد.
• delete-resources: احذف الموارد فقط.
• detach-all: افصل الموارد.

بوابة

حدد إحدى علامات الحذف عند حذف مكدس توزيع.

حتى إذا قمت بتحديد مفتاح التبديل delete-all، فإن الموارد غير المدارة داخل مجموعة الموارد حيث يوجد مكدس التوزيع تمنع حذف كل من الموارد غير المدارة ومجموعة الموارد نفسها.

لحذف موارد مكدس التوزيع في نطاق مجموعة الموارد:

بوويرشيل

Remove-AzResourceGroupDeploymentStack `
  -name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -ActionOnUnmanage "<deleteAll/deleteResources/detachAll>"

المبادره القطريه

az stack group delete \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --action-on-unmanage '<deleteAll/deleteResources/detachAll>'

بوابة

1. من مدخل Microsoft Azure، افتح مجموعة الموارد التي تحتوي على مكدسات التوزيع.

2. من القائمة اليسرى، حدد Deployment stacks، وحدد مكدس التوزيع المراد حذفه، ثم حدد Delete stack.

   

3. Update behaviorحدد ، ثم حدد Next.

   

لحذف موارد مكدس التوزيع في نطاق الاشتراك:

بوويرشيل

Remove-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ActionOnUnmanage "<deleteAll/deleteResources/detachAll>"

المبادره القطريه

az stack sub delete \
  --name '<deployment-stack-name>' \
  --action-on-unmanage '<deleteAll/deleteResources/detachAll>'

بوابة

1. من مدخل Microsoft Azure، افتح الاشتراك الذي يحتوي على مكدسات التوزيع.

2. من القائمة اليسرى، حدد Deployment stacks، وحدد مكدس التوزيع المراد حذفه، ثم حدد Delete stack.

   

3. Update behavior حدد (علامة حذف)، ثم حدد Next.

   

لحذف موارد مكدس التوزيع في نطاق مجموعة الإدارة:

بوويرشيل

Remove-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ManagementGroupId "<management-group-id>" `
  -ActionOnUnmanage "<deleteAll/deleteResources/detachAll>"

المبادره القطريه

az stack mg delete \
  --name '<deployment-stack-name>' \
  --management-group-id '<management-group-id>' \
  --action-on-unmanage '<deleteAll/deleteResources/detachAll>'

بوابة

غير مطبق حاليا.

عرض الموارد المدارة في مكدس التوزيع

لا تحتوي خدمة مكدس التوزيع بعد على واجهة مستخدم رسومية (GUI) لمدخل Microsoft Azure. لعرض الموارد المدارة داخل مكدس توزيع، استخدم أوامر Azure Powershell/Azure CLI التالية:

لعرض الموارد المدارة في نطاق مجموعة الموارد:

بوويرشيل

(Get-AzResourceGroupDeploymentStack -Name "<deployment-stack-name>" -ResourceGroupName "<resource-group-name>").Resources

المبادره القطريه

az stack group list \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --output 'json'

بوابة

1. من مدخل Microsoft Azure، افتح مجموعة الموارد التي تحتوي على مكدسات التوزيع.

2. من القائمة اليسرى، حدد Deployment stacks.

   

3. حدد أحد مكدسات التوزيع لعرض الموارد المدارة لمكدس التوزيع.

لعرض الموارد المدارة في نطاق الاشتراك:

بوويرشيل

(Get-AzSubscriptionDeploymentStack -Name "<deployment-stack-name>").Resources

المبادره القطريه

az stack sub show \
  --name '<deployment-stack-name>' \
  --output 'json'

بوابة

1. من مدخل Microsoft Azure، افتح الاشتراك الذي يحتوي على مكدسات التوزيع.

2. من القائمة اليسرى، حدد Deployment stacks لسرد مكدسات التوزيع المنشورة في الاشتراك.

   

3. حدد مكدس التوزيع لسرد الموارد المدارة.

لعرض الموارد المدارة في نطاق مجموعة الإدارة:

بوويرشيل

(Get-AzManagementGroupDeploymentStack -Name "<deployment-stack-name>" -ManagementGroupId "<management-group-id>").Resources

المبادره القطريه

az stack mg show \
  --name '<deployment-stack-name>' \
  --management-group-id '<management-group-id>' \
  --output 'json'

بوابة

غير مطبق حاليا.

إضافة موارد إلى مكدس التوزيع

لإضافة مورد مدار، أضف تعريف المورد إلى ملفات Bicep الأساسية، ثم قم بتشغيل أمر التحديث أو أعد تشغيل أمر الإنشاء. لمزيد من المعلومات، راجع تحديث مكدسات التوزيع.

حذف الموارد المدارة من مكدس التوزيع

لحذف مورد مدار، قم بإزالة تعريف المورد من ملفات Bicep الأساسية، ثم قم بتشغيل أمر التحديث أو أعد تشغيل أمر الإنشاء. لمزيد من المعلومات، راجع تحديث مكدسات التوزيع.

حماية الموارد المدارة

يمكنك تعيين أذونات محددة للموارد المدارة لمكدس التوزيع لمنع أساسيات الأمان غير المصرح بها من حذفها أو تحديثها. يشار إلى هذه الأذونات باسم إعدادات الرفض. تريد تخزين مكدسات في النطاق الأصل. على سبيل المثال، لحماية الموارد في اشتراك، يجب وضع المكدس في النطاق الأصل، وهو مجموعة الإدارة الأصلية الفورية.

ينطبق إعداد الرفض فقط على عمليات وحدة التحكم، وليس عمليات مستوى البيانات. على سبيل المثال، يتم إنشاء حسابات التخزين وخزائن المفاتيح من خلال مستوى التحكم، ما يسمح بإدارتها بواسطة مكدس توزيع. ومع ذلك، لا يمكن إدارة الموارد التابعة مثل البيانات السرية أو حاويات كائن ثنائي كبير الحجم، والتي يتم إنشاؤها من خلال مستوى البيانات، بواسطة مكدس توزيع.

ينطبق إعداد الرفض فقط على الموارد التي تم إنشاؤها بشكل صريح، وليس الموارد التي تم إنشاؤها ضمنيا. على سبيل المثال، تقوم مجموعة AKS المدارة بإنشاء خدمات أخرى متعددة لدعمها، مثل جهاز ظاهري. في هذه الحالة، نظرا لعدم تعريف الجهاز الظاهري في ملف Bicep وهو مورد تم إنشاؤه ضمنيا، فإنه لا يخضع لإعدادات رفض مكدس التوزيع.

إشعار

يتطلب الإصدار الأخير أذونات محددة في نطاق المكدس من أجل:

• إنشاء أو تحديث مكدس توزيع وتكوين إعداد الرفض إلى قيمة أخرى غير None.
• تحديث أو حذف مكدس توزيع مع إعداد رفض موجود لقيمة أخرى غير None.

استخدم الأدوار المضمنة لمكدس التوزيع لمنح الأذونات.

بوويرشيل

يتضمن Azure PowerShell هذه المعلمات لتخصيص رفض التعيين:

• DenySettingsMode: يحدد العمليات المحظورة على الموارد المدارة للحماية من أساسيات الأمان غير المصرح بها التي تحاول حذفها أو تحديثها. ينطبق هذا التقييد على الجميع ما لم يتم منح حق الوصول بشكل صريح. تتضمن القيم: Noneو DenyDeleteو.DenyWriteAndDelete
• DenySettingsApplyToChildScopes: عند تحديده، ينطبق تكوين وضع إعداد الرفض أيضا على النطاق الفرعي للموارد المدارة. على سبيل المثال، يعرف ملف Bicep مورد Microsoft.Sql/servers (أصل) ومورد Microsoft.Sql/servers/databases (تابع). إذا تم إنشاء مكدس توزيع باستخدام ملف Bicep مع DenySettingsApplyToChildScopes تمكين الإعداد وتعيين DenySettingsMode إلى DenyWriteAndDelete، فلا يمكنك إضافة أي موارد تابعة إضافية إلى مورد Microsoft.Sql/servers أو مورد Microsoft.Sql/servers/databases .
• DenySettingsExcludedAction: قائمة بعمليات الإدارة المستندة إلى الأدوار المستبعدة من إعدادات الرفض. يسمح بإجراء ما يصل إلى 200 إجراء.
• DenySettingsExcludedPrincipal: قائمة بمعرفات Microsoft Entra الأساسية المستبعدة من التأمين. يسمح بخمسة كيانات كحد أقصى.

المبادره القطريه

يتضمن Azure CLI هذه المعلمات لتخصيص رفض التعيين:

• deny-settings-mode: يحدد العمليات المحظورة على الموارد المدارة للحماية من أساسيات الأمان غير المصرح بها التي تحاول حذفها أو تحديثها. ينطبق هذا التقييد على الجميع ما لم يتم منح حق الوصول بشكل صريح. تتضمن القيم: noneو denyDeleteو.denyWriteAndDelete
• deny-settings-apply-to-child-scopes: عند تحديده، ينطبق تكوين وضع إعداد الرفض أيضا على النطاق الفرعي للموارد المدارة. على سبيل المثال، يعرف ملف Bicep مورد Microsoft.Sql/servers (أصل) ومورد Microsoft.Sql/servers/databases (تابع). إذا تم إنشاء مكدس توزيع باستخدام ملف Bicep مع deny-settings-apply-to-child-scopes تمكين الإعداد وتعيين deny-settings-mode إلى denyWriteAndDelete، فلا يمكنك إضافة أي موارد تابعة إضافية إلى مورد Microsoft.Sql/servers أو مورد Microsoft.Sql/servers/databases .
• deny-settings-excluded-actions: قائمة بعمليات إدارة التحكم في الوصول استنادا إلى الدور (RBAC) المستبعدة من إعدادات الرفض. يسمح بإجراء ما يصل إلى 200 إجراء.
• deny-settings-excluded-principals: قائمة بمعرفات Microsoft Entra الأساسية المستبعدة من التأمين. يسمح بخمسة كيانات كحد أقصى.

بوابة

غير مطبق حاليا.

لتطبيق إعدادات الرفض في نطاق مجموعة الموارد:

بوويرشيل

New-AzResourceGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "denyDelete" `
  -DenySettingsExcludedAction "Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete" `
  -DenySettingsExcludedPrincipal "<object-id>,<object-id>"

المبادره القطريه

az stack group create \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'denyDelete' \
  --deny-settings-excluded-actions 'Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete' \
  --deny-settings-excluded-principals '<object-id> <object-id>'

بوابة

غير مطبق حاليا.

لتطبيق إعدادات الرفض في نطاق الاشتراك:

بوويرشيل

New-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "denyDelete" `
  -DenySettingsExcludedAction "Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete" `
  -DenySettingsExcludedPrincipal "<object-id>,<object-id>"

استخدم المعلمة DeploymentResourceGroupName لتحديد اسم مجموعة الموارد الذي يتم إنشاء مكدس التوزيع عنده. إذا لم يتم تحديد نطاق، فإنه يستخدم نطاق مكدس التوزيع.

المبادره القطريه

az stack sub create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'denyDelete' \
  --deny-settings-excluded-actions 'Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete' \
  --deny-settings-excluded-principals '<object-id> <object-id>'

استخدم المعلمة deployment-resource-group لتحديد مجموعة الموارد التي يتم إنشاء مكدس التوزيع فيها. إذا لم يتم تحديد نطاق، فإنه يستخدم نطاق مكدس التوزيع.

بوابة

غير مطبق حاليا.

لتطبيق إعدادات الرفض في نطاق مجموعة الإدارة:

بوويرشيل

New-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "denyDelete" `
  -DenySettingsExcludedActions "Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete" `
  -DenySettingsExcludedPrincipal "<object-id>,<object-id>"

استخدم المعلمة DeploymentSubscriptionId لتحديد معرف الاشتراك الذي يتم إنشاء مكدس التوزيع فيه. إذا لم يتم تحديد نطاق، فإنه يستخدم نطاق مكدس التوزيع.

المبادره القطريه

az stack mg create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'denyDelete' \
  --deny-settings-excluded-actions 'Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete' \
  --deny-settings-excluded-principals '<object-id> <object-id>'

استخدم المعلمة deployment-subscription لتحديد معرف الاشتراك الذي يتم إنشاء مكدس التوزيع فيه. إذا لم يتم تحديد نطاق، فإنه يستخدم نطاق مكدس التوزيع.

بوابة

غير مطبق حاليا.

فصل الموارد المدارة من مكدس التوزيع

بشكل افتراضي، تفصل مكدسات التوزيع ولا تحذف الموارد غير المدارة عندما لا تكون مضمنة في نطاق إدارة المكدس. لمزيد من المعلومات، راجع تحديث مكدسات التوزيع.

تصدير القوالب من مكدسات التوزيع

يمكنك تصدير الموارد من مكدس توزيع إلى إخراج JSON. يمكنك توجيه الإخراج إلى ملف.

لتصدير مكدس توزيع في نطاق مجموعة الموارد:

بوويرشيل

Save-AzResourceGroupDeploymentStack `
   -Name "<deployment-stack-name>" `
   -ResourceGroupName "<resource-group-name>" `

المبادره القطريه

az stack group export \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>'

بوابة

غير مطبق حاليا.

لتصدير مكدس توزيع في نطاق الاشتراك:

بوويرشيل

Save-AzSubscriptionDeploymentStack `
  -name "<deployment-stack-name>"

المبادره القطريه

az stack sub export \
  --name '<deployment-stack-name>'

بوابة

غير مطبق حاليا.

لتصدير مكدس توزيع في نطاق مجموعة الإدارة:

بوويرشيل

Save-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ManagementGroupId "<management-group-id>"

المبادره القطريه

az stack mg export \
  --name '<deployment-stack-name>' \
  --management-group-id '<management-group-id>'

بوابة

غير مطبق حاليا.

الخطوات التالية

للانتقال من خلال التشغيل السريع، راجع التشغيل السريع: إنشاء مكدس توزيع.