Vytvoření a nasazení nasazovacích stacků Azure v Bicepu

Zásobník nasazení Azure je zdroj, který umožňuje spravovat skupinu prostředků Azure jako jednu soudržnou jednotku. Když odešlete soubor Bicep nebo šablonu JSON Azure Resource Manageru (šablona JSON ARM) do zásobníku nasazení, definujete prostředky, které zásobník spravuje. Pokud odeberete prostředek ze šablony, může být odpojen nebo odstraněn na základě zadaného actionOnUnmanage chování zásobníku nasazení. Přístup ke zásobníku nasazení můžete omezit pomocí řízení přístupu na základě role v Azure (Azure RBAC), podobně jako u jiných prostředků Azure.

K vytvoření a aktualizaci zásobníku nasazení použijte Azure CLI, Azure PowerShell nebo Azure portal se soubory Bicep. Systém tyto soubory Bicep převádí do šablon JSON ARM a nasadí je jako nasazovací objekt. Zásobník nasazení nabízí další možnosti nad rámec známých prostředků nasazení a je nadmnožinou těchto možností.

Microsoft.Resources/deploymentStacks je typ prostředku pro nasazovací zásobníky. Skládá se z hlavní šablony, která může provádět aktualizace na více prostředků v různých oblastech, které popisuje, a blokovat nežádoucí změny těchto prostředků.

Při plánování nasazení a určení skupin prostředků, které by měly být součástí stejného zásobníku, zvažte životní cyklus správy těchto prostředků, včetně vytvoření, aktualizace a odstranění. Můžete například potřebovat zřídit některé testovací virtuální počítače pro různé aplikační týmy v různých oborech skupin prostředků. Zásobník nasazení můžete použít k vytvoření těchto testovacích prostředí a aktualizaci konfigurací testovacích virtuálních počítačů prostřednictvím následných aktualizací zásobníku nasazení. Po dokončení projektu možná budete muset odebrat nebo odstranit všechny prostředky, které jste vytvořili, například testovací virtuální počítače. Použijte nasazovací balík a zadejte příslušný příznak pro odstranění k odebrání spravovaných prostředků. Tento zjednodušený přístup šetří čas během čištění prostředí, protože zahrnuje jednu aktualizaci zdroje zásobníku místo individuální úpravy nebo odebrání každého testovacího virtuálního počítače v různých oborech skupin prostředků.

Nasazovací zásobníky vyžadují Azure PowerShell verze 12.0.0 nebo novější nebo Azure CLI verze 2.61.0 nebo novější.

Pokud chcete vytvořit první zásobník nasazení, projděte si Quickstart: vytvoření zásobníku nasazení.

Proč používat nasazovací sady?

Sady pro nasazení poskytují následující výhody:

• Optimalizované zajišťování a správa zdrojů napříč různými oblastmi jako sjednocený celek.
• Prevence nežádoucích úprav spravovaných prostředků pomocí nastavení pro odmítnutí
• Efektivní vyčištění prostředí pomocí odstraňovacích příznaků během aktualizací nasazovacího zásobníku.
• Použití standardních šablon, jako jsou šablony Bicep, ARM nebo specifikace šablon, pro vaše nasazovací zásobníky.

Známá omezení

• Existuje omezení na 800 zásobníků nasazení, které lze vytvořit v rámci jednoho rozsahu.
• V libovolném rozsahu může existovat maximálně 2 000 zamítnutí přiřazení.
• Zásobník nasazení nespravuje implicitně vytvořené prostředky. Proto pro tyto prostředky nemůžete použít odepření přiřazení ani vyčištění.
• Odepřená přiřazení nepodporují značky.
• Zamítací přiřazení nejsou podporována v oboru řídicí skupiny. Jsou však podporovány ve zásobníku skupin pro správu, pokud je nasazení nasměrováno na obor předplatného.
• Zásobníky nasazení nemůžou odstranit tajné kódy trezoru klíčů. Pokud odebíráte tajemství z klíčového trezoru ze šablony, nezapomeňte také spustit příkaz pro aktualizaci nebo odstranění nasazovacího zásobníku v režimu odpojení.

Známé problémy

• Odstraňování skupin prostředků aktuálně obchází omezující přiřazení. Když vytvoříte zásobník nasazení v rámci oboru skupiny prostředků, soubor Bicep neobsahuje definici této skupiny prostředků. I přesto, že je aktivní nastavení pro zamítnutí přiřazení, můžete odstranit skupinu prostředků a její obsažený zásobník. Pokud je však zámek aktivní u libovolného prostředku v rámci skupiny, operace odstranění selže.
• Podpora What-if ještě není k dispozici.
• Zásobník s oborem skupiny pro správu se nedá nasadit do jiné skupiny pro správu. Lze ji nasadit pouze do skupiny pro správu samotného zásobníku nebo do podřízeného předplatného.
• Nápověda k příkazu Azure PowerShell zobrazuje hodnotu DeleteResourcesAndResourcesGroups pro přepínač ActionOnUnmanage. Když použijete tuto hodnotu, příkaz odpojí spravované prostředky a skupiny prostředků. Tato hodnota se odebere v další aktualizaci. Tuto hodnotu nepoužívejte.
• V některých případech můžou rutiny New and Set Azure PowerShell vracet obecnou chybu ověření šablony, která není jasně použitelná. Tato chyba bude opravena v příští verzi. Pokud chyba není jasná, spusťte rutinu v režimu ladění a zobrazte podrobnější chybu v nezpracované odpovědi.
• Poskytovatel Microsoft Graphu nepodporuje nasazení zásobníků.

Předdefinované role

Varování

Vynucování oprávnění RBAC Microsoft.Resources/deploymentStacks/manageDenySetting/action se zavádí napříč oblastmi, včetně cloudů pro státní správu.

Existují dvě vestavěné role pro nasazovací zásobník.

• Přispěvatel služby Azure Deployment Stack: Uživatelé můžou spravovat zásobníky nasazení, ale nesmí vytvářet ani odstraňovat zamítnutá přiřazení v rámci zásobníků nasazení.
• Vlastník služby Azure Deployment Stack: Uživatelé můžou spravovat zásobníky nasazení, včetně těch uživatelů s přiřazením zamítnutí.

Vytvořit nasazovací zásobníky

Prostředek zásobníku nasazení můžete vytvořit v oboru skupiny prostředků, předplatného nebo skupiny pro správu. Šablona, kterou poskytujete se zásobníkem nasazení, definuje prostředky, které se mají vytvořit nebo aktualizovat v cílovém oboru.

• Zásobník v oboru skupiny prostředků může nasadit šablonu do stejné skupiny prostředků, ve které existuje zásobník nasazení.
• Zásobník na úrovni předplatného může nasadit šablonu do skupiny prostředků nebo do stejného předplatného, které obsahuje zásobník nasazení.
• Zásobník v oboru skupiny pro správu může šablonu nasadit do předplatného.

Je důležité si uvědomit, že pokud existuje zásobník nasazení, také je vytvořeno přiřazení zamítnutí s funkcí nastavení zamítnutí. Například vytvořením zásobníku nasazení v oboru předplatného, který nasadí šablonu do oboru skupiny prostředků a s režimem DenyDeleteodepřít nastavení , můžete snadno zřídit spravované prostředky pro zadanou skupinu prostředků a blokovat pokusy o odstranění těchto prostředků. Tento přístup vám pomůže vylepšit zabezpečení zásobníku nasazení tím, že ho rozdělíte na úrovni předplatného místo na úrovni skupiny prostředků. Toto oddělení zajišťuje, že vývojářské týmy, které pracují se zřízenými prostředky, mají k skupinám prostředků jenom přehled a přístup k zápisu. Nasazovací platforma zůstává izolovaná na vyšší úrovni. Tato konfigurace minimalizuje počet uživatelů, kteří mohou upravovat nasazovací zásobník a provádět změny v přiřazení zamítnutí. Další informace najdete v tématu Ochrana spravovaného prostředku před odstraněním.

K aktualizaci zásobníků nasazení můžete použít také příkazy create-stack.

Chcete-li vytvořit implementační zásobník v rámci rozsahu skupiny prostředků:

Azure PowerShell

New-AzResourceGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

Azure CLI

az stack group create \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

Azure Portal

Tato funkce není v tuto chvíli implementována.

Pro vytvoření stacku nasazení v rámci předplatného:

Azure PowerShell

New-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentResourceGroupName "<resource-group-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

Parametr DeploymentResourceGroupName určuje skupinu prostředků použitou k ukládání spravovaných prostředků. Pokud parametr nezadáte, spravované prostředky se uloží do oboru předplatného.

Azure CLI

az stack sub create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-resource-group' <resource-group-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

Parametr deployment-resource-group určuje skupinu prostředků použitou k ukládání spravovaných prostředků. Pokud parametr nezadáte, spravované prostředky se uloží do oboru předplatného.

Azure Portal

Tato funkce není v tuto chvíli implementována.

Chcete-li vytvořit nasazovací stack v rámci skupiny pro správu:

Azure PowerShell

New-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentSubscriptionId "<subscription-id>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

Parametr deploymentSubscriptionId určuje předplatné použité k ukládání spravovaných prostředků. Pokud parametr nezadáte, spravované prostředky se uloží do oboru skupiny pro správu.

Azure CLI

az stack mg create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-subscription '<subscription-id>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

Parametr deployment-subscription určuje předplatné použité k ukládání spravovaných prostředků. Pokud parametr nezadáte, spravované prostředky se uloží do oboru skupiny pro správu.

Portál

Tato funkce není v tuto chvíli implementována.

Seznam nasazovacích sad

Pro seznam prostředků zásobníku nasazení v rámci skupiny prostředků:

Azure PowerShell

Get-AzResourceGroupDeploymentStack `
  -ResourceGroupName "<resource-group-name>"

Azure CLI

az stack group list \
  --resource-group '<resource-group-name>'

Azure Portal

1. Na portálu Azure otevřete skupinu prostředků, která obsahuje zásobníky nasazení.

2. V nabídce vlevo vyberte Deployment stacks pro zobrazení zásobníků nasazení ve skupině prostředků.

   

Zobrazení seznamu prostředků zásobníku nasazení v oboru předplatného:

Azure PowerShell

Get-AzSubscriptionDeploymentStack

Azure CLI

az stack sub list

Azure Portal

1. V Azure portálu otevřete předplatné, které obsahuje nasazovací zásobníky.

2. Z nabídky vlevo vyberte Deployment stacks, abyste zobrazili zásobníky nasazení nasazené do předplatného.

   

Seznam prostředků zásobníku nasazení v oboru skupiny pro správu:

Azure PowerShell

Get-AzManagementGroupDeploymentStack `
  -ManagementGroupId "<management-group-id>"

Azure CLI

az stack mg list \
  --management-group-id '<management-group-id>'

Azure Portal

Tato funkce není v tuto chvíli implementována.

Aktualizace zásobníků nasazení

Pokud chcete aktualizovat zásobník nasazení, může to zahrnovat přidání nebo odstranění spravovaného prostředku, a proto musíte provést změny v podkladových souborech Bicep. Jakmile provedete úpravy, můžete zásobník nasazení aktualizovat spuštěním příkazu update nebo opětovným spuštěním příkazu create.

Vzor návrhu infrastruktury jako kódu poskytuje úplnou kontrolu nad seznamem spravovaných prostředků.

Použití příkazu Set

Aktualizovat zásobník nasazení v rámci skupiny prostředků:

Azure PowerShell

Set-AzResourceGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

Azure CLI

az stack group create \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

Poznámka:

Azure CLI nemá příkaz pro sadu nasazení zásobníků. Místo toho použijte příkaz Nový.

Azure Portal

Tato funkce není v tuto chvíli implementována.

Aktualizovat zásobník nasazení v rámci předplatného:

Azure PowerShell

Set-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentResourceGroupName "<resource-group-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

Parametr DeploymentResourceGroupName určuje, kterou skupinu prostředků se použije k uložení zdrojů zásobníku nasazení. Pokud nezadáte název skupiny prostředků, služba zásobníku nasazení za vás vytvoří novou skupinu prostředků.

Azure CLI

az stack sub create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-resource-group '<resource-group-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

Azure Portal

Tato funkce není v tuto chvíli implementována.

Pro aktualizaci instalačního zásobníku v rámci skupiny pro správu:

Azure PowerShell

Set-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentSubscriptionId "<subscription-id>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

Azure CLI

az stack mg create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-subscription '<subscription-id>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

Azure Portal

Tato funkce není v tuto chvíli implementována.

Použijte příkaz Nový

Zobrazí se upozornění podobné následujícímu:

The deployment stack 'myStack' you're trying to create already exists in the current subscription/management group/resource group. Do you want to overwrite it? Detaching: resources, resourceGroups (Y/N)

Další informace najdete v tématu Vytváření nasazení zásobníků.

Správa odpojení a odstranění

Odpojený prostředek (nebo nespravovaný prostředek) odkazuje na prostředek, který zásobník nasazení nesleduje ani nespravuje, ale stále existuje v rámci Azure.

Pokud chcete Azure instruovat, aby odstranila nespravované prostředky, aktualizujte zásobník příkazem create stack a zahrňte přepínač ActionOnUnmanage . Další informace najdete v tématu Vytvoření zásobníku pro nasazení.

Azure PowerShell

Pomocí přepínače ActionOnUnmanage můžete definovat, co se stane s prostředky, které již nejsou spravovány po aktualizaci nebo odstranění zásobníku. Povolené hodnoty jsou následující:

• deleteAll: Místo odpojení použijte odstranění pro spravované prostředky a skupiny prostředků.
• deleteResources: Používejte smazání místo odpojení pouze pro spravované prostředky.
• detachAll: Odpojte spravované prostředky a skupiny prostředků.

Příklad:

New-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name" `
  -TemplateFile "<bicep-file-name>" `
  -DenySettingsMode "none" `
  -ActionOnUnmanage "deleteAll" 

Azure CLI

Pomocí přepínače action-on-unmanage můžete definovat, co se stane s prostředky, které již nejsou spravovány po aktualizaci nebo odstranění zásobníku. Povolené hodnoty jsou následující:

• deleteAll: Místo odpojení použijte odstranění pro spravované prostředky a skupiny prostředků.
• deleteResources: Používejte smazání místo odpojení pouze pro spravované prostředky.
• detachAll: Odpojte spravované prostředky a skupiny prostředků.

Příklad:

az stack sub create `
  --name '<deployment-stack-name>' `
  --location '<location>' `
  --template-file '<bicep-file-name>' `
  --action-on-unmanage 'deleteAll' `
  --deny-settings-mode 'none' 

Azure Portal

Tato funkce není implementována.

Varování

Při odstraňování skupin prostředků s nastaveným action-on-unmanagedeleteAllpřepínačem odstraníte spravované skupiny prostředků a všechny prostředky, které jsou v nich obsažené.

Zpracování chyby zásobníku mimo synchronizaci

Při aktualizaci nebo odstranění nasazovacího zásobníku se může zobrazit následující chyba "zásobník není synchronizován", která značí, že seznam prostředků zásobníku není správně synchronizovaný.

The deployment stack '{0}' might not have an accurate list of managed resources. To prevent resources from being accidentally deleted, check that the managed resource list doesn't have any additional values. If there is any uncertainty, it's recommended to redeploy the stack with the same template and parameters as the current iteration. To bypass this warning, specify the 'BypassStackOutOfSyncError' flag.

Seznam prostředků můžete získat z webu Azure Portal nebo znovu nasadit aktuálně nasazený soubor Bicep se stejnými parametry. Výstup zobrazuje spravované prostředky.

Azure PowerShell

...
Resources: /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/demoRg/providers/Microsoft.Network/virtualNetworks/vnetthmimleef5fwk
           /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/demoRg/providers/Microsoft.Storage/storageAccounts/storethmimleef5fwk

Azure CLI

"resources": [
  {
    "denyStatus": "none",
    "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/demoRg/providers/Microsoft.Network/virtualNetworks/vnetthmimleef5fwk",
    "resourceGroup": "demoRg",
    "status": "managed"
  },
  {
    "denyStatus": "none",
    "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/demoRg/providers/Microsoft.Storage/storageAccounts/storethmimleef5fwk",
    "resourceGroup": "demoRg",
    "status": "managed"
  }
]

Azure Portal

1. Otevřete Azure Portal.
2. Otevřete skupinu prostředků, která obsahuje zásobník.
3. V nabídce vlevo rozbalte Nastavení a pak vyberte Nasazovací zásobníky.
4. Výběrem názvu zásobníku otevřete zásobník.

Po kontrole a ověření seznamu prostředků v zásobníku spusťte příkaz znovu s přepínačem BypassStackOutOfSyncError v Azure PowerShellu (nebo bypass-stack-out-of-sync-error v Azure CLI). Tento přepínač použijte až po důkladné kontrole seznamu prostředků v zásobníku. Ve výchozím nastavení tento přepínač nepoužívejte.

Odstranit nasazovací zásobníky

Azure PowerShell

Přepínač ActionOnUnmanage definuje akci na prostředky, které už nejsou spravovány. Přepínač má následující hodnoty:

• DeleteAll: Odstraňte prostředky i skupiny zdrojů.
• DeleteResources: Odstraňte pouze prostředky.
• DetachAll: Odpojte zdroje.

Azure CLI

Přepínač action-on-unmanage definuje akci na prostředky, které už nejsou spravovány. Přepínač má následující hodnoty:

• delete-all: Odstraňte prostředky i skupiny zdrojů.
• delete-resources: Odstraňte pouze prostředky.
• detach-all: Odpojte zdroje.

Azure Portal

Při odstranění nasazovacího zásobníku vyberte jeden z odstraňovacích příznaků.

I když zadáte přepínač pro smazání všeho, nespravované prostředky ve skupině prostředků, kde se zásobník nasazení nachází, zabraňují odstranění jak nespravovaných prostředků, tak samotné skupiny prostředků.

Chcete-li odstranit prostředky deployment stack v rámci skupiny prostředků:

Azure PowerShell

Remove-AzResourceGroupDeploymentStack `
  -name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -ActionOnUnmanage "<deleteAll/deleteResources/detachAll>"

Azure CLI

az stack group delete \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --action-on-unmanage '<deleteAll/deleteResources/detachAll>'

Azure Portal

1. Na portálu Azure otevřete skupinu prostředků, která obsahuje zásobníky nasazení.

2. V nabídce vlevo vyberte Deployment stacks, vyberte zásobník nasazení, který chcete odstranit, a pak vyberte Delete stack.

   

3. Vyberte položku Update behaviora pak vyberte Next.

   

Odstranění prostředků zásobníku nasazení v oboru předplatného:

Azure PowerShell

Remove-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ActionOnUnmanage "<deleteAll/deleteResources/detachAll>"

Azure CLI

az stack sub delete \
  --name '<deployment-stack-name>' \
  --action-on-unmanage '<deleteAll/deleteResources/detachAll>'

Azure Portal

1. V Azure portálu otevřete předplatné, které obsahuje nasazovací zásobníky.

2. V nabídce vlevo vyberte Deployment stacks, vyberte zásobník nasazení, který chcete odstranit, a pak vyberte Delete stack.

   

3. Vyberte příznak Update behavior (odstranit) a pak vyberte Next.

   

Chcete-li odstranit prostředky zásobníku nasazení na úrovni skupiny pro správu:

Azure PowerShell

Remove-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ManagementGroupId "<management-group-id>" `
  -ActionOnUnmanage "<deleteAll/deleteResources/detachAll>"

Azure CLI

az stack mg delete \
  --name '<deployment-stack-name>' \
  --management-group-id '<management-group-id>' \
  --action-on-unmanage '<deleteAll/deleteResources/detachAll>'

Azure Portal

Tato funkce není v tuto chvíli implementována.

Prohlédněte si spravované prostředky ve stohu nasazení

Služba pro nasazení stacku zatím nemá grafické uživatelské rozhraní (GUI) v portálu Azure. Pokud chcete zobrazit spravované prostředky v zásobníku nasazení, použijte následující příkazy Azure PowerShellu nebo Azure CLI:

Chcete-li zobrazit spravované prostředky v rámci skupiny prostředků:

Azure PowerShell

(Get-AzResourceGroupDeploymentStack -Name "<deployment-stack-name>" -ResourceGroupName "<resource-group-name>").Resources

Azure CLI

az stack group list \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --output 'json'

Azure Portal

1. Na portálu Azure otevřete skupinu prostředků, která obsahuje zásobníky nasazení.

2. V nabídce vlevo vyberte Deployment stacks.

   

3. Vyberte jeden ze zásobníků nasazení a zobrazte spravované prostředky zásobníku nasazení.

Zobrazení spravovaných prostředků v oboru předplatného:

Azure PowerShell

(Get-AzSubscriptionDeploymentStack -Name "<deployment-stack-name>").Resources

Azure CLI

az stack sub show \
  --name '<deployment-stack-name>' \
  --output 'json'

Azure Portal

1. V Azure portálu otevřete předplatné, které obsahuje nasazovací zásobníky.

2. Z nabídky vlevo vyberte Deployment stacks, abyste zobrazili zásobníky nasazení nasazené do předplatného.

   

3. Výběrem sady nasazení bude zobrazen seznam spravovaných prostředků.

Chcete-li zobrazit spravované prostředky na úrovni skupiny pro správu:

Azure PowerShell

(Get-AzManagementGroupDeploymentStack -Name "<deployment-stack-name>" -ManagementGroupId "<management-group-id>").Resources

Azure CLI

az stack mg show \
  --name '<deployment-stack-name>' \
  --management-group-id '<management-group-id>' \
  --output 'json'

Azure Portal

Tato funkce není v tuto chvíli implementována.

Přidejte prostředky do nasazovacího zásobníku

Pokud chcete přidat spravovaný prostředek, přidejte definici prostředku do podkladových souborů Bicep a pak spusťte příkaz update nebo spusťte příkaz create znovu. Další informace najdete v tématu Aktualizace nasazovacích zásobníků.

Odstranění spravovaných prostředků z nasazovacího zásobníku

Pokud chcete odstranit spravovaný prostředek, odeberte definici prostředku ze základních souborů Bicep a pak spusťte příkaz update nebo spusťte příkaz create znovu. Další informace najdete v tématu Aktualizace nasazovacích zásobníků.

Ochrana spravovaných prostředků

Ke spravovaným prostředkům zásobníku nasazení můžete přiřadit konkrétní oprávnění, aby bylo zabráněno neoprávněným entitám v jejich odstranění nebo aktualizaci. Tato oprávnění se označují jako nastavení zamítnutí. Ukládat zásobníky v nadřazené oblasti. Pokud například chcete chránit prostředky v předplatném, umístěte zásobník do nadřazeného oboru, což je bezprostřední nadřazená skupina pro správu.

Nastavení zamítnutí se vztahuje pouze na operace řídicí roviny , nikoli na operace roviny dat. Například vytvoříte účty úložiště a trezory klíčů prostřednictvím řídicí roviny, což znamená, že je spravuje nasazovací zásobník. Vytvoříte však podřízené prostředky, jako jsou tajné kódy nebo kontejnery objektů blob, prostřednictvím roviny dat, což znamená, že zásobník nasazení je nemůže spravovat.

Nastavení zamítnutí se vztahuje pouze na explicitně vytvořené prostředky, nikoli implicitně vytvořené prostředky. Spravovaný cluster AKS například vytvoří několik dalších služeb, které ho podporují, například virtuální počítač. V tomto případě, protože virtuální počítač není definován v souboru Bicep a je prostředkem vytvořeným implicitně, nepodléhá nastavením odmítnutí pro zásobník nasazení.

Poznámka:

Nejnovější verze vyžaduje konkrétní oprávnění v rozsahu zásobníku pro:

• Vytvořte nebo aktualizujte nasazovací zásobník a nastavte nastavení zamítnutí na jinou hodnotu než None.
• Aktualizujte nebo odstraňte nasazovací zásobník s nastavením zamítnutí, které má jinou hodnotu než None.

Použijte nasazovací stack vestavěné role k udělení oprávnění.

Prostředí PowerShell

Azure PowerShell obsahuje tyto parametry pro přizpůsobení přiřazení odepření:

• DenySettingsMode: Definuje operace, které jsou zakázány na spravovaných prostředcích, aby se ochránily před neoprávněnými bezpečnostními entitami, které se pokoušejí je odstranit nebo aktualizovat. Toto omezení platí pro všechny uživatele, pokud explicitně nezadáte přístup. Mezi hodnoty patří: None, DenyDeletea DenyWriteAndDelete.
• DenySettingsApplyToChildScopes: Pokud je zadáno, nastavení režimu zákazu se také vztahuje na podřízený rozsah spravovaných prostředků. Například soubor Bicep definuje prostředek Microsoft.Sql/servers (nadřazený) a prostředek Microsoft.Sql/servers/databases (podřízený). Pokud vytvoříte sadu nasazení pomocí souboru Bicep s aktivním nastavením DenySettingsApplyToChildScopes a nastavením DenySettingsMode na DenyWriteAndDelete, nemůžete do zdroje Microsoft.Sql/servers nebo zdroje Microsoft.Sql/servers/databases přidat žádné další podřízené zdroje.
• DenySettingsExcludedAction: Seznam operací správy založených na rolích, které jsou vyloučené z nastavení zamítnutí. Je povoleno až 200 akcí.
• DenySettingsExcludedPrincipal: Seznam identifikátorů hlavních objektů Microsoft Entra vyjmutých ze zámku. Je povoleno až pět vedoucích osobností.

CLI

Azure CLI zahrnuje tyto parametry pro přizpůsobení odepření přiřazení:

• deny-settings-mode: Definuje operace, které jsou zakázány na spravovaných prostředcích, aby se ochránily před neoprávněnými bezpečnostními entitami, které se pokoušejí je odstranit nebo aktualizovat. Toto omezení platí pro všechny uživatele, pokud jim výslovně neudělíte přístup. Mezi hodnoty patří: none, denyDeletea denyWriteAndDelete.
• deny-settings-apply-to-child-scopes: Pokud je zadáno, nastavení režimu zákazu se také vztahuje na podřízený rozsah spravovaných prostředků. Například soubor Bicep definuje prostředek Microsoft.Sql/servers (nadřazený) a prostředek Microsoft.Sql/servers/databases (podřízený). Pokud vytvoříte zásobník nasazení pomocí souboru Bicep s povoleným deny-settings-apply-to-child-scopes nastavením a deny-settings-mode nastaveným denyWriteAndDeletenastavením , nemůžete do prostředku Microsoft.Sql/servers nebo prostředku Microsoft.Sql/servers/databases přidat žádné další podřízené prostředky.
• deny-settings-excluded-actions: Seznam operací správy RBAC vyloučených z nastavení zamítnutí Je povoleno až 200 akcí.
• deny-settings-excluded-principals: Seznam identifikátorů hlavních objektů Microsoft Entra vyjmutých ze zámku. Je povoleno maximálně pět ředitelů.

Portál

Tato funkce není v tuto chvíli implementována.

Chcete-li uplatnit nastavení zamítnutí na úrovni skupiny prostředků:

Azure PowerShell

New-AzResourceGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "denyDelete" `
  -DenySettingsExcludedAction "Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete" `
  -DenySettingsExcludedPrincipal "<object-id>,<object-id>"

Azure CLI

az stack group create \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'denyDelete' \
  --deny-settings-excluded-actions 'Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete' \
  --deny-settings-excluded-principals '<object-id> <object-id>'

Azure Portal

Tato funkce není v tuto chvíli implementována.

Chcete-li použít nastavení zamítnutí v oboru předplatného:

Azure PowerShell

New-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "denyDelete" `
  -DenySettingsExcludedAction "Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete" `
  -DenySettingsExcludedPrincipal "<object-id>,<object-id>"

Pomocí parametru DeploymentResourceGroupName zadejte název skupiny prostředků, ve které bude vytvořen nasazovací zásobník. Pokud není specifikován žádný rozsah, používá se rozsah zásobníku nasazení.

Azure CLI

az stack sub create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'denyDelete' \
  --deny-settings-excluded-actions 'Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete' \
  --deny-settings-excluded-principals '<object-id> <object-id>'

Pomocí parametru deployment-resource-group určete skupinu prostředků, ve které se vytvoří zásobník nasazení. Pokud není specifikován žádný rozsah, používá se rozsah zásobníku nasazení.

Azure Portal

Tato funkce není implementována.

Pro aplikaci nastavení zamítnutí na úrovni skupiny pro správu:

Azure PowerShell

New-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "denyDelete" `
  -DenySettingsExcludedActions "Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete" `
  -DenySettingsExcludedPrincipal "<object-id>,<object-id>"

Pomocí parametru DeploymentSubscriptionId zadejte ID předplatného, pro které se vytvoří zásobník nasazení. Pokud není specifikován žádný rozsah, používá se rozsah zásobníku nasazení.

Azure CLI

az stack mg create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'denyDelete' \
  --deny-settings-excluded-actions 'Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete' \
  --deny-settings-excluded-principals '<object-id> <object-id>'

Pomocí parametru deployment-subscription zadejte ID předplatného, pro které se vytvoří zásobník nasazení. Pokud není specifikován žádný rozsah, používá se rozsah zásobníku nasazení.

Azure Portal

Tato funkce není implementována.

Odpojte spravované prostředky z nasazovacího balíku

Ve výchozím nastavení se zásobníky nasazení odpojí a neodstraní nespravované prostředky, jakmile už nejsou zahrnuty v oboru správy zásobníku. Další informace najdete v tématu Aktualizace nasazovacích zásobníků.

Export šablon ze sad nasazení

Prostředky můžete exportovat ze zásobníku nasazení do JSON výstupu. Výstup můžete převést do souboru.

Chcete-li exportovat zásobník nasazení v rámci skupiny prostředků:

Azure PowerShell

Save-AzResourceGroupDeploymentStack `
   -Name "<deployment-stack-name>" `
   -ResourceGroupName "<resource-group-name>" `

Azure CLI

az stack group export \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>'

Portál

Tato funkce není v tuto chvíli implementována.

Pro export nasazení sady na úrovni předplatného:

Azure PowerShell

Save-AzSubscriptionDeploymentStack `
  -name "<deployment-stack-name>"

Azure CLI

az stack sub export \
  --name '<deployment-stack-name>'

Azure Portal

Tato funkce není v tuto chvíli implementována.

Exportujte zásobník nasazení v rozsahu skupiny pro správu:

Azure PowerShell

Save-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ManagementGroupId "<management-group-id>"

Azure CLI

az stack mg export \
  --name '<deployment-stack-name>' \
  --management-group-id '<management-group-id>'

Azure Portal

Tato funkce není v tuto chvíli implementována.

Další kroky

Pro rychlé zahájení nasazení pomocí Bicep viz téma Rychlý start: Vytvoření a nasazení zásobníku nasazení pomocí Bicep.