Nachweisstruktur von Azure Policy

  • Artikel

Nachweise werden von Azure Policy verwendet, um Konformitätszustände von Ressourcen oder Bereichen festzulegen, die von manuellen Richtlinien bestimmt werden. Sie ermöglichen es Benutzern auch, zusätzliche Metadaten oder Links zu Nachweisen bereitzustellen, die den bestätigten Konformitätszustand begleiten.

Hinweis

Nachweise können nur über die Azure Policy-API Azure Resource Manager (ARM), PowerShell oder die Azure CLI erstellt und verwaltet werden.

Bewährte Methoden

Nachweise können verwendet werden, um den Konformitätszustand einer einzelnen Ressource für eine bestimmte manuelle Richtlinie festzulegen. Dies bedeutet, dass jede anwendbare Ressource einen Nachweis pro manueller Richtlinienzuweisung erfordert. Um die Verwaltung zu erleichtern, müssen manuelle Richtlinien so konzipiert sein, dass sie auf den Bereich ausgerichtet sind, der die Grenze der Ressourcen definiert, deren Konformitätszustand bestätigt werden muss.

Angenommen, eine Organisation teilt Teams nach Ressourcengruppe, und jedes Team muss die Entwicklung von Verfahren zur Behandlung von Ressourcen innerhalb dieser Ressourcengruppe nachweisen. In diesem Szenario muss in den Bedingungen der Richtlinienregeln angegeben sein, dass dieser Typ Microsoft.Resources/resourceGroups entspricht. Auf diese Weise ist eine Bescheinigung für die Ressourcengruppe und nicht für jede einzelne Ressource darin erforderlich. Wenn die Organisation Teams nach Abonnements unterteilt, muss die Richtlinienregel auf Microsoft.Resources/subscriptions ausgerichtet sein.

In der Regel entsprechen die bereitgestellten Nachweise den relevanten Bereichen der Organisationsstruktur. Dieses Muster verhindert, dass Beweise über viele Nachweise hinweg dupliziert werden müssen. Durch solche Duplikate wären manuelle Richtlinien schwierig zu verwalten und ein Anzeichen dafür, dass die Richtliniendefinition auf die falschen Ressourcen ausgerichtet ist.

Beispielnachweis

Nachfolgend finden Sie ein Beispiel für das Erstellen einer neuen Nachweisressource, die den Konformitätszustand für eine Ressourcengruppe festlegt, auf die eine manuelle Richtlinienzuweisung ausgerichtet ist:

PUT http://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.PolicyInsights/attestations/{name}?api-version=2019-10-01

Anforderungstext

Nachfolgend finden Sie ein Beispiel eines JSON-Objekts für die Nachweisressource:

"properties": {
    "policyAssignmentId": "/subscriptions/{subscriptionID}/providers/microsoft.authorization/policyassignments/{assignmentID}",
    "policyDefinitionReferenceId": "{definitionReferenceID}",
    "complianceState": "Compliant",
    "expiresOn": "2023-07-14T00:00:00Z",
    "owner": "{AADObjectID}",
    "comments": "This subscription has passed a security audit. See attached details for evidence",
    "evidence": [
        {
          "description": "The results of the security audit.",
          "sourceUri": "https://gist.github.com/contoso/9573e238762c60166c090ae16b814011"
        },
        {
          "description": "Description of the attached evidence document.",
          "sourceUri": "https://storagesamples.blob.core.windows.net/sample-container/contingency_evidence_adendum.docx"
        },
    ],
    "assessmentDate": "2022-11-14T00:00:00Z",
    "metadata": {
         "departmentId": "{departmentID}"
     }
}
Eigenschaft BESCHREIBUNG
policyAssignmentId Erforderliche Zuordnungs-ID, für die der Zustand festgelegt wird.
policyDefinitionReferenceId Optionale Definitionsreferenz-ID, falls innerhalb einer Richtlinieninitiative.
complianceState Gewünschter Status der Ressourcen. Zulässige Werte sind Compliant, NonCompliant und Unknown.
expiresOn Optionales Datum, an dem der Konformitätszustand vom bestätigten Konformitätszustand auf den Standardzustand zurückgesetzt werden soll
owner Optionale Azure AD-Objekt-ID der verantwortlichen Partei.
comments Optionale Beschreibung, warum der Zustand festgelegt wird.
evidence Optionales Array von Links zu Nachweisen und Beweisen.
assessmentDate Datum, an dem die Beweise bewertet wurden.
metadata Optionale zusätzliche Informationen zu den Nachweisen.

Da Nachweise eine separate Ressource von Richtlinienzuweisungen sind, verfügen sie über einen eigenen Lebenszyklus. Mithilfe der ARM-API können Sie PUT-, GET- und DELETE-Befehle für Nachweise ausführen. Nachweise werden entfernt, wenn die zugehörige manuelle Richtlinienzuweisung oder policyDefinitionReferenceId gelöscht wird oder eine Ressource, die für den Nachweis eindeutig ist, gelöscht wird. Weitere Informationen finden Sie in der REST-API-Referenz der Richtlinie.

Nächste Schritte