Estructura de asignaciones de Azure Policy

Artículo
09/05/2024

Las asignaciones de directiva definen los recursos se van a evaluar mediante una definición o una iniciativa de directiva. Además, la asignación de directivas puede determinar los valores de los parámetros de ese grupo de recursos en el momento de la asignación, lo que permite volver a usar las definiciones de directiva que se encargan de las mismas propiedades de recursos con diferentes necesidades de cumplimiento.

Puede usar notación de objetos JavaScript (JSON) para crear una asignación de directiva. La asignación de directivas contiene elementos para:

scope
Identificador y versión de definición de directiva
nombre para mostrar
description
metadata
Selectores de recursos
invalida
modo de cumplimiento
ámbitos excluidos
mensajes de no cumplimiento
parameters
identity

Por ejemplo, el siguiente archivo JSON muestra una asignación de directiva de ejemplo en el modo DoNotEnforce con parámetros:

{
  "properties": {
    "displayName": "Enforce resource naming rules",
    "description": "Force resource names to begin with DeptA and end with -LC",
    "definitionVersion": "1.*.*",
    "metadata": {
      "assignedBy": "Cloud Center of Excellence"
    },
    "enforcementMode": "DoNotEnforce",
    "notScopes": [],
    "policyDefinitionId": "/subscriptions/{mySubscriptionID}/providers/Microsoft.Authorization/policyDefinitions/ResourceNaming",
    "nonComplianceMessages": [
      {
        "message": "Resource names must start with 'DeptA' and end with '-LC'."
      }
    ],
    "parameters": {
      "prefix": {
        "value": "DeptA"
      },
      "suffix": {
        "value": "-LC"
      }
    },
    "identity": {
      "type": "SystemAssigned"
    },
    "resourceSelectors": [],
    "overrides": []
  }
}

Ámbito

El ámbito utilizado para el tiempo de creación de recursos de asignación es el motor principal de aplicabilidad de los recursos. Para más información sobre el ámbito de asignación, consulte Descripción del ámbito en Azure Policy.

Versión e identificador de definición de directiva (versión preliminar)

Este campo debe ser el nombre de la ruta de acceso completa de una definición de directiva o una definición de iniciativa. El policyDefinitionId es una cadena y no una matriz. El contenido más reciente de la definición o iniciativa de directiva asignada se recuperará cada vez que se evalúe la asignación de directiva. Se recomienda que, si a menudo se asignan varias directivas, se use una iniciativa en su lugar.

En el caso de las definiciones e iniciativas integradas, puede usar el elemento definitionVersion específico del que se va a evaluar. De forma predeterminada, la versión se establecerá en la versión principal más reciente y se ingerirán automáticamente los cambios de revisión y menores.

Para ingerir automáticamente los cambios menores de la definición, el número de versión sería #.*.*. El carácter comodín representa la ingesta automática de actualizaciones.
Para realizar el anclado a una ruta de acceso de una versión secundaria, el formato de versión sería #.#.*.
Todos los cambios de revisión deben ingerirse automáticamente con fines de seguridad. Los cambios de revisión se limitan a los cambios de texto y a los escenarios de emergencia.

Nombre para mostrar y descripción

Use displayName y description para identificar la asignación de directiva y proporcionar el contexto para su uso con el conjunto específico de recursos. displayName tiene una longitud máxima de 128 caracteres y description una longitud máxima de 512 caracteres.

Metadatos

La propiedad metadata opcional almacena información sobre la asignación de la directiva. Los clientes pueden definir las propiedades y los valores útiles para su organización en metadata. Aun así, hay algunas propiedades comunes que se usan en Azure Policy. Cada propiedad metadata tiene un límite de 1024 caracteres.

Propiedades de metadatos comunes

assignedBy (cadena): nombre descriptivo de la entidad de seguridad que creó la asignación.
createdBy (cadena): el GUID de la entidad de seguridad que creó la asignación.
createdOn (cadena): el formato de fecha y hora universal ISO 8601 de la hora de creación de la asignación.
updatedBy (cadena): nombre descriptivo de la entidad de seguridad que actualizó la asignación, si la hubiera.
updatedOn (cadena): el formato de fecha y hora universal ISO 8601 de la hora de actualización de la asignación, si lo hubiera.

Propiedades de los metadatos específicos del escenario

parameterScopes(objeto): colección de pares clave-valor donde la clave coincide con un nombre de parámetro configurado strongType y el valor define el ámbito de recurso usado en el portal para proporcionar la lista de recursos disponibles mediante la coincidencia de strongType. El portal establece este valor si el ámbito es diferente del ámbito de asignación. Si se establece, una edición de la asignación de directiva en el portal establece automáticamente el ámbito del parámetro en este valor. Sin embargo, el ámbito no está bloqueado en el valor y se puede cambiar a otro ámbito.

El ejemplo siguiente de parameterScopes es para un parámetro strongType denominado backupPolicyId que establece un ámbito para la selección de recursos cuando la asignación se edita en el portal.
```
"metadata": {
    "parameterScopes": {
      "backupPolicyId": "/subscriptions/{SubscriptionID}/resourcegroups/{ResourceGroupName}"
    }
}
```

evidenceStorages (objeto): la cuenta de almacenamiento predeterminada recomendada que se debe usar para contener evidencias de atestaciones en las asignaciones de directiva con un efecto manual. La propiedad displayName es el nombre de la cuenta de almacenamiento. La propiedad evidenceStorageAccountID es el identificador de recurso de la cuenta de almacenamiento. La propiedad evidenceBlobContainer es el nombre del contenedor de blobs en el que planea almacenar la evidencia.

{
  "properties": {
    "displayName": "A contingency plan should be in place to ensure operational continuity for each Azure subscription.",
    "policyDefinitionId": "/providers/Microsoft.Authorization/policyDefinitions/{definitionId}",
    "metadata": {
      "evidenceStorages": [
        {
          "displayName": "Default evidence storage",
          "evidenceStorageAccountId": "/subscriptions/{subscriptionId}/resourceGroups/{rg-name}/providers/Microsoft.Storage/storageAccounts/{storage-account-name}",
          "evidenceBlobContainer": "evidence-container"
        }
      ]
    }
  }
}

Selectores de recursos

La propiedad opcional resourceSelectors facilita prácticas de implementación seguras (SDP) al permitirle implementar gradualmente asignaciones de directivas en función de factores como la ubicación del recurso, el tipo de recurso o si un recurso tiene una ubicación. Cuando se usan selectores de recursos, Azure Policy solo evaluará los recursos aplicables a las especificaciones realizadas en los selectores de recursos. Los selectores de recursos también se pueden aprovechar para restringir el ámbito de las exenciones de la misma manera.

En el siguiente escenario de ejemplo, la nueva asignación de directiva solo se evaluará si la ubicación del recurso es Este de EE. UU. u Oeste de EE. UU.

{
  "properties": {
    "policyDefinitionId": "/subscriptions/{subId}/providers/Microsoft.Authorization/policyDefinitions/ResourceLimit",
    "definitionVersion": "1.1.*",
    "resourceSelectors": [
      {
        "name": "SDPRegions",
        "selectors": [
          {
            "kind": "resourceLocation",
            "in": [
              "eastus",
              "westus"
            ]
          }
        ]
      }
    ]
  },
  "systemData": { ...
  },
  "id": "/subscriptions/{subId}/providers/Microsoft.Authorization/policyAssignments/ResourceLimit",
  "type": "Microsoft.Authorization/policyAssignments",
  "name": "ResourceLimit"
}

Cuando esté listo para expandir el ámbito de evaluación de la directiva, solo tiene que actualizar la asignación. En el ejemplo siguiente se muestra la asignación de directivas con dos regiones de Azure adicionales agregadas al selector SDPRegions. Tenga en cuenta que, en este ejemplo, SDP significa práctica de implementación segura:

{
  "properties": {
    "policyDefinitionId": "/subscriptions/{subId}/providers/Microsoft.Authorization/policyDefinitions/ResourceLimit",
    "definitionVersion": "1.1.*",
    "resourceSelectors": [
      {
        "name": "SDPRegions",
        "selectors": [
          {
            "kind": "resourceLocation",
            "in": [
              "eastus",
              "westus",
              "centralus",
              "southcentralus"
            ]
          }
        ]
      }
    ]
  },
  "systemData": { ...
  },
  "id": "/subscriptions/{subId}/providers/Microsoft.Authorization/policyAssignments/ResourceLimit",
  "type": "Microsoft.Authorization/policyAssignments",
  "name": "ResourceLimit"
}

Los selectores de recursos tienen las siguientes propiedades:

name: nombre del selector de recursos.
selectors: (opcional) se debe evaluar el cumplimiento de la propiedad utilizada para determinar qué subconjunto de recursos es aplicable a la asignación de directiva.
- kind: la propiedad de un selector que describe qué característica restringirá el conjunto de recursos evaluados. Cada kind solo se puede usar una vez en un único selector de recursos. Los valores permitidos son:
  - resourceLocation: esta propiedad se usa para seleccionar recursos en función de su tipo. No se puede usar en el mismo selector de recursos que resourceWithoutLocation.
  - resourceType: esta propiedad se usa para seleccionar recursos en función de su tipo.
  - resourceWithoutLocation: esta propiedad se usa para seleccionar recursos en el nivel de suscripción que no tienen una ubicación. Actualmente sólo admite subscriptionLevelResources. No se puede usar en el mismo selector de recursos que resourceLocation.
- in: lista de valores permitidos para el objeto kind especificado. No se puede usar con notIn. Puede contener hasta 50 valores.
- notIn: lista de valores no permitidos para el objeto kind especificado. No se puede usar con in. Puede contener hasta 50 valores.

Un selector de recursos puede contener varios selectors. Para que sea aplicable a un selector de recursos, un recurso debe cumplir los requisitos especificados por todos sus selectores. Además, se pueden especificar hasta 10 resourceSelectors en una sola asignación. Los recursos dentro del ámbito se evalúan cuando satisfacen cualquiera de estos selectores de recursos.

Anulaciones

La propiedad opcional overrides permite cambiar el efecto de una definición de directiva sin modificar la definición de la directiva subyacente ni usar ningún efecto parametrizado en la definición de la directiva.

Un caso de uso habitual para las invalidaciones son las iniciativas de directiva con un gran número de definiciones de directiva asociadas. En esta situación, la administración de varios efectos de directiva puede consumir un esfuerzo administrativo significativo, especialmente cuando el efecto debe actualizarse de vez en cuando. Las invalidaciones se pueden usar para actualizar simultáneamente los efectos de varias definiciones de directiva dentro de una iniciativa.

Ahora se verá un ejemplo. Imagine que tiene una iniciativa de directiva denominada CostManagement que incluye una definición de directiva personalizada con policyDefinitionReferenceIdcorpVMSizePolicy y un único efecto de audit. Supongamos que desea asignar la iniciativa CostManagement, pero aún no quiere ver el cumplimiento notificado para esta directiva. El efecto audit de esta directiva se puede reemplazar por disabled mediante una invalidación en la asignación de iniciativa, como se muestra a continuación:

{
  "properties": {
    "policyDefinitionId": "/subscriptions/{subId}/providers/Microsoft.Authorization/policySetDefinitions/CostManagement",
    "overrides": [
      {
        "kind": "policyEffect",
        "value": "disabled",
        "selectors": [
          {
            "kind": "policyDefinitionReferenceId",
            "in": [
              "corpVMSizePolicy"
            ]
          }
        ]
      }
    ]
  },
  "systemData": { ...
  },
  "id": "/subscriptions/{subId}/providers/Microsoft.Authorization/policyAssignments/CostManagement",
  "type": "Microsoft.Authorization/policyAssignments",
  "name": "CostManagement"
}

Otro caso de uso común para las invalidaciones consiste en implementar una nueva versión de una definición. Para conocer los pasos recomendados para actualizar de forma segura una versión de asignación, consulte Implementación segura de directivas.

Las invalidaciones tienen las siguientes propiedades:

kind: la propiedad que invalidará la asignación. Los tipos admitidos son policyEffect y policyVersion.
value: el nuevo valor que invalida el valor existente. En el caso de kind: policyEffect, los valores admitidos son efectos. En el caso de kind: policyVersion, el número de versión admitido debe ser mayor o igual que el definitionVersion especificado en la asignación.
selectors: (opcional) propiedad que se usa para determinar qué ámbito de la asignación de directiva debe asumir la invalidación.
- kind: la propiedad de un selector que describe qué característica restringirá el ámbito de la invalidación. Valores permitidos de kind: policyEffect:
  - policyDefinitionReferenceId: esta propiedad especifica qué definiciones de directiva dentro de una asignación de iniciativa deben asumir la invalidación del efecto.
  - resourceLocation: esta propiedad se usa para seleccionar recursos en función de su tipo. No se puede usar en el mismo selector de recursos que resourceWithoutLocation.
  Valor permitido de kind: policyVersion:
  - resourceLocation: esta propiedad se usa para seleccionar recursos en función de su tipo. No se puede usar en el mismo selector de recursos que resourceWithoutLocation.
- in: lista de valores permitidos para el objeto kind especificado. No se puede usar con notIn. Puede contener hasta 50 valores.
- notIn: lista de valores no permitidos para el objeto kind especificado. No se puede usar con in. Puede contener hasta 50 valores.

Se puede usar una invalidación para reemplazar el efecto de muchas directivas especificando varios valores en la matriz policyDefinitionReferenceId. Se puede usar una sola invalidación para hasta 50 instancias de policyDefinitionReferenceId y una única asignación de directiva puede contener hasta 10 invalidaciones, evaluadas en el orden en que se especifican. Antes de crear la asignación, el efecto elegido en la invalidación se valida con la regla de directiva y la lista de valores permitidos de parámetros, en los casos en los que se parametriza el efecto.

Modo de cumplimiento

La propiedad enforcementMode proporciona a los clientes la capacidad de probar el resultado de una directiva en los recursos existentes sin necesidad de iniciar el efecto de la directiva ni de desencadenar entradas en el registro de actividad de Azure.

Este escenario se conoce comúnmente como What If y se alinea con las prácticas de implementación segura. enforcementMode es diferente del efecto Deshabilitado, ya que ese efecto evita que se produzca la evaluación de recursos.

Esta propiedad tiene los siguientes valores:

Mode	Valor JSON	Tipo	Corregir manualmente	Entrada de registro de actividad	Descripción
habilitado	Valor predeterminado	string	Sí	Sí	El efecto de la directiva se aplica durante la creación o actualización de recursos.
Disabled	DoNotEnforce	string	Sí	No	El efecto de la directiva no se aplica durante la creación o actualización de recursos.

Si enforcementMode no se especifica en una definición de directiva o iniciativa, se usa el valor Default. Las tareas de corrección se pueden iniciar para las directivas deployIfNotExists, incluso cuando enforcementMode está establecido en DoNotEnforce.

Ámbitos excluidos

El ámbito de la asignación incluye todos los contenedores de recursos secundarios y los recursos secundarios. Si la definición no debe aplicarse a un contenedor de recursos secundario o a un recurso secundario, se puede excluir cada uno de ellos de la evaluación estableciendo notScopes. Esta propiedad es una matriz que permite excluir de la evaluación a uno o varios contenedores de recursos o recursos. notScopes se puede agregar o actualizar después de la creación de la asignación inicial.

Nota:

Un recurso excluido no es lo mismo que un recurso exento. Para más información, consulte Descripción del ámbito en Azure Policy.

Mensajes de no cumplimiento

Para establecer un mensaje personalizado que describa por qué un recurso no es compatible con la definición de la directiva o de la iniciativa, establezca nonComplianceMessages en la definición de la asignación. Este nodo es una matriz de message entradas. Este mensaje personalizado es adicional al mensaje de error predeterminado para el no cumplimiento y es opcional.

Importante

Los mensajes personalizados de no cumplimiento solo se admiten en definiciones o iniciativas con definiciones de modos de Resource Manager.

"nonComplianceMessages": [
  {
    "message": "Default message"
  }
]

Si la asignación es para una iniciativa, se pueden configurar diferentes mensajes para cada definición de directiva en la iniciativa. Los mensajes utilizan el valor policyDefinitionReferenceId configurado en la definición de la iniciativa. Para más información, consulte propiedades de definiciones de directiva.

"nonComplianceMessages": [
  {
    "message": "Default message"
  },
  {
    "message": "Message for just this policy definition by reference ID",
    "policyDefinitionReferenceId": "10420126870854049575"
  }
]

Parámetros

Este segmento de la asignación de directiva proporciona los valores para los parámetros definidos en la definición de directiva o en la definición de iniciativa. Este diseño permite reutilizar una definición de directiva o iniciativa con distintos recursos, así como comprobar si hay valores o resultados empresariales diferentes.

"parameters": {
  "prefix": {
    "value": "DeptA"
  },
  "suffix": {
    "value": "-LC"
  }
}

En este ejemplo, los parámetros definidos anteriormente en la definición de directiva son prefix y suffix. Esta asignación de directiva determinada establece prefix en DeptA y suffix en -LC. La misma definición de directiva se puede volver a usar con un conjunto diferente de parámetros para otro departamento, lo que reduce la duplicación y la complejidad de las definiciones de directiva, a la vez que proporciona flexibilidad.

Identidad

Para las asignaciones de directivas con efecto establecido en deployIfNotExists o modify, el requisito es tener una propiedad de identidad para hacer la corrección en los recursos no compatibles. Cuando una asignación usa una identidad, el usuario también debe especificar una ubicación para la asignación.