Planifier les modifications apportées à l’infrastructure cloud avec Copilot

  • 8 minutes

Tip

Pour plus d’informations, consultez l’onglet Texte et images !

Supposons qu’une équipe reçoit une demande de déploiement d’un nouveau réseau virtuel Azure avec des exigences de sécurité spécifiques. Le réseau virtuel a besoin de trois sous-réseaux pour les niveaux web, application et données, chacun avec son propre groupe de sécurité réseau (NSG). Avant d’écrire du code d’infrastructure, l’ingénieur souhaite un plan clair qui couvre tous les composants et leurs relations.

Note

Les invites présentées dans cette unité illustrent comment un ingénieur des opérations peut interagir avec l’agent Plan pour chaque scénario. Il s’agit d’exemples de modèles d’invite efficaces qui illustrent le type de contexte dont l’agent a besoin. Il ne s’agit pas d’instructions pas à pas à suivre.

Pour commencer, l’ingénieur sélectionne Planifier dans la liste déroulante des agents dans la vue Conversation et décrit l’objectif. Exemple de structure de cette invite :

/plan Create Bicep templates to deploy an Azure virtual network named vnet-prod-001 in the eastus region with three subnets (web, app, data), each with a dedicated network security group. The web subnet should allow inbound HTTP/HTTPS traffic, the app subnet should only accept traffic from the web subnet, and the data subnet should only accept traffic from the app subnet.

L'agent de plan examine votre espace de travail pour les fichiers Bicep, modules ou fichiers de paramètres existants. Il génère ensuite un plan qui peut inclure :

  • Créez un main.bicep fichier avec la ressource de réseau virtuel et trois définitions de sous-réseau.
  • Créez un nsg-web.bicep module avec des règles autorisant les ports entrants 80 et 443 à partir d’Internet.
  • Créez un nsg-app.bicep module avec des règles autorisant le trafic entrant uniquement à partir de la plage d’adresses du sous-réseau web.
  • Créez un nsg-data.bicep module avec des règles autorisant le trafic entrant uniquement à partir de la plage d’adresses du sous-réseau de l’application.
  • Créez un fichier avec des valeurs spécifiques à l’environnement parameters.prod.json .
  • Ajoutez des étapes de vérification pour valider les modèles Bicep avec az bicep build et exécutez un déploiement en mode simulation.

Répéter le plan

Après avoir examiné le plan initial, l’ingénieur remarque qu’il ne tient pas compte de la journalisation des diagnostics. Une invite de suivi pour résoudre cet élément manqué peut ressembler à ceci :

Add NSG flow logs for each network security group, storing them in an existing storage account. Also include a Log Analytics workspace for traffic analytics.

L'agent de plan met à jour le plan pour inclure davantage d'étapes d'implémentation des journaux de flux NSG et de la configuration de l'analyse du trafic.

Scénario : Automatiser la conformité du balisage des groupes de ressources

Une organisation exige que tous les groupes de ressources contiennent des balises spécifiques pour l’allocation et la propriété des coûts. L’équipe a besoin d’un Azure Policy qui applique l’étiquetage et un script de correction pour les ressources non conformes existantes. Voici un exemple de demande pour ce scénario :

/plan Create an Azure Policy definition that requires 'CostCenter', 'Environment', and 'Owner' tags on all resource groups. Include a PowerShell remediation script that scans existing resource groups and applies default tags where they're missing.

L’agent de plan génère un plan couvrant les points suivants :

  1. Créez un fichier JSON de définition de stratégie avec l’effet deny pour les balises manquantes.
  2. Créez une attribution de stratégie ciblant l’étendue de l’abonnement.
  3. Créez un script PowerShell qui utilise Get-AzResourceGroup pour rechercher des groupes de ressources non conformes et Set-AzResourceGroup appliquer des balises par défaut.
  4. Ajoutez des étapes de vérification pour tester la stratégie avec une tentative de création de groupe de ressources non conforme.

Scénario : Planifier une révision de contrôle d’accès en fonction du rôle

Lorsqu’une équipe doit auditer et mettre à jour des attributions de rôles Role-Based Access Control (RBAC) sur plusieurs abonnements, l’étendue des modifications peut être importante. L’utilisation du mode Plan permet de mapper l’approche complète avant d’apporter des modifications. Exemple de la façon dont un ingénieur peut décrire cet objectif à l’agent de plan :

/plan Create a PowerShell script that audits RBAC role assignments across all subscriptions in our tenant. The script should export a CSV report of all users with Owner or Contributor roles, flag any assignments to individual user accounts (versus groups), and identify role assignments that haven't been used in the last 90 days using Azure AD sign-in logs.

Le plan peut inclure des étapes pour :

  • Créez un script qui itère à travers des abonnements en utilisant Get-AzSubscription.
  • Récupérez les attributions de rôles avec Get-AzRoleAssignment et filtrez les rôles Propriétaire et Contributeur.
  • Recoupez les attributions avec les journaux de connexion de Microsoft Entra ID afin d’identifier les attributions inactives.
  • Exportez les résultats vers un fichier CSV avec des colonnes pour l’abonnement, le nom principal, le rôle, le type d’affectation (utilisateur ou groupe) et la date de dernière connexion.
  • Ajoutez la gestion des erreurs pour les abonnements où l’identité actuelle ne dispose pas d’un accès en lecture.

Conseils pour écrire des commandes d’infrastructure efficaces

Lorsque vous utilisez l’agent de plan pour les tâches d’infrastructure cloud, incluez ces détails dans vos invites :

  • environnement Target : spécifiez la région Azure, le contexte d’abonnement ou le groupe de ressources.
  • Conventions d’affectation de noms : incluez les normes d’affectation de noms de votre organisation (par exemple). vnet-prod-001
  • Dépendances : mentionnez les ressources existantes dont la nouvelle infrastructure doit faire référence.
  • Exigences de sécurité : indiquez les normes de conformité ou les règles de sécurité qui s’appliquent.
  • préférences Tooling : spécifiez si vous préférez Bicep, les modèles ARM, Terraform ou les scripts Azure CLI.

Tip

Si votre référentiel inclut un .github/copilot-instructions.md fichier avec les normes d’infrastructure de votre organisation, l’agent de plan incorpore automatiquement ces instructions lors de la génération de plans. Cela permet de s’assurer que les plans générés suivent les conventions de votre équipe pour les modèles d’affectation de noms, d’étiquetage et d’architecture.