Tumpukan penyebaran

Tumpukan penyebaran Azure adalah sumber daya yang memungkinkan Anda mengelola sekelompok sumber daya Azure sebagai satu unit kohesif. Saat Anda mengirimkan file Bicep atau templat ARM JSON ke tumpukan penyebaran, file tersebut menentukan sumber daya yang dikelola tumpukan. Jika sumber daya yang sebelumnya disertakan dalam templat dihapus, sumber daya akan dihapus atau dihapus berdasarkan perilaku actionOnUnmanage yang ditentukan dari tumpukan penyebaran. Akses ke tumpukan penyebaran dapat dibatasi menggunakan kontrol akses berbasis peran Azure (Azure RBAC), mirip dengan sumber daya Azure lainnya.

Untuk membuat dan memperbarui tumpukan penyebaran, Anda dapat menggunakan Azure CLI, Azure PowerShell, atau portal Azure bersama dengan file Bicep. File Bicep ini ditranspilasi ke dalam templat ARM JSON, yang kemudian disebarkan sebagai objek penyebaran oleh tumpukan. Tumpukan penyebaran menawarkan kemampuan tambahan di luar sumber daya penyebaran yang familier, berfungsi sebagai superset dari kemampuan tersebut.

Microsoft.Resources/deploymentStacks adalah jenis sumber daya untuk tumpukan penyebaran. Ini terdiri dari templat utama yang dapat melakukan pembaruan 1-ke-banyak di seluruh cakupan untuk sumber daya yang dijelaskannya, dan memblokir perubahan yang tidak diinginkan pada sumber daya tersebut.

Saat merencanakan penyebaran Anda dan menentukan grup sumber daya mana yang harus menjadi bagian dari tumpukan yang sama, penting untuk mempertimbangkan siklus hidup manajemen sumber daya tersebut, yang mencakup pembuatan, pembaruan, dan penghapusan. Misalnya, Anda perlu memprovisikan beberapa mesin virtual pengujian (VM) untuk berbagai tim aplikasi di berbagai cakupan grup sumber daya. Dalam hal ini, tumpukan penyebaran dapat digunakan untuk membuat lingkungan pengujian ini dan memperbarui konfigurasi VM pengujian melalui pembaruan berikutnya ke tumpukan penyebaran. Setelah menyelesaikan proyek, mungkin perlu untuk menghapus atau menghapus sumber daya apa pun yang dibuat, seperti VM pengujian. Dengan menggunakan tumpukan penyebaran, sumber daya terkelola dapat dengan mudah dihapus dengan menentukan bendera penghapusan yang sesuai. Pendekatan yang disederhanakan ini menghemat waktu selama pembersihan lingkungan, karena melibatkan satu pembaruan ke sumber daya tumpukan daripada memodifikasi atau menghapus setiap VM pengujian secara individual di berbagai cakupan grup sumber daya.

Tumpukan penyebaran memerlukan Azure PowerShell versi 12.0.0 atau yang lebih baru atau Azure CLI versi 2.61.0 atau yang lebih baru.

Untuk membuat tumpukan penyebaran pertama Anda, bekerja melalui Mulai Cepat: membuat tumpukan penyebaran.

Mengapa menggunakan tumpukan penyebaran?

Tumpukan penyebaran memberikan manfaat berikut:

• Penyediaan dan pengelolaan sumber daya yang disederhanakan di berbagai cakupan sebagai entitas terpadu.
• Pencegahan modifikasi yang tidak diinginkan pada sumber daya terkelola melalui pengaturan tolak.
• Pembersihan lingkungan yang efisien menggunakan bendera penghapusan selama pembaruan tumpukan penyebaran.
• Penggunaan templat standar seperti Bicep, templat ARM, atau Spesifikasi templat untuk tumpukan penyebaran Anda.

Pembatasan yang diketahui

• Sumber daya yang dibuat secara implisit tidak dikelola oleh tumpukan penyebaran. Oleh karena itu, tidak ada penugasan penolakan atau pembersihan yang dimungkinkan.
• Penugasan penolakan tidak mendukung tag.
• Penugasan penolakan tidak didukung di cakupan grup manajemen. Namun, mereka didukung dalam tumpukan grup manajemen jika penyebaran diarahkan ke cakupan langganan.
• Tumpukan penyebaran tidak dapat menghapus rahasia Brankas kunci. Jika Anda menghapus rahasia brankas kunci dari templat, pastikan untuk juga menjalankan perintah pembaruan/penghapusan tumpukan penyebaran dengan mode lepaskan.

Masalah umum

• Menghapus grup sumber daya saat ini melewati penugasan penolakan. Saat membuat tumpukan penyebaran dalam cakupan grup sumber daya, file Bicep tidak berisi definisi untuk grup sumber daya. Meskipun pengaturan penugasan penolakan, dimungkinkan untuk menghapus grup sumber daya dan tumpukan yang terkandung. Namun, jika kunci aktif pada sumber daya apa pun dalam grup, operasi penghapusan gagal.
• Dukungan Bagaimana-jika belum tersedia.
• Tumpukan cakupan grup manajemen dibatasi untuk disebarkan ke grup manajemen lain. Ini hanya dapat disebarkan ke grup manajemen tumpukan itu sendiri atau ke langganan anak.
• Perintah PowerShell membantu mencantumkan DeleteResourcesAndResourcesGroups nilai untuk sakelar ActionOnUnmanage . Saat nilai ini digunakan, perintah mencopot sumber daya terkelola dan grup sumber daya. Nilai ini akan dihapus di pembaruan berikutnya. Jangan gunakan nilai ini.
• Dalam beberapa kasus, cmdlet Baru dan Atur Azure PowerShell dapat mengembalikan kesalahan validasi templat generik yang tidak dapat ditindaklanjuti dengan jelas. Bug ini akan diperbaiki dalam rilis berikutnya, tetapi untuk saat ini, jika kesalahan tidak jelas, Anda dapat menjalankan cmdlet dalam mode debug untuk melihat kesalahan yang lebih rinci dalam respons mentah.
• Tumpukan penyebaran tidak didukung oleh penyedia Microsoft Graph.

Peran bawaan

Peringatan

Penerapan izin RBAC Microsoft.Resources/deploymentStacks/manageDenySetting/action diluncurkan di seluruh wilayah, termasuk Government Clouds.

Ada dua peran bawaan untuk tumpukan penyebaran:

• Kontributor Tumpukan Penyebaran Azure: Memungkinkan pengguna mengelola tumpukan penyebaran, tetapi tidak dapat membuat atau menghapus penugasan penolakan dalam tumpukan penyebaran.
• Pemilik Tumpukan Penyebaran Azure: Memungkinkan pengguna mengelola tumpukan penyebaran, termasuk yang memiliki penugasan penolakan.

Membuat tumpukan penyebaran

Sumber daya tumpukan penyebaran dapat dibuat di grup sumber daya, langganan, atau cakupan grup manajemen. Templat yang diteruskan ke tumpukan penyebaran menentukan sumber daya yang akan dibuat atau diperbarui pada cakupan target yang ditentukan untuk penyebaran templat.

• Tumpukan pada cakupan grup sumber daya dapat menyebarkan templat yang diteruskan ke cakupan grup sumber daya yang sama di mana tumpukan penyebaran ada.
• Tumpukan pada cakupan langganan dapat menyebarkan templat yang diteruskan ke cakupan grup sumber daya (jika ditentukan) atau cakupan langganan yang sama di mana tumpukan penyebaran ada.
• Tumpukan pada cakupan grup manajemen dapat menyebarkan templat yang diteruskan ke cakupan langganan yang ditentukan.

Penting untuk dicatat bahwa di mana tumpukan penyebaran ada, begitu juga penetapan penolakan yang dibuat dengan kemampuan pengaturan tolak. Misalnya, dengan membuat tumpukan penyebaran pada cakupan langganan yang menyebarkan templat ke cakupan grup sumber daya dan dengan mode DenyDeletepengaturan tolak , Anda dapat dengan mudah menyediakan sumber daya terkelola ke grup sumber daya yang ditentukan dan memblokir upaya penghapusan ke sumber daya tersebut. Dengan menggunakan pendekatan ini, Anda juga meningkatkan keamanan tumpukan penyebaran dengan memisahkannya di tingkat langganan, dibandingkan dengan tingkat grup sumber daya. Pemisahan ini memastikan bahwa tim pengembang yang bekerja dengan sumber daya yang disediakan hanya memiliki visibilitas dan menulis akses ke grup sumber daya, sementara tumpukan penyebaran tetap terisolasi pada tingkat yang lebih tinggi. Ini meminimalkan jumlah pengguna yang dapat mengedit tumpukan penyebaran dan membuat perubahan pada penugasan penolakannya. Untuk informasi selengkapnya, lihat Melindungi sumber daya terkelola terhadap penghapusan.

Perintah create-stack juga dapat digunakan untuk memperbarui tumpukan penyebaran.

Untuk membuat tumpukan penyebaran di cakupan grup sumber daya:

PowerShell

New-AzResourceGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

CLI

az stack group create \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll'
  --deny-settings-mode 'none'

Portal

Saat ini tidak diimplementasikan.

Untuk membuat tumpukan penyebaran pada cakupan langganan:

PowerShell

New-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentResourceGroupName "<resource-group-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

Parameter DeploymentResourceGroupName menentukan grup sumber daya yang digunakan untuk menyimpan sumber daya terkelola. Jika parameter tidak ditentukan, sumber daya terkelola disimpan dalam cakupan langganan.

CLI

az stack sub create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-resource-group' <resource-group-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

Parameter deployment-resource-group menentukan grup sumber daya yang digunakan untuk menyimpan sumber daya terkelola. Jika parameter tidak ditentukan, sumber daya terkelola disimpan dalam cakupan langganan.

Portal

Saat ini tidak diimplementasikan.

Untuk membuat tumpukan penyebaran di cakupan grup manajemen:

PowerShell

New-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentSubscriptionId "<subscription-id>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

Parameter deploymentSubscriptionId menentukan langganan yang digunakan untuk menyimpan sumber daya terkelola. Jika parameter tidak ditentukan, sumber daya terkelola disimpan dalam cakupan grup manajemen.

CLI

az stack mg create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-subscription '<subscription-id>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

Parameter deployment-subscription menentukan langganan yang digunakan untuk menyimpan sumber daya terkelola. Jika parameter tidak ditentukan, sumber daya terkelola disimpan dalam cakupan grup manajemen.

Portal

Saat ini tidak diimplementasikan.

Mencantumkan tumpukan penyebaran

Untuk mencantumkan sumber daya tumpukan penyebaran di cakupan grup sumber daya:

PowerShell

Get-AzResourceGroupDeploymentStack `
  -ResourceGroupName "<resource-group-name>"

CLI

az stack group list \
  --resource-group '<resource-group-name>'

Portal

1. Dari portal Azure, buka grup sumber daya yang berisi tumpukan penyebaran.

2. Dari menu sebelah kiri, pilih Deployment stacks untuk mencantumkan tumpukan penyebaran yang disebarkan ke grup sumber daya.

   

Untuk mencantumkan sumber daya tumpukan penyebaran di cakupan langganan:

PowerShell

Get-AzSubscriptionDeploymentStack

CLI

az stack sub list

Portal

1. Dari portal Azure, buka langganan yang berisi tumpukan penyebaran.

2. Dari menu sebelah kiri, pilih Deployment stacks untuk mencantumkan tumpukan penyebaran yang disebarkan ke langganan.

   

Untuk mencantumkan sumber daya tumpukan penyebaran di cakupan grup manajemen:

PowerShell

Get-AzManagementGroupDeploymentStack `
  -ManagementGroupId "<management-group-id>"

CLI

az stack mg list \
  --management-group-id '<management-group-id>'

Portal

Saat ini tidak diimplementasikan.

Memperbarui tumpukan penyebaran

Untuk memperbarui tumpukan penyebaran, yang mungkin melibatkan penambahan atau penghapusan sumber daya terkelola, Anda perlu membuat perubahan pada file Bicep yang mendasar. Setelah modifikasi dilakukan, Anda memiliki dua opsi untuk memperbarui tumpukan penyebaran: jalankan perintah pembaruan atau jalankan ulang perintah buat.

Daftar sumber daya terkelola dapat sepenuhnya dikontrol melalui pola desain infrastruktur sebagai kode (IaC).

Gunakan perintah Set

Untuk memperbarui tumpukan penyebaran di cakupan grup sumber daya:

PowerShell

Set-AzResourceGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

CLI

az stack group create \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

Catatan

Azure CLI tidak memiliki perintah set tumpukan penyebaran. Gunakan perintah Baru sebagai gantinya.

Portal

Saat ini tidak diimplementasikan.

Untuk memperbarui tumpukan penyebaran pada cakupan langganan:

PowerShell

Set-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentResourceGroupName "<resource-group-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

Parameter DeploymentResourceGroupName menentukan grup sumber daya yang digunakan untuk menyimpan sumber daya tumpukan penyebaran. Jika Anda tidak menentukan nama grup sumber daya, layanan tumpukan penyebaran akan membuat grup sumber daya baru untuk Anda.

CLI

az stack sub create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-resource-group '<resource-group-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

Portal

Saat ini tidak diimplementasikan.

Untuk memperbarui tumpukan penyebaran di cakupan grup manajemen:

PowerShell

Set-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentSubscriptionId "<subscription-id>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

CLI

az stack mg create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-subscription '<subscription-id>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

Portal

Saat ini tidak diimplementasikan.

Gunakan perintah Baru

Anda mendapatkan peringatan yang mirip dengan yang berikut ini:

The deployment stack 'myStack' you're trying to create already exists in the current subscription/management group/resource group. Do you want to overwrite it? Detaching: resources, resourceGroups (Y/N)

Untuk informasi selengkapnya, lihat Membuat tumpukan penyebaran.

Mengontrol detasemen dan penghapusan

Sumber daya yang dilepas (atau sumber daya yang tidak dikelola) mengacu pada sumber daya yang tidak dilacak atau dikelola oleh tumpukan penyebaran tetapi masih ada dalam Azure.

Untuk menginstruksikan Azure untuk menghapus sumber daya yang tidak dikelola, perbarui tumpukan dengan perintah buat tumpukan dengan sakelar berikut. Untuk informasi selengkapnya, lihat Membuat tumpukan penyebaran.

PowerShell

Gunakan sakelar ActionOnUnmanage untuk menentukan apa yang terjadi pada sumber daya yang tidak lagi dikelola setelah tumpukan diperbarui atau dihapus. Nilai yang diperbolehkan adalah:

• deleteAll: gunakan hapus daripada melepaskan untuk sumber daya terkelola dan grup sumber daya.
• deleteResources: gunakan hapus daripada melepaskan untuk sumber daya terkelola saja.
• detachAll: lepaskan sumber daya terkelola dan grup sumber daya.

Contohnya:

New-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name" `
  -TemplateFile "<bicep-file-name>" `
  -DenySettingsMode "none" `
  -ActionOnUnmanage "deleteAll" 

CLI

Gunakan sakelar action-on-unmanage untuk menentukan apa yang terjadi pada sumber daya yang tidak lagi dikelola setelah tumpukan diperbarui atau dihapus. Nilai yang diperbolehkan adalah:

• deleteAll: gunakan hapus daripada melepaskan untuk sumber daya terkelola dan grup sumber daya.
• deleteResources: gunakan hapus daripada melepaskan untuk sumber daya terkelola saja.
• detachAll: lepaskan sumber daya terkelola dan grup sumber daya.

Contohnya:

az stack sub create `
  --name '<deployment-stack-name>' `
  --location '<location>' `
  --template-file '<bicep-file-name>' `
  --action-on-unmanage 'deleteAll' `
  --deny-settings-mode 'none' 

Portal

Saat ini tidak diimplementasikan.

Peringatan

Saat menghapus grup sumber daya dengan sakelar action-on-unmanage diatur ke DeleteAll, grup sumber daya terkelola dan semua sumber daya yang terkandung di dalamnya juga akan dihapus.

Menangani kesalahan stack-out-of-sync

Saat memperbarui atau menghapus tumpukan penyebaran, Anda mungkin mengalami kesalahan stack-out-of-sync berikut, yang menunjukkan daftar sumber daya tumpukan tidak disinkronkan dengan benar.

The deployment stack '{0}' may not have an accurate list of managed resources. To ensure no resources are accidentally deleted, please check that the managed resource list does not have any additional values. If there is any uncertainty, we recommend redeploying the stack with the same template and parameters as the current iteration. To bypass this warning, please specify the 'BypassStackOutOfSyncError' flag.

Anda dapat memperoleh daftar sumber daya dari portal Azure atau menyebarkan ulang file Bicep yang saat ini disebarkan dengan parameter yang sama. Output menunjukkan sumber daya terkelola

PowerShell

...
Resources: /subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Network/virtualNetworks/vnetthmimleef5fwk
           /subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Storage/storageAccounts/storethmimleef5fwk

CLI

"resources": [
  {
    "denyStatus": "none",
    "id": "/subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Network/virtualNetworks/vnetthmimleef5fwk",
    "resourceGroup": "demoRg",
    "status": "managed"
  },
  {
    "denyStatus": "none",
    "id": "/subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Storage/storageAccounts/storethmimleef5fwk",
    "resourceGroup": "demoRg",
    "status": "managed"
  }
]

Portal

1. Buka portal Microsoft Azure.
2. Buka grup Sumber Daya yang berisi tumpukan.
3. Dari menu sebelah kiri, perluas Pengaturan, lalu pilih Tumpukan penyebaran.
4. Pilih nama tumpukan untuk membuka tumpukan.

Setelah meninjau dan memverifikasi daftar sumber daya di tumpukan, Anda dapat menjalankan ulang perintah dengan BypassStackOutOfSyncError sakelar di Azure PowerShell (atau bypass-stack-out-of-sync-error di Azure CLI). Sakelar ini hanya boleh digunakan setelah meninjau daftar sumber daya secara menyeluruh di tumpukan sebelum menjalankan ulang perintah. Sakelar ini tidak boleh digunakan secara default.

Menghapus tumpukan penyebaran

PowerShell

Sakelar ActionOnUnmanage menentukan tindakan ke sumber daya yang tidak lagi dikelola. Sakelar memiliki nilai berikut:

• DeleteAll: Hapus sumber daya dan grup sumber daya.
• DeleteResources: Hapus sumber daya saja.
• DetachAll: Lepaskan sumber daya.

CLI

Sakelar action-on-unmanage menentukan tindakan ke sumber daya yang tidak lagi dikelola. Sakelar memiliki nilai berikut:

• delete-all: Hapus sumber daya dan grup sumber daya.
• delete-resources: Hapus sumber daya saja.
• detach-all: Lepaskan sumber daya.

Portal

Pilih salah satu bendera penghapusan saat Anda menghapus tumpukan penyebaran.

Bahkan jika Anda menentukan sakelar delete-all, sumber daya yang tidak dikelola dalam grup sumber daya tempat tumpukan penyebaran berada mencegah sumber daya yang tidak dikelola dan grup sumber daya itu sendiri dihapus.

Untuk menghapus sumber daya tumpukan penyebaran di cakupan grup sumber daya:

PowerShell

Remove-AzResourceGroupDeploymentStack `
  -name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -ActionOnUnmanage "<deleteAll/deleteResources/detachAll>"

CLI

az stack group delete \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --action-on-unmanage '<deleteAll/deleteResources/detachAll>'

Portal

1. Dari portal Azure, buka grup sumber daya yang berisi tumpukan penyebaran.

2. Dari menu sebelah kiri, pilih Deployment stacks, pilih tumpukan penyebaran yang akan dihapus, lalu pilih Delete stack.

   

3. Update behaviorPilih , lalu pilih Next.

   

Untuk menghapus sumber daya tumpukan penyebaran di cakupan langganan:

PowerShell

Remove-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ActionOnUnmanage "<deleteAll/deleteResources/detachAll>"

CLI

az stack sub delete \
  --name '<deployment-stack-name>' \
  --action-on-unmanage '<deleteAll/deleteResources/detachAll>'

Portal

1. Dari portal Azure, buka langganan yang berisi tumpukan penyebaran.

2. Dari menu sebelah kiri, pilih Deployment stacks, pilih tumpukan penyebaran yang akan dihapus, lalu pilih Delete stack.

   

3. Update behavior Pilih (hapus bendera), lalu pilih Next.

   

Untuk menghapus sumber daya tumpukan penyebaran di cakupan grup manajemen:

PowerShell

Remove-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ManagementGroupId "<management-group-id>" `
  -ActionOnUnmanage "<deleteAll/deleteResources/detachAll>"

CLI

az stack mg delete \
  --name '<deployment-stack-name>' \
  --management-group-id '<management-group-id>' \
  --action-on-unmanage '<deleteAll/deleteResources/detachAll>'

Portal

Saat ini tidak diimplementasikan.

Menampilkan sumber daya terkelola dalam tumpukan penyebaran

Layanan tumpukan penyebaran belum memiliki antarmuka pengguna grafis (GUI) portal Azure. Untuk melihat sumber daya terkelola di dalam tumpukan penyebaran, gunakan perintah Azure Powershell/Azure CLI berikut:

Untuk melihat sumber daya terkelola di cakupan grup sumber daya:

PowerShell

(Get-AzResourceGroupDeploymentStack -Name "<deployment-stack-name>" -ResourceGroupName "<resource-group-name>").Resources

CLI

az stack group list \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --output 'json'

Portal

1. Dari portal Azure, buka grup sumber daya yang berisi tumpukan penyebaran.

2. Dari menu sebelah kiri, pilih Deployment stacks.

   

3. Pilih salah satu tumpukan penyebaran untuk melihat sumber daya terkelola tumpukan penyebaran.

Untuk melihat sumber daya terkelola di cakupan langganan:

PowerShell

(Get-AzSubscriptionDeploymentStack -Name "<deployment-stack-name>").Resources

CLI

az stack sub show \
  --name '<deployment-stack-name>' \
  --output 'json'

Portal

1. Dari portal Azure, buka langganan yang berisi tumpukan penyebaran.

2. Dari menu sebelah kiri, pilih Deployment stacks untuk mencantumkan tumpukan penyebaran yang disebarkan ke langganan.

   

3. Pilih tumpukan penyebaran untuk mencantumkan sumber daya terkelola.

Untuk melihat sumber daya terkelola di cakupan grup manajemen:

PowerShell

(Get-AzManagementGroupDeploymentStack -Name "<deployment-stack-name>" -ManagementGroupId "<management-group-id>").Resources

CLI

az stack mg show \
  --name '<deployment-stack-name>' \
  --management-group-id '<management-group-id>' \
  --output 'json'

Portal

Saat ini tidak diimplementasikan.

Menambahkan sumber daya ke tumpukan penyebaran

Untuk menambahkan sumber daya terkelola, tambahkan definisi sumber daya ke file Bicep yang mendasarinya, lalu jalankan perintah pembaruan atau jalankan ulang perintah buat. Untuk informasi selengkapnya, lihat Memperbarui tumpukan penyebaran.

Menghapus sumber daya terkelola dari tumpukan penyebaran

Untuk menghapus sumber daya terkelola, hapus definisi sumber daya dari file Bicep yang mendasarinya, lalu jalankan perintah pembaruan atau jalankan ulang perintah buat. Untuk informasi selengkapnya, lihat Memperbarui tumpukan penyebaran.

Melindungi sumber daya terkelola

Anda dapat menetapkan izin tertentu ke sumber daya terkelola dari tumpukan penyebaran untuk mencegah prinsip keamanan yang tidak sah menghapus atau memperbaruinya. Izin ini disebut sebagai pengaturan tolak. Anda ingin menyimpan tumpukan di lingkup induk. Misalnya, untuk melindungi sumber daya dalam langganan, Anda harus menempatkan tumpukan di cakupan induk, yang merupakan grup manajemen induk langsung.

Pengaturan tolak hanya berlaku untuk operasi sarana kontrol, bukan operasi sarana data. Misalnya, akun penyimpanan dan brankas kunci dibuat melalui sarana kontrol, memungkinkannya dikelola oleh tumpukan penyebaran. Namun, sumber daya anak seperti rahasia atau kontainer blob, yang dibuat melalui bidang data, tidak dapat dikelola oleh tumpukan penyebaran.

Pengaturan tolak hanya berlaku untuk sumber daya yang dibuat secara eksplisit, bukan yang dibuat secara implisit. Misalnya, kluster AKS terkelola membuat beberapa layanan lain untuk mendukungnya, seperti komputer virtual. Dalam hal ini, karena komputer virtual tidak didefinisikan dalam file Bicep dan merupakan sumber daya yang dibuat secara implisit, itu tidak tunduk pada pengaturan tolak tumpukan penyebaran.

Catatan

Rilis terbaru memerlukan izin tertentu di cakupan tumpukan untuk:

• Buat atau perbarui tumpukan penyebaran dan konfigurasikan pengaturan tolak ke nilai selain None.
• Perbarui atau hapus tumpukan penyebaran dengan pengaturan tolak nilai yang ada selain None.

Gunakan peran bawaan tumpukan penyebaran untuk memberikan izin.

PowerShell

Azure PowerShell menyertakan parameter ini untuk menyesuaikan penugasan penolakan:

• DenySettingsMode: Menentukan operasi yang dilarang pada sumber daya terkelola untuk melindungi dari prinsip keamanan yang tidak sah yang mencoba menghapus atau memperbaruinya. Pembatasan ini berlaku untuk semua orang kecuali akses yang diberikan secara eksplisit. Nilainya meliputi: None, DenyDelete, dan DenyWriteAndDelete.
• DenySettingsApplyToChildScopes: Jika ditentukan, konfigurasi mode pengaturan tolak juga berlaku untuk cakupan anak sumber daya terkelola. Misalnya, file Bicep menentukan sumber daya Microsoft.Sql/servers (induk) dan sumber daya Microsoft.Sql/servers/databases (turunan ). Jika tumpukan penyebaran dibuat menggunakan file Bicep dengan DenySettingsApplyToChildScopes pengaturan diaktifkan dan DenySettingsMode diatur ke DenyWriteAndDelete, Anda tidak dapat menambahkan sumber daya anak tambahan ke sumber daya Microsoft.Sql/servers atau sumber daya Microsoft.Sql/servers/databases .
• DenySettingsExcludedAction: Daftar operasi manajemen berbasis peran yang dikecualikan dari pengaturan tolak. Hingga 200 tindakan diizinkan.
• DenySettingsExcludedPrincipal: Daftar ID utama Microsoft Entra yang dikecualikan dari kunci. Hingga lima prinsipal diizinkan.

CLI

Azure CLI menyertakan parameter ini untuk menyesuaikan penugasan penolakan:

• deny-settings-mode: Menentukan operasi yang dilarang pada sumber daya terkelola untuk melindungi dari prinsip keamanan yang tidak sah yang mencoba menghapus atau memperbaruinya. Pembatasan ini berlaku untuk semua orang kecuali akses yang diberikan secara eksplisit. Nilainya meliputi: none, denyDelete, dan denyWriteAndDelete.
• deny-settings-apply-to-child-scopes: Jika ditentukan, konfigurasi mode pengaturan tolak juga berlaku untuk cakupan anak sumber daya terkelola. Misalnya, file Bicep menentukan sumber daya Microsoft.Sql/servers (induk) dan sumber daya Microsoft.Sql/servers/databases (turunan ). Jika tumpukan penyebaran dibuat menggunakan file Bicep dengan deny-settings-apply-to-child-scopes pengaturan diaktifkan dan deny-settings-mode diatur ke denyWriteAndDelete, Anda tidak dapat menambahkan sumber daya anak tambahan ke sumber daya Microsoft.Sql/servers atau sumber daya Microsoft.Sql/servers/databases .
• deny-settings-excluded-actions: Daftar operasi manajemen kontrol akses berbasis peran (RBAC) yang dikecualikan dari pengaturan tolak. Hingga 200 tindakan diizinkan.
• deny-settings-excluded-principals: Daftar ID utama Microsoft Entra yang dikecualikan dari kunci. Hingga lima prinsipal diizinkan.

Portal

Saat ini tidak diimplementasikan.

Untuk menerapkan pengaturan tolak di cakupan grup sumber daya:

PowerShell

New-AzResourceGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "denyDelete" `
  -DenySettingsExcludedAction "Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete" `
  -DenySettingsExcludedPrincipal "<object-id>,<object-id>"

CLI

az stack group create \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'denyDelete' \
  --deny-settings-excluded-actions 'Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete' \
  --deny-settings-excluded-principals '<object-id> <object-id>'

Portal

Saat ini tidak diimplementasikan.

Untuk menerapkan pengaturan tolak pada cakupan langganan:

PowerShell

New-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "denyDelete" `
  -DenySettingsExcludedAction "Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete" `
  -DenySettingsExcludedPrincipal "<object-id>,<object-id>"

DeploymentResourceGroupName Gunakan parameter untuk menentukan nama grup sumber daya tempat tumpukan penyebaran dibuat. Jika cakupan tidak ditentukan, cakupan tersebut menggunakan cakupan tumpukan penyebaran.

CLI

az stack sub create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'denyDelete' \
  --deny-settings-excluded-actions 'Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete' \
  --deny-settings-excluded-principals '<object-id> <object-id>'

deployment-resource-group Gunakan parameter untuk menentukan grup sumber daya tempat tumpukan penyebaran dibuat. Jika cakupan tidak ditentukan, cakupan tersebut menggunakan cakupan tumpukan penyebaran.

Portal

Saat ini tidak diimplementasikan.

Untuk menerapkan pengaturan tolak pada cakupan grup manajemen:

PowerShell

New-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "denyDelete" `
  -DenySettingsExcludedActions "Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete" `
  -DenySettingsExcludedPrincipal "<object-id>,<object-id>"

DeploymentSubscriptionId Gunakan parameter untuk menentukan ID langganan tempat tumpukan penyebaran dibuat. Jika cakupan tidak ditentukan, cakupan tersebut menggunakan cakupan tumpukan penyebaran.

CLI

az stack mg create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'denyDelete' \
  --deny-settings-excluded-actions 'Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete' \
  --deny-settings-excluded-principals '<object-id> <object-id>'

deployment-subscription Gunakan parameter untuk menentukan ID langganan tempat tumpukan penyebaran dibuat. Jika cakupan tidak ditentukan, cakupan tersebut menggunakan cakupan tumpukan penyebaran.

Portal

Saat ini tidak diimplementasikan.

Lepaskan sumber daya terkelola dari tumpukan penyebaran

Secara default, tumpukan penyebaran melepaskan dan tidak menghapus sumber daya yang tidak dikelola saat tidak lagi terkandung dalam cakupan manajemen tumpukan. Untuk informasi selengkapnya, lihat Memperbarui tumpukan penyebaran.

Mengekspor templat dari tumpukan penyebaran

Anda dapat mengekspor sumber daya dari tumpukan penyebaran ke output JSON. Anda dapat menyalurkan output ke file.

Untuk mengekspor tumpukan penyebaran di cakupan grup sumber daya:

PowerShell

Save-AzResourceGroupDeploymentStack `
   -Name "<deployment-stack-name>" `
   -ResourceGroupName "<resource-group-name>" `

CLI

az stack group export \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>'

Portal

Saat ini tidak diimplementasikan.

Untuk mengekspor tumpukan penyebaran pada cakupan langganan:

PowerShell

Save-AzSubscriptionDeploymentStack `
  -name "<deployment-stack-name>"

CLI

az stack sub export \
  --name '<deployment-stack-name>'

Portal

Saat ini tidak diimplementasikan.

Untuk mengekspor tumpukan penyebaran di cakupan grup manajemen:

PowerShell

Save-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ManagementGroupId "<management-group-id>"

CLI

az stack mg export \
  --name '<deployment-stack-name>' \
  --management-group-id '<management-group-id>'

Portal

Saat ini tidak diimplementasikan.

Langkah berikutnya

Untuk melalui mulai cepat, lihat Mulai cepat: membuat tumpukan penyebaran.