Definisi Azure Policy dengan efek penolakan

Efeknya deny digunakan untuk mencegah permintaan sumber daya yang tidak cocok dengan standar yang ditentukan melalui definisi kebijakan dan gagal permintaan.

Menolak evaluasi

Saat membuat atau memperbarui sumber daya yang cocok dalam mode Resource Manager, penolakan mencegah permintaan sebelum dikirim ke Penyedia Sumber Daya. Permintaan dikembalikan sebagai 403 (Forbidden). Di dalam portal, Forbidden dapat dianggap sebagai status penyebaran yang dicegah oleh penugasan kebijakan. Untuk mode Penyedia Sumber Daya, penyedia sumber daya mengelola evaluasi sumber daya.

Selama evaluasi sumber daya yang ada, sumber daya yang cocok dengan deny definisi kebijakan ditandai sebagai tidak patuh.

Tolak properti

Untuk mode Resource Manager, deny efek tidak memiliki properti lagi untuk digunakan dalam then kondisi definisi kebijakan.

Untuk mode Penyedia Sumber Daya Microsoft.Kubernetes.Data, efek deny memiliki subproperti berikut dari details. Penggunaan templateInfo diperlukan untuk definisi kebijakan baru atau yang diperbarui seperti constraintTemplate yang tidak digunakan lagi.

  • templateInfo (diperlukan)
    • Tidak dapat digunakan dengan constraintTemplate.
    • sourceType (diperlukan)

      • Menentukan jenis sumber untuk templat batasan. Nilai yang diizinkan: PublicURL atau Base64Encoded.

      • Jika PublicURL, dipasangkan dengan properti url untuk menyediakan lokasi templat batasan. Lokasi harus dapat diakses publik.

        Peringatan

        Jangan gunakan SAS URI atau token di url atau apa pun yang dapat mengekspos rahasia.

      • Jika Base64Encoded, dipasangkan dengan properti content untuk menyediakan templat batasan dasar 64 yang dikodekan. Lihat Membuat definisi kebijakan dari templat batasan untuk membuat definisi kustom dari templat batasanOpen Policy Agent (OPA) Gatekeeper v3 yang ada.

  • constraint (opsional)
    • Tidak dapat digunakan dengan templateInfo.
    • Implementasi CRD dari templat Batasan. Menggunakan parameter yang diteruskan melalui values sebagai {{ .Values.<valuename> }}. Dalam contoh 2 di bawah ini, nilai-nilai ini adalah {{ .Values.excludedNamespaces }} dan {{ .Values.allowedContainerImagesRegex }}.
  • constraintTemplate (tidak digunakan lagi)
    • Tidak dapat digunakan dengan templateInfo.
    • Harus diganti dengan templateInfo saat membuat atau memperbarui definisi kebijakan.
    • Templat Batasan CustomResourceDefinition (CRD) yang menentukan Batasan baru. Templat menentukan logika Rego, skema Batasan, dan parameter Batasan yang diteruskan melalui values dari Azure Policy. Untuk informasi selengkapnya, buka Batasan Gatekeeper.
  • constraintInfo (opsional)
    • Tidak dapat digunakan dengan constraint, , constraintTemplate, apiGroupsatau kinds.
    • Jika constraintInfo tidak disediakan, batasan dapat dihasilkan dari templateInfo dan kebijakan.
    • sourceType (diperlukan)

      • Menentukan jenis sumber untuk batasan. Nilai yang diizinkan: PublicURL atau Base64Encoded.

      • Jika PublicURL, dipasangkan dengan properti url untuk menyediakan lokasi batasan. Lokasi harus dapat diakses publik.

        Peringatan

        Jangan gunakan SAS URI atau token di url atau apa pun yang dapat mengekspos rahasia.

  • namespaces (opsional)
    • Larik namespace Kubernetes untuk membatasi evaluasi kebijakan pada.
    • Nilai kosong atau hilang menyebabkan evaluasi kebijakan menyertakan semua namespace, kecuali yang ditentukan dalam excludedNamespaces.
  • excludedNamespaces (diperlukan)
    • Array namespace Kubernetes yang dikecualikan dari evaluasi kebijakan.
  • labelSelector (diperlukan)
    • Objek yang mencakup matchLabels properti (objek) dan matchExpression (array) untuk memungkinkan penentuan sumber daya Kubernetes mana yang akan disertakan untuk evaluasi kebijakan yang cocok dengan label dan selektor yang disediakan.
    • Nilai kosong atau hilang menyebabkan evaluasi kebijakan menyertakan semua label dan pemilih, kecuali namespace yang ditentukan dalam excludedNamespaces.
  • apiGroups (diperlukan saat menggunakan templateInfo)
    • Array yang menyertakan grup API yang cocok. Array kosong ([""]) adalah grup API inti.
    • Penentuan ["*"] untuk apiGroups tidak diizinkan.
  • kinds (diperlukan saat menggunakan templateInfo)
    • Array yang mencakup jenis objek Kubernetes untuk membatasi evaluasi.
    • ["*"] Menentukan jenis tidak diizinkan.
  • values (opsional)
    • Menentukan parameter atau nilai apa pun untuk diteruskan ke Kendala. Setiap nilai harus ada dalam template Batasan CRD.

Contoh penolakan

Contoh 1: Menggunakan deny efek untuk mode Resource Manager.

"then": {
  "effect": "deny"
}

Contoh 2: Menggunakan deny efek untuk mode Penyedia Sumber Daya dari Microsoft.Kubernetes.Data. Informasi tambahan dalam details.templateInfo menyatakan penggunaan PublicURL dan menetapkan url ke lokasi templat batasan yang digunakan di Kubernetes untuk membatasi gambar kontainer yang diizinkan.

"then": {
  "effect": "deny",
  "details": {
    "templateInfo": {
      "sourceType": "PublicURL",
      "url": "https://store.policy.core.windows.net/kubernetes/container-allowed-images/v1/template.yaml",
    },
    "values": {
      "imageRegex": "[parameters('allowedContainerImagesRegex')]"
    },
    "apiGroups": [
      ""
    ],
    "kinds": [
      "Pod"
    ]
  }
}

Langkah berikutnya

  • Last updated on