チュートリアル:コンプライアンスを強制するポリシーの作成と管理

[アーティクル]
06/01/2023

Azure でポリシーを作成および管理する方法を理解することは、企業の標準とサービスレベルアグリーメントへの準拠を維持するために重要です。このチュートリアルでは、Azure Policy を使用して、組織全体のポリシーの作成、割り当て、および管理に関連する次のような一般的なタスクをいくつか実行します。

今後作成するリソースに条件を強制するポリシーを割り当てる
複数のリソースについてコンプライアンスを追跡するイニシアチブ定義を作成して割り当てる
準拠していないリソースまたは拒否されたリソースを解決する
組織全体で新しいポリシーを実施する

既存のリソースの現在のコンプライアンス状態を識別するためのポリシーを割り当てる方法については、クイックスタートの記事で詳しく説明しています。

前提条件

Azure サブスクリプションをお持ちでない場合は、開始する前に無料アカウントを作成してください。

ポリシーを割り当てる

Azure Policy でコンプライアンスを強制する最初の手順は、ポリシー定義の割り当てです。ポリシー定義は、ポリシーを適用する条件とその効果を定義します。この例では、"存在しない場合は、リソースグループからタグを継承する" という組み込みのポリシー定義を割り当てて、タグが存在しない新しいリソースまたは更新されたリソースに対し、親リソースグループの値を引き継ぐ特定のタグを追加します。

ポリシーを割り当てるには、Azure portal に移動します。 Policy を検索して選択します。
Azure Policy ページの左側にある [割り当て] を選択します。割り当ては、特定のスコープ内で実行するように割り当てられたポリシーです。
[ポリシー | 割り当て] ページの上部で [ポリシーの割り当て] を選択します。
[ポリシーの割り当て] ページの [基本] タブで、省略記号を選択し、管理グループまたはサブスクリプションのどちらかを選択して、 [スコープ] を選択します。任意でリソースグループを選択します。スコープによって、ポリシー割り当てを強制するリソースまたはリソースのグループが決まります。次に、 [スコープ] ページの下部にある [選択] を選択します。
リソースはスコープに基づいて除外できます。除外はスコープのレベルよりも 1 つ下のレベルで開始されます。除外は省略可能です。ここでは空のまま残してください。
[ポリシー定義] の省略記号を選択して、使用可能な定義の一覧を開きます。ポリシー定義の [種類] を [ビルトイン] でフィルター処理して、すべてを表示し、その説明を読むことができます。
[存在しない場合は、リソースグループからタグを継承する] を選択します。すぐに見つからない場合は、検索ボックスに「タグを継承」と入力して Enter キーを押すか、検索ボックスの外側を選択します。ポリシー定義を見つけて選択したら、 [使用可能な定義] ページの下部にある [選択] を選択します。
[バージョン] には、定義の最新メジャーバージョンが自動的に設定され、非破壊的変更が自動取り込みされるように設定されます。他のバージョンに変更したり (使用できる場合)、取り込み設定を調整したりできますが、変更する必要はありません。 [オーバーライド] は省略可能であるため、ここでは空白のままにします。
[割り当て名] には選択したポリシー名が自動的に入力されますが、この名前は変更できます。この例では、 [存在しない場合は、リソースグループからタグを継承する] のままにします。必要に応じて、説明を追加することもできます。説明では、このポリシーの割り当ての詳細を示します。
[ポリシーの適用] を "有効" のままにしておきます。 "無効" になっている場合、この設定によって、効果をトリガーせずにポリシーの結果をテストできます。詳細については、「適用モード」を参照してください。
ウィザードの上部にある [パラメーター] タブを選択します。
[タグ名] に「Environment」と入力します。
ウィザードの上部にある [修復] タブを選択します。
[修復タスクを作成する] のチェックをオフのままにします。このボックスを利用すると、新規または更新されたリソースだけでなく、既存のリソースを変更するタスクを作成できます。詳細については、修復リソースに関する記事をご覧ください。
このポリシー定義では modify 効果を使用しているため、 [マネージド ID を作成します] のチェックが自動的にオンになります。 [マネージド ID の種類] は、"システム割り当て" に設定されています。 [アクセス許可] は、自動的にポリシー定義に基づく "共同作成者" に設定されます。詳しくは、マネージド ID および修復のアクセス制御のしくみに関するページをご覧ください。
ウィザードの上部にある [Non-compliance messages](コンプライアンス違反メッセージ) タブを選択します。
[Non-compliance message](コンプライアンス違反メッセージ) を [This resource doesn't have the required tag](このリソースには必要なタグがありません) に設定します。このカスタムメッセージは、リソースが拒否されたときに表示されるほか、コンプライアンス違反のリソースについては、通常の評価時に表示されます。
ウィザードの上部にある [Review + create](確認と作成) タブを選択します。
選択内容を確認してから、ページ下部にある [作成] を選択します。

新しいカスタムポリシーを実施する

組み込みのポリシー定義を割り当てたので、Azure Policy でさらに多くのことを行うことができます。次に、G シリーズの仮想マシンをお客様の環境に作成できないことを確認することでコストを節約する新しいカスタムポリシーを作成します。そのようにすると、組織内のユーザーが G シリーズで仮想マシンを作成しようとするたびに、要求が拒否されます。

Azure Policy ページの左側にある [作成] の下の [定義] を選択します。
ページの上部にある [+ ポリシー定義] を選択します。このボタンをクリックすると [ポリシー定義] ページが開きます。
次の情報を入力します。
- ポリシー定義を保存する管理グループまたはサブスクリプション。 [定義の場所] の省略記号を使用して選択します。
  
  注意
  
  このポリシー定義を複数のサブスクリプションに適用する場合、この場所は、ポリシーを割り当てるサブスクリプションを含む管理グループである必要があります。これはイニシアティブ定義の場合も同様です。
- ポリシー定義の名前 - "G シリーズにない VM SKU を必須にする"
- そのポリシー定義の目的の説明 - "このポリシー定義では、コストを削減するために、このスコープ内で作成するすべての仮想マシンが、G シリーズ以外の SKU を使用することを強制しています。 "
- このポリシー定義用のカテゴリを既存のオプション ("コンピューティング" など) から選択するか、新規に作成します。
- 次の JSON コードをコピーし、必要に応じて以下のものを使用して更新します。
  - ポリシーパラメーター。
  - ポリシールールと条件。この例では、VM SKU サイズが G シリーズと同じサイズです。
  - ポリシーの効果。この例では、Deny です。
JSON の作成例は次のとおりです。変更後のコードを Azure Portal に貼り付けます。
```
{
    "policyRule": {
        "if": {
            "allOf": [{
                    "field": "type",
                    "equals": "Microsoft.Compute/virtualMachines"
                },
                {
                    "field": "Microsoft.Compute/virtualMachines/sku.name",
                    "like": "Standard_G*"
                }
            ]
        },
        "then": {
            "effect": "deny"
        }
    }
}
```
ポリシールールの field プロパティは、サポートされている値にする必要があります。値の完全な一覧については、ポリシー定義構造のフィールドに関する記事を参照してください。 "Microsoft.Compute/VirtualMachines/Size" はエイリアスの 1 つの例です。

Azure Policy の他のサンプルについては、「Azure Policy のサンプル」を参照してください。
[保存] を選択します。

REST API を使用したポリシー定義の作成

Azure Policy 定義用の REST API を使用して、ポリシーを作成することができます。 REST API を使用すると、ポリシー定義の作成と削除、既存の定義に関する情報の取得を実行できます。ポリシー定義を作成するには、次の例を使用します。

PUT https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.authorization/policydefinitions/{policyDefinitionName}?api-version={api-version}

要求の本文は次の例のようになります。

{
    "properties": {
        "parameters": {
            "allowedLocations": {
                "type": "array",
                "metadata": {
                    "description": "The list of locations that can be specified when deploying resources",
                    "strongType": "location",
                    "displayName": "Allowed locations"
                }
            }
        },
        "displayName": "Allowed locations",
        "description": "This policy enables you to restrict the locations your organization can specify when deploying resources.",
        "policyRule": {
            "if": {
                "not": {
                    "field": "location",
                    "in": "[parameters('allowedLocations')]"
                }
            },
            "then": {
                "effect": "deny"
            }
        }
    }
}

PowerShell を使用したポリシー定義の作成

PowerShell の例に進む前に、Azure PowerShell Az モジュールの最新バージョンがインストール済みであることを確認してください。

New-AzPolicyDefinition コマンドレットを使用してポリシー定義を作成することができます。

ファイルからポリシー定義を作成するには、ファイルへのパスを渡します。外部ファイルの場合は、次の例を使用します。

$definition = New-AzPolicyDefinition `
    -Name 'denyCoolTiering' `
    -DisplayName 'Deny cool access tiering for storage' `
    -Policy 'https://raw.githubusercontent.com/Azure/azure-policy-samples/master/samples/Storage/storage-account-access-tier/azurepolicy.rules.json'

ローカルファイルの場合は、次の例を使用します。

$definition = New-AzPolicyDefinition `
    -Name 'denyCoolTiering' `
    -Description 'Deny cool access tiering for storage' `
    -Policy 'c:\policies\coolAccessTier.json'

インラインルールでポリシー定義を作成するには、次の例を使用します。

$definition = New-AzPolicyDefinition -Name 'denyCoolTiering' -Description 'Deny cool access tiering for storage' -Policy '{
    "if": {
        "allOf": [{
                "field": "type",
                "equals": "Microsoft.Storage/storageAccounts"
            },
            {
                "field": "kind",
                "equals": "BlobStorage"
            },
            {
                "field": "Microsoft.Storage/storageAccounts/accessTier",
                "equals": "cool"
            }
        ]
    },
    "then": {
        "effect": "deny"
    }
}'

出力は、ポリシー割り当ての際に使用される $definition オブジェクトに格納されます。次の例では、パラメーターを含むポリシー定義を作成しています。

$policy = '{
    "if": {
        "allOf": [{
                "field": "type",
                "equals": "Microsoft.Storage/storageAccounts"
            },
            {
                "not": {
                    "field": "location",
                    "in": "[parameters(''allowedLocations'')]"
                }
            }
        ]
    },
    "then": {
        "effect": "Deny"
    }
}'

$parameters = '{
    "allowedLocations": {
        "type": "array",
        "metadata": {
            "description": "The list of locations that can be specified when deploying storage accounts.",
            "strongType": "location",
            "displayName": "Allowed locations"
        }
    }
}'

$definition = New-AzPolicyDefinition -Name 'storageLocations' -Description 'Policy to specify locations for storage accounts.' -Policy $policy -Parameter $parameters

PowerShell を使用したポリシー定義の表示

サブスクリプション内のすべてのポリシー定義を表示するには、次のコマンドを使用します。

Get-AzPolicyDefinition

組み込みのポリシーを含め、すべての使用可能なポリシー定義が返されます。各ポリシーは、次の形式で返されます。

Name               : e56962a6-4747-49cd-b67b-bf8b01975c4c
ResourceId         : /providers/Microsoft.Authorization/policyDefinitions/e56962a6-4747-49cd-b67b-bf8b01975c4c
ResourceName       : e56962a6-4747-49cd-b67b-bf8b01975c4c
ResourceType       : Microsoft.Authorization/policyDefinitions
Properties         : @{displayName=Allowed locations; policyType=BuiltIn; description=This policy enables you to
                     restrict the locations your organization can specify when deploying resources. Use to enforce
                     your geo-compliance requirements.; parameters=; policyRule=}
PolicyDefinitionId : /providers/Microsoft.Authorization/policyDefinitions/e56962a6-4747-49cd-b67b-bf8b01975c4c

Azure CLI を使用したポリシー定義の作成

az policy definition コマンドによって、Azure CLI を使用してポリシー定義を作成します。インラインルールでポリシー定義を作成するには、次の例を使用します。

az policy definition create --name 'denyCoolTiering' --description 'Deny cool access tiering for storage' --rules '{
    "if": {
        "allOf": [{
                "field": "type",
                "equals": "Microsoft.Storage/storageAccounts"
            },
            {
                "field": "kind",
                "equals": "BlobStorage"
            },
            {
                "field": "Microsoft.Storage/storageAccounts/accessTier",
                "equals": "cool"
            }
        ]
    },
    "then": {
        "effect": "deny"
    }
}'

Azure CLI を使用したポリシー定義の表示

サブスクリプション内のすべてのポリシー定義を表示するには、次のコマンドを使用します。

az policy definition list

組み込みのポリシーを含め、すべての使用可能なポリシー定義が返されます。各ポリシーは、次の形式で返されます。

{
    "description": "This policy enables you to restrict the locations your organization can specify when deploying resources. Use to enforce your geo-compliance requirements.",
    "displayName": "Allowed locations",
    "version": "1.0.0"
    "id": "/providers/Microsoft.Authorization/policyDefinitions/e56962a6-4747-49cd-b67b-bf8b01975c4c",
    "name": "e56962a6-4747-49cd-b67b-bf8b01975c4c",
    "policyRule": {
        "if": {
            "not": {
                "field": "location",
                "in": "[parameters('listOfAllowedLocations')]"
            }
        },
        "then": {
            "effect": "Deny"
        }
    },
    "policyType": "BuiltIn"
}

イニシアチブ定義の作成と割り当て

イニシアチブ定義では、複数のポリシー定義をグループ化して、1 つの包括的な目標を実現することができます。イニシアチブは、割り当てのスコープ内のリソースについて、含まれているポリシーに準拠しているかどうかを評価します。イニシアティブ定義の詳細については、Azure Policy の概要に関するページを参照してください。

イニシアチブ定義を作成する

Azure Policy ページの左側にある [作成] の下の [定義] を選択します。
ページの上部にある [+ イニシアティブ定義] を選択してイニシアティブ定義ウィザードを開きます。
[イニシアティブの場所] の省略記号を使用して、管理グループと、定義を格納するサブスクリプションを選択します。前のページのスコープが 1 つの管理グループまたはサブスクリプションであった場合、 [イニシアティブの場所] は自動的に設定されます。
イニシアティブの名前と説明を入力します。

この例では、セキュリティ保護に関するポリシー定義にリソースが準拠していることを確認します。イニシアティブに "セキュリティ保護" という名前を付け、"このイニシアティブは、リソースのセキュリティ保護に関連するすべてのポリシー定義を処理するために作成されました" という説明を入力します。
[カテゴリ] で、カテゴリを既存のオプションから選択するか、新規に作成します。
イニシアティブの [バージョン] を設定します (1.0 など)。

注意

バージョン値は厳密にメタデータであり、Azure Policy サービスによる更新やプロセスには使用されません。
ページの下部にある [次へ] を選択するか、ウィザードの上部にある [ポリシー] タブを選択します。
[ポリシー定義の追加] ボタンを選択し、一覧を参照します。このイニシアティブに追加するポリシー定義を選択します。 セキュリティ保護 イニシアティブの場合、ポリシー定義の横にあるチェックボックスをオンにして、次の組み込みポリシー定義を追加します。
- 許可される場所
- マシンに Endpoint Protection をインストールする必要がある
- インターネットに接続されていない仮想マシンをネットワークセキュリティグループで保護する必要があります
- Virtual Machines に対して Azure Backup を有効にする必要がある
- 仮想マシンでディスク暗号化を適用する必要がある
- リソースでタグを追加または置換する (このポリシー定義を 2 回追加する)
各ポリシー定義をリストから選択したら、リストの下部にある [追加] を選択します。これは 2 回追加されるため、"リソースのタグを追加または置換する" ポリシー定義がそれぞれ異なる "参照 ID" を受け取ります。

注意

選択したポリシー定義をグループに追加するには、追加された定義を 1 つ以上選択し、 [選択したポリシーをグループに追加します] を選択します。まずグループが存在している必要があります。ウィザードの [グループ] タブで作成できます。
ページの下部にある [次へ] を選択するか、ウィザードの上部にある [グループ] タブを選択します。このタブから新しいグループを追加できます。このチュートリアルでは、グループは追加しません。
ページの下部にある [次へ] を選択するか、ウィザードの上部にある [イニシアティブパラメーター] タブを選択します。 1 つ以上の含まれているポリシー定義に渡すために、イニシアティブにパラメーターが存在するようにする場合は、パラメーターがここで定義され、 [ポリシーパラメーター] タブで使用されます。このチュートリアルでは、イニシアティブパラメーターは追加しません。

注意

イニシアティブ定義に保存したイニシアティブパラメーターは、イニシアティブから削除することはできません。イニシアティブパラメーターが不要になった場合は、ポリシー定義パラメーターによって使用されないように削除します。
ページの下部にある [次へ] を選択するか、ウィザードの上部にある [ポリシーパラメーター] タブを選択します。
イニシアティブに追加されている、パラメーターが含まれるポリシー定義がグリッドに表示されます。 [値の型] には、[既定値]、[値の設定]、または [イニシアティブパラメーターを使用する] を指定できます。 [値の設定] が選択されている場合、関連する値が [値] の下に入力されます。ポリシー定義のパラメーターに許可された値のリストが含まれている場合、入力ボックスはドロップダウンリストのセレクターになります。 [イニシアティブパラメーターを使用する] が選択されている場合は、 [イニシアティブパラメーター] タブで作成されたイニシアティブパラメーターの名前がドロップダウンリストに表示されます。

注意

一部の strongType パラメーターでは、値の一覧を自動的に決定することができません。このような場合、パラメーター行の右側に省略記号が表示されます。それを選択すると、[パラメーターのスコープ (<パラメーター名>)] ページが開きます。このページで、値のオプションの指定に使用するサブスクリプションを選択します。このパラメーターの範囲は、イニシアチブ定義の作成時にのみ使用され、ポリシーの評価またはイニシアチブ (割り当てられる場合) の範囲には影響しません。

"許可されている場所" の [値の型] を [値の設定] に設定し、ドロップダウンリストから "米国東部 2" を選択します。 "リソースのタグを追加または置換する" ポリシー定義の 2 つのインスタンスについては、次に示すように、Tag Name パラメーターを ' Env ' と 'CostCenter' に、Tag Value パラメーターを 'Test' および 'Lab' に設定します。他は [既定値] のままにします。イニシアティブで同じ定義を 2 回使用 (ただしパラメーターが異なる) すると、この構成によって、割り当てのスコープ内のリソースで、'Env' タグの場合は値 'Test'、'CostCenter' タグの場合は値 'Lab' が追加されるかこれらの値に置換されます。
ページの下部またはウィザードの上部にある [確認と作成] を選択します。
設定を確認し、 [作成] を選択します。

Azure CLI を使用したポリシーイニシアチブ定義の作成

az policy set-definition コマンドによって、Azure CLI を使用してポリシーイニシアチブ定義を作成できます。既存のポリシー定義によってポリシーイニシアチブ定義を作成するには、次の例を使用します。

az policy set-definition create -n readOnlyStorage --definitions '[
        {
            "policyDefinitionId": "/subscriptions/mySubId/providers/Microsoft.Authorization/policyDefinitions/storagePolicy",
            "parameters": { "storageSku": { "value": "[parameters(\"requiredSku\")]" } }
        }
    ]' \
    --params '{ "requiredSku": { "type": "String" } }'

Azure PowerShell によるポリシーイニシアチブ定義の作成

New-AzPolicySetDefinition コマンドレットによって、Azure PowerShell を使用してポリシーイニシアチブ定義を作成できます。既存のポリシー定義によってポリシーイニシアチブ定義を作成するには、次のポリシーイニシアチブ定義ファイルを VMPolicySet.json として使用します。

[
    {
        "policyDefinitionId": "/providers/Microsoft.Authorization/policyDefinitions/2a0e14a6-b0a6-4fab-991a-187a4f81c498",
        "parameters": {
            "tagName": {
                "value": "Business Unit"
            },
            "tagValue": {
                "value": "Finance"
            }
        }
    },
    {
        "policyDefinitionId": "/providers/Microsoft.Authorization/policyDefinitions/464dbb85-3d5f-4a1d-bb09-95a9b5dd19cf"
    }
]

New-AzPolicySetDefinition -Name 'VMPolicySetDefinition' -Metadata '{"category":"Virtual Machine"}' -PolicyDefinition C:\VMPolicySet.json

イニシアチブ定義を割り当てる

Azure Policy ページの左側にある [作成] の下の [定義] を選択します。
前に作成したセキュリティ保護イニシアティブ定義を見つけて選択します。ページの上部にある [割り当て] を選択して [セキュリティ保護: イニシアティブの割り当て] ページを開きます。

また、選択した行を選択したままに (または右クリック) するか、行の末尾にある省略記号を選択して、コンテキストメニューを表示することもできます。次に、 [割り当て] を選択します。
[セキュリティ保護: イニシアティブの割り当て] ページに、次のサンプル情報を入力します。独自の情報を使用することもできます。
- スコープ: イニシアティブを保存した管理グループまたはサブスクリプションが既定値になります。スコープを変更して、保存された場所内のサブスクリプションまたはリソースグループにイニシアティブを割り当てることができます。
- 除外: イニシアティブ割り当てが適用されないように、スコープ内の任意のリソースを構成します。
- イニシアティブ定義と割り当て名: セキュリティ保護 (割り当てられるイニシアティブの名前として事前に入力されます)。
- 説明:このイニシアティブ割り当ては、このポリシー定義グループを強制するために調整されています。
- ポリシーの適用: 既定の " [有効] " のままにします。
- 割り当て担当者: ログインユーザーに基づいて自動的に入力されます。このフィールドは任意です。カスタム値を入力できます。
ウィザードの上部にある [パラメーター] タブを選択します。前の手順でイニシアチブパラメーターを構成した場合は、ここで値を設定します。
ウィザードの上部にある [修復] タブを選択します。 [マネージド ID を作成します] のチェックは外しておいてください。このボックスは、割り当てられるポリシーまたはイニシアティブに deployIfNotExists または modify 効果を利用したポリシーが含まれる場合に、チェックをオンにする "必要があります"。このチュートリアルで使用するポリシーにはそれが含まれないため、空のままにします。詳しくは、マネージド ID および修復のアクセス制御のしくみに関するページをご覧ください。
ウィザードの上部にある [Review + create](確認と作成) タブを選択します。
選択内容を確認してから、ページ下部にある [作成] を選択します。

初期のコンプライアンスを確認する

Azure Policy ページの左側にある [コンプライアンス] を選択します。
[Get Secure](セキュリティ保護) イニシアチブを探します。おそらくまだ [コンプライアンスの状態] は [未開始] です。割り当ての詳細情報を取得するには、イニシアティブを選択します。
イニシアティブの割り当てが完了すると、コンプライアンスページが更新されて、 [コンプライアンスの状態] は [準拠している] になります。
イニシアティブコンプライアンスページ上の任意のポリシーを選択すると、そのポリシーのコンプライアンス詳細ページが開きます。このページでは、コンプライアンスのリソースレベルの詳細が提供されます。

準拠していないまたは拒否されたリソースを除外してスコープから削除する

特定の場所を要求するようにポリシーイニシアチブを割り当てた後は、別の場所に作成されたリソースはすべて拒否されます。このセクションでは、単一のリソースグループに対する除外を作成することで、リソースを作成する要求の拒否を解決する手順について説明します。除外することで、そのリソースグループに対してポリシー (またはイニシアティブ) が適用されなくなります。次の例では、除外されたリソースグループ内で任意の場所が許可されています。除外は、サブスクリプション、リソースグループ、または個々のリソースに適用できます。

注意

ポリシーの適用除外を使用して、リソースの評価をスキップすることもできます。詳細については、Azure Policy のスコープに関するページを参照してください。

割り当てられたポリシーまたはイニシアチブによって阻止されたデプロイは、デプロイの対象となるリソースグループ上で閲覧できます。ページの左側にある [デプロイ] を選択し、失敗したデプロイのデプロイ名を選択します。拒否されたリソースが、"禁止" ステータスで表示されます。リソースを拒否したポリシーまたはイニシアティブと割り当てを確認するには、[デプロイの概要] ページの [失敗しました。詳細については、ここをクリックしてください ->] を選択します。ページの右側にウィンドウが開き、エラー情報が表示されます。 [エラーの詳細] には、関連するポリシーオブジェクトの GUID が表示されます。

ポリシー割り当てで拒否されたデプロイ失敗のスクリーンショット。

Azure Policy ページでの操作: ページの左側にある [コンプライアンス] を選択し、セキュリティ保護のポリシーイニシアチブを選択します。このページでは、ブロックされたリソースに対する [拒否] カウントが増加しています。 [イベント] タブ下には、ポリシー定義によって拒否されたリソースの作成またはデプロイを試行したユーザーに関する詳細が示されます。

[イニシアティブコンプライアンス] ページの [イベント] タブとポリシーイベント詳細のスクリーンショット。

この例では、Contoso における仮想化のシニアスペシャリストの 1 人である Trent Baker が必要な作業を行っていました。 Trent に例外のスペースを付与する必要があります。新しいリソースグループ LocationsExcluded を作成してから、このポリシー割り当てへの例外を付与します。

除外による割り当ての更新

Azure Policy ページの左側にある [作成] の下の [割り当て] を選択します。
すべてのポリシー割り当て一覧から、セキュリティ保護のポリシー割り当てを開きます。
省略記号を選択し、除外するリソースグループ (この例では、LocationsExcluded) を選択して、 [除外] を設定します。 [選択したスコープに追加] を選択してから、 [保存] を選択します。

注意

ポリシー定義とその効果に応じて、割り当てのスコープ内にあるリソースグループの中の特定のリソースに除外を付与することもできます。このチュートリアルでは Deny 効果が使用されたため、既に存在する特定のリソースに除外を設定することには意味がありません。
[Review + save](確認と保存) を選択して、 [保存] を選択します。

このセクションでは、単一のリソースグループに対する除外を作成することによって、拒否された要求を解決しました。

リソースをクリーンアップする

このチュートリアルからリソースに対する作業を完了したら、次の手順を使用して、ここで作成したポリシー割り当てまたは定義をすべて削除します。

Azure Policy ページの左側にある [作成] の下の [定義] (または割り当てを削除する場合は [割り当て] ) を選択します。
削除する新しいイニシアティブまたはポリシー定義 (または割り当て) を見つけます。
行を右クリックするか、定義 (または割り当て) の末尾にある省略記号を選択し、 [定義の削除] (または [割り当ての削除] ) を選択します。

確認

このチュートリアルでは、以下のタスクを完了しました。

今後作成するリソースに条件を強制するポリシーを割り当てる
複数のリソースについてコンプライアンスを追跡するイニシアチブ定義を作成して割り当てる
準拠していないリソースまたは拒否されたリソースを解決する
組織全体で新しいポリシーを実施する

次のステップ

ポリシー定義の構造の詳細については、次の記事を参照してください。

Azure Policy の定義の構造

次の方法で共有

チュートリアル:コンプライアンスを強制するポリシーの作成と管理

前提条件

ポリシーを割り当てる

新しいカスタムポリシーを実施する

REST API を使用したポリシー定義の作成

PowerShell を使用したポリシー定義の作成

PowerShell を使用したポリシー定義の表示

Azure CLI を使用したポリシー定義の作成

Azure CLI を使用したポリシー定義の表示

イニシアチブ定義の作成と割り当て

イニシアチブ定義を作成する

Azure CLI を使用したポリシーイニシアチブ定義の作成

Azure PowerShell によるポリシーイニシアチブ定義の作成

イニシアチブ定義を割り当てる

初期のコンプライアンスを確認する

準拠していないまたは拒否されたリソースを除外してスコープから削除する

除外による割り当ての更新

リソースをクリーンアップする

確認

次のステップ

フィードバック

その他のリソース

次の方法で共有

チュートリアル:コンプライアンスを強制するポリシーの作成と管理

前提条件

ポリシーを割り当てる

新しいカスタム ポリシーを実施する

REST API を使用したポリシー定義の作成

PowerShell を使用したポリシー定義の作成

PowerShell を使用したポリシー定義の表示

Azure CLI を使用したポリシー定義の作成

Azure CLI を使用したポリシー定義の表示

イニシアチブ定義の作成と割り当て

イニシアチブ定義を作成する

Azure CLI を使用したポリシー イニシアチブ定義の作成

Azure PowerShell によるポリシー イニシアチブ定義の作成

イニシアチブ定義を割り当てる

初期のコンプライアンスを確認する

準拠していないまたは拒否されたリソースを除外してスコープから削除する

除外による割り当ての更新

リソースをクリーンアップする

確認

次のステップ

フィードバック

その他のリソース

新しいカスタムポリシーを実施する

Azure CLI を使用したポリシーイニシアチブ定義の作成

Azure PowerShell によるポリシーイニシアチブ定義の作成