ポリシーを使用して基準を適用する

7 分

リソースグループを使用することでリソースがより適切に整理されました。請求報告や監視ソリューションのためにリソースにタグを付けました。リソースのグループ化とタグ付けは既存のリソースで大きな力を発揮しました。しかしながら、新しいリソースに規則を確実に適用するにはどうすれば良いでしょうか。 Azure 環境で基準を適用する方法としてポリシーがいかに役立つか見てみましょう。

Azure Policy とは何ですか。

Azure Policy は、ポリシーの作成、割り当て、管理に使用できるサービスです。このポリシーは、リソースが従う必要がある規則を適用して強制します。これらのポリシーは、リソースが作成されるときにこれらの規則を強制したり、既存のリソースの有効性を確認し、規則に従っていることを判断したりできます。

ポリシーでは、たとえば、特定の種類のリソースのみ作成を許可したり、特定の Azure リージョンでのみリソースを許可したりするルールを適用できます。 Azure 環境全体で命名規則を適用できます。特定のタグがリソースに適用されるように強制することもできます。それではポリシーのしくみを見てみましょう。

ポリシーの作成

すべてのリソースに Department タグを関連付け、そのタグが存在しない場合には、作成を確実に禁止したいと思います。新しいポリシー定義を作成し、それを 1 つの範囲に割り当てます。この場合、範囲は msftlearn-core-infrastructure-rg リソースグループになります。ポリシーは Azure portal、Azure PowerShell、または Azure CLI から作成し、割り当てることができます。この演習では、ポータルでポリシーを作成します。

ポリシーの定義を作成する

まだ行っていない場合は、Web ブラウザーで Azure portal に移動します。上部ナビゲーションバーの検索ボックスで「ポリシー」を検索し、[ポリシー] サービスを選択します。
左側のメニューの [作成] セクションで、[定義] ペインを選択します。
組み込みポリシーの一覧が表示されるので、組み込みポリシーを使用することができます。今回は、独自のポリシーを作成します。上部メニューから [+ ポリシー定義] を選択します。
このボタンをクリックすると、[新しいポリシー定義] ダイアログが表示されます。 [定義の場所] を設定するには、青い [スコープセレクターを起動 (...)] を選択します。ポリシーを保存するサブスクリプションを選択します。これはリソースグループと同じサブスクリプションにしてください。 [選択] ボタンを選択します。
[新しいポリシー定義] ダイアログに戻り、[名前] フィールドに「Enforce tag on resource」 (リソースにタグを適用する) と入力します。
[説明] には、「This policy enforces the existence of a tag on a resource」 (このポリシーでは、強制的にリソースにタグを適用します) と入力します。
[カテゴリ] には [既存のものを使用] を選択し、[全般] カテゴリを選択します。

[ポリシールール] では、ボックスに入っているテキストを全部削除し、次の JSON を貼り付けます。

{
  "mode": "Indexed",
  "policyRule": {
    "if": {
      "field": "[concat('tags[', parameters('tagName'), ']')]",
      "exists": "false"
    },
    "then": {
      "effect": "deny"
    }
  },
  "parameters": {
    "tagName": {
      "type": "String",
      "metadata": {
        "displayName": "Tag Name",
        "description": "Name of the tag, such as 'environment'"
      }
    }
  }
}

ポリシー定義は以下の例のようになります。 [保存] を選択してポリシー定義を保存します。

Screenshot of Azure portal showing the new policy definition dialog.

ポリシー割り当てを作成する

ポリシーを作成しましたが、まだ有効にしていません。ポリシーを有効にするには、割り当てを作成する必要があります。今回は、msftlearn-core-infrastructure-rg リソースグループという範囲にポリシーを割り当てます。このリソースグループに含まれる全部にポリシーが適用されます。

ポリシーペインで、左側の [作成] セクションの [割り当て] を選択します。
上部にある [ポリシーの割り当て] を選択します。
[ポリシーの割り当て] ウィンドウで、ポリシーをリソースグループに割り当てます。 [スコープ] で、青色のスコープセレクターを起動 (...) を選択します。サブスクリプションと msftlearn-core-infrastructure-rg リソースグループを選択し、[選択] ボタンを選択します。
[ポリシー定義] で、青色のポリシー定義ピッカーを起動 (...) を選択します。[種類] ドロップダウンで [カスタム] を選択し、作成した [Enforce tag on resource] (リソースにタグを適用する) ポリシーを選択し、[追加] をクリックします。
画面の上部にある [パラメーター] タブを選択します。
[パラメーター] ウィンドウの [タグ名] には「Department」と入力します。
[確認と作成] を選択し、次に [作成] を選択して割り当てを作成します。

ポリシーをテストする

これでポリシーがリソースグループに割り当てられました。Department タグなしでリソースを作成しようとすると失敗します。

重要

ポリシーの割り当てが有効になるまで 30 分ほどかかる場合があります。この遅延のため、次の手順ではポリシーの検証が成功する可能性がありますが、デプロイは失敗します。このような場合は、もう少し待ってからデプロイを再試行してください。

Azure portal のメニューまたは [ホーム] ページから [リソースの作成] を選択します。
[ストレージアカウント] を検索し、[ストレージアカウント] を選択します。結果から、[作成] を選択します。
サブスクリプションを選択し、msftlearn-core-infrastructure-rg リソースグループを選択します。
[ストレージアカウント名] には、自分で選んだ名前を付けますが、グローバルで一意の名前にする必要があります。
残りのオプションは既定値のままにし、[確認] を選択します。

Department タグがリソースに付いていないため、リソース作成の検証は失敗します。ポリシーによって検証エラーが発生しない場合は、有効になるまでさらに数分待つことが必要な場合があります。

ストレージアカウントを正常にデプロイできるように違反を解消します。
[ストレージアカウントの作成] ウィンドウの上部にある [タグ] を選択します。
Department:Finance タグを一覧に追加します。
次に、[確認] をクリックします。妥当性検証で合格が出ます。[作成] を選択すると、ストレージアカウントが作成されます。