배포 스택

아티클
06/24/2024

Azure 배포 스택은 Azure 리소스 그룹을 하나의 응집력 있는 단위로 관리할 수 있는 리소스입니다. 배포 스택에 Bicep 파일 또는 ARM JSON 템플릿을 제출하는 경우 스택이 관리하는 리소스를 정의합니다. 이전에 템플릿에 포함된 리소스가 제거되면 배포 스택의 지정된 actionOnUnmanage 동작에 따라 리소스가 분리되거나 삭제됩니다. 다른 Azure 리소스와 마찬가지로 Azure RBAC(Azure 역할 기반 액세스 제어)를 사용하여 배포 스택에 대한 액세스를 제한할 수 있습니다.

Bicep 파일과 함께 Azure CLI, Azure PowerShell 또는 Azure Portal을 활용하여 배포 스택을 만들고 업데이트할 수 있습니다. 이러한 Bicep 파일은 ARM JSON 템플릿으로 변환된 다음, 스택에 의해 배포 개체로 배포됩니다. 배포 스택은 익숙한 배포 리소스 외에도 추가 기능을 제공하며, 이러한 기능의 상위 집합 역할을 합니다.

Microsoft.Resources/deploymentStacks는 배포 스택의 리소스 종류입니다. 설명하는 리소스에 대한 범위 전체에서 일대다 업데이트를 수행하고 해당 리소스에 대한 원치 않는 변경을 차단할 수 있는 기본 템플릿으로 구성됩니다.

배포를 계획하고 동일한 스택에 포함할 리소스 그룹을 결정할 때에는 만들기, 업데이트, 삭제를 포함하여 해당 리소스의 관리 수명 주기를 고려해야 합니다. 예를 들어 여러 리소스 그룹 범위에 걸쳐 다양한 애플리케이션 팀에 일부 테스트 VM(가상 머신)을 프로비전해야 한다고 가정합니다. 이 경우 배포 스택을 활용하여 이러한 테스트 환경을 만들고 이후에 배포 스택을 업데이트하여 테스트 VM 구성을 업데이트할 수 있습니다. 프로젝트를 완료한 후에는 만든 리소스(예: 테스트 VM)를 제거하거나 삭제해야 할 수도 있습니다. 배포 스택을 활용하면 적절한 삭제 플래그를 지정하여 관리되는 리소스를 쉽게 제거할 수 있습니다. 이 효율적인 접근 방식은 다양한 리소스 그룹 범위에서 각 테스트 VM을 개별적으로 수정하거나 제거하는 대신 스택 리소스를 한 번만 업데이트하므로 환경 정리에 소요되는 시간이 절약됩니다.

배포 스택은 Azure PowerShell 버전 12.0.0 이상 또는 Azure CLI 버전 2.61.0 이상을 필요로 합니다.

첫 번째 배포 스택을 만들려면 빠른 시작: 배포 스택 만들기를 진행하세요.

배포 스택을 사용하는 이유

배포 스택은 다음과 같은 이점이 있습니다.

통합 엔터티로서 다양한 범위에 걸쳐 리소스의 프로비전 및 관리를 간소화했습니다.
거부 설정을 통해 관리되는 리소스에 대한 원치 않는 수정을 방지합니다.
배포 스택 업데이트 중에 삭제 플래그를 사용하여 효율적으로 환경을 정리합니다.
배포 스택에 Bicep, ARM 템플릿 또는 템플릿 사양과 같은 표준 템플릿을 사용합니다.

알려진 제한 사항

암시적으로 만들어진 리소스는 배포 스택이 관리하지 않습니다. 따라서 거부 할당 또는 정리가 불가능합니다.
거부 할당은 태그를 지원하지 않습니다.
거부 할당은 관리 그룹 범위에서 지원되지 않습니다. 그러나 배포가 구독 범위를 가리키는 경우 관리 그룹 스택에서 지원됩니다.
배포 스택은 키 자격 증명 모음 비밀을 삭제할 수 없습니다. 템플릿에서 키 자격 증명 모음 비밀을 제거하는 경우 분리 모드에서 배포 스택 업데이트/삭제 명령도 실행해야 합니다.

알려진 문제

리소스 그룹을 삭제하면 현재 거부 할당이 무시됩니다. 리소스 그룹 범위에서 배포 스택을 만들 때 Bicep 파일에는 리소스 그룹에 대한 정의가 포함되지 않습니다. 거부 할당 설정에도 불구하고 리소스 그룹 및 포함된 스택을 삭제할 수 있습니다. 그러나 그룹 내의 리소스에서 잠금이 활성 상태이면 삭제 작업이 실패합니다.
가상 지원은 아직 사용할 수 없습니다.
관리 그룹 범위 스택은 다른 관리 그룹에 배포하는 것이 제한됩니다. 스택 자체의 관리 그룹이나 자식 구독에만 배포할 수 있습니다.
PowerShell 명령 도움말은 ActionOnUnmanage 스위치의 DeleteResourcesAndResourcesGroups 값을 나열합니다. 이 값을 사용하면 명령은 관리되는 리소스 및 리소스 그룹을 분리합니다. 이 값은 다음 업데이트에서 제거될 예정입니다. 이 값을 사용하지 마세요.
경우에 따라 Azure PowerShell의 New 및 Set cmdlet이 명확하게 작동할 수 없는 일반 템플릿 유효성 검사 오류를 반환할 수 있습니다. 이 버그는 다음 릴리스에서 수정될 예정이지만 현재로서는 오류가 명확하지 않은 경우 디버그 모드에서 cmdlet을 실행하여 원시 응답에서 더 자세한 오류를 확인할 수 있습니다.
Microsoft Graph 공급자가 배포 스택을 지원하지 않습니다.

기본 제공 역할

Warning

RBAC 권한 Microsoft.Resources/deploymentStacks/manageDenySetting/action 적용이 정부 클라우드를 포함한 여러 지역에서 롤아웃됩니다.

배포 스택에는 두 가지 기본 제공 역할이 있습니다.

Azure 배포 스택 기여자: 사용자가 배포 스택을 관리할 수 있지만 배포 스택 내에서 거부 할당을 만들거나 삭제할 수는 없습니다.
Azure 배포 스택 소유자: 사용자가 거부 할당이 있는 배포 스택을 포함하여 배포 스택을 관리할 수 있습니다.

배포 스택 만들기

배포 스택 리소스는 리소스 그룹, 구독 또는 관리 그룹 범위에서 만들 수 있습니다. 배포 스택에 전달된 템플릿은 템플릿 배포에 지정된 대상 범위에서 만들거나 업데이트할 리소스를 정의합니다.

리소스 그룹 범위의 스택은 배포 스택이 있는 동일한 리소스 그룹 범위에 전달된 템플릿을 배포할 수 있습니다.
구독 범위의 스택은 배포 스택이 있는 리소스 그룹 범위(지정된 경우) 또는 동일한 구독 범위에 전달된 템플릿을 배포할 수 있습니다.
관리 그룹 범위의 스택은 지정된 구독 범위에 전달된 템플릿을 배포할 수 있습니다.

배포 스택이 있는 곳에는 거부 설정 기능을 사용하여 만든 거부 할당도 있다는 점에 유의해야 합니다. 예를 들어 구독 범위에서 리소스 그룹 범위에 템플릿을 배포하는 배포 스택을 만들고 거부 설정 모드 DenyDelete를 사용하면 관리되는 리소스를 지정된 리소스 그룹에 쉽게 프로비전하고 해당 리소스를 삭제하려는 시도를 차단할 수 있습니다. 이 방법을 사용하면 리소스 그룹 수준이 아닌 구독 수준에서 배포 스택을 분리하여 배포 스택의 보안을 강화할 수도 있습니다. 이렇게 분리하면 프로비전된 리소스를 작업하는 개발자 팀은 리소스 그룹만 보고 쓸 수 있으며, 배포 스택은 더 높은 수준에서 격리된 상태로 유지됩니다. 이는 배포 스택을 편집하고 거부 할당을 변경할 수 있는 사용자 수를 최소화합니다. 자세한 내용은 삭제로부터 관리되는 리소스 보호를 참조하세요.

create-stack 명령을 사용하여 배포 스택을 업데이트할 수도 있습니다.

리소스 그룹 범위에서 배포 스택을 만들려면 다음을 수행합니다.

New-AzResourceGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

az stack group create \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll'
  --deny-settings-mode 'none'

구독 범위에서 배포 스택을 만들려면 다음을 수행합니다.

New-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentResourceGroupName "<resource-group-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

DeploymentResourceGroupName 매개 변수는 관리되는 리소스를 저장하는 데 사용할 리소스 그룹을 지정합니다. 이 매개 변수를 지정하지 않으면 관리되는 리소스가 구독 범위에 저장됩니다.

az stack sub create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-resource-group' <resource-group-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

deployment-resource-group 매개 변수는 관리되는 리소스를 저장하는 데 사용할 리소스 그룹을 지정합니다. 이 매개 변수를 지정하지 않으면 관리되는 리소스가 구독 범위에 저장됩니다.

관리 그룹 범위에서 배포 스택을 만들려면 다음을 수행합니다.

New-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentSubscriptionId "<subscription-id>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

deploymentSubscriptionId 매개 변수는 관리되는 리소스를 저장하는 데 사용할 구독을 지정합니다. 이 매개 변수를 지정하지 않으면 관리되는 리소스가 관리 그룹 범위에 저장됩니다.

az stack mg create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-subscription '<subscription-id>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

deployment-subscription 매개 변수는 관리되는 리소스를 저장하는 데 사용할 구독을 지정합니다. 이 매개 변수를 지정하지 않으면 관리되는 리소스가 관리 그룹 범위에 저장됩니다.

배포 스택 나열

리소스 그룹 범위의 배포 스택 리소스를 나열하려면 다음을 수행합니다.

Get-AzResourceGroupDeploymentStack `
  -ResourceGroupName "<resource-group-name>"

az stack group list \
  --resource-group '<resource-group-name>'

구독 범위의 배포 스택 리소스를 나열하려면 다음을 수행합니다.

Get-AzSubscriptionDeploymentStack

az stack sub list

관리 그룹 범위의 배포 스택 리소스를 나열하려면 다음을 수행합니다.

Get-AzManagementGroupDeploymentStack `
  -ManagementGroupId "<management-group-id>"

az stack mg list \
  --management-group-id '<management-group-id>'

배포 스택 업데이트

관리되는 리소스를 추가 또는 삭제해야 할 수도 있는 배포 스택 업데이트를 수행하려면 기본 Bicep 파일을 변경해야 합니다. 수정을 마친 후, 배포 스택을 업데이트하는 두 가지 옵션이 있습니다. 하나는 update 명령을 실행하는 것이고, 다른 하나는 create 명령을 다시 실행하는 것입니다.

관리되는 리소스 목록은 IaC(Infrastructure as Code) 디자인 패턴을 통해 완벽하게 제어할 수 있습니다.

Set 명령 사용

리소스 그룹 범위에서 배포 스택을 업데이트하려면 다음을 수행합니다.

Set-AzResourceGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

az stack group create \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

참고 항목

Azure CLI에는 배포 스택 set 명령이 없습니다. 대신 New 명령을 사용합니다.

구독 범위에서 배포 스택을 업데이트하려면 다음을 수행합니다.

Set-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentResourceGroupName "<resource-group-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

DeploymentResourceGroupName 매개 변수는 배포 스택 리소스를 저장하는 데 사용할 리소스 그룹을 지정합니다. 리소스 그룹 이름을 지정하지 않으면 배포 스택 서비스에서 새 리소스 그룹을 만듭니다.

az stack sub create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-resource-group '<resource-group-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

관리 그룹 범위에서 배포 스택을 업데이트하려면 다음을 수행합니다.

Set-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -DeploymentSubscriptionId "<subscription-id>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "none"

az stack mg create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --deployment-subscription '<subscription-id>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'none'

New 명령 사용

다음과 유사한 경고가 표시됩니다.

The deployment stack 'myStack' you're trying to create already exists in the current subscription/management group/resource group. Do you want to overwrite it? Detaching: resources, resourceGroups (Y/N)

자세한 내용은 배포 스택 만들기를 참조하세요.

분리 및 삭제 제어

분리된 리소스(또는 관리되지 않는 리소스)란 배포 스택이 추적하거나 관리하지는 않지만 여전히 Azure 내에 있는 리소스를 말합니다.

관리되지 않는 리소스를 삭제하도록 Azure에 지시하려면 스택 만들기 명령에서 다음 스위치를 사용하여 스택을 업데이트합니다. 자세한 내용은 배포 스택 만들기를 참조하세요.

ActionOnUnmanage 스위치를 사용하여 스택이 업데이트 또는 삭제된 후 더 이상 관리되지 않는 리소스에 어떤 일이 발생하는지 정의합니다. 허용된 값은 다음과 같습니다.

deleteAll: 관리되는 리소스와 리소스 그룹에는 detach 대신 delete를 사용합니다.
deleteResources: 관리되는 리소스에만 detach 대신 delete를 사용합니다.
detachAll: 관리되는 리소스 및 리소스 그룹을 분리합니다.

예시:

New-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name" `
  -TemplateFile "<bicep-file-name>" `
  -DenySettingsMode "none" `
  -ActionOnUnmanage "deleteAll"

action-on-unmanage 스위치를 사용하여 스택이 업데이트 또는 삭제된 후 더 이상 관리되지 않는 리소스에 어떤 일이 발생하는지 정의합니다. 허용된 값은 다음과 같습니다.

deleteAll: 관리되는 리소스와 리소스 그룹에는 detach 대신 delete를 사용합니다.
deleteResources: 관리되는 리소스에만 detach 대신 delete를 사용합니다.
detachAll: 관리되는 리소스 및 리소스 그룹을 분리합니다.

예시:

az stack sub create `
  --name '<deployment-stack-name>' `
  --location '<location>' `
  --template-file '<bicep-file-name>' `
  --action-on-unmanage 'deleteAll' `
  --deny-settings-mode 'none'

Warning

action-on-unmanage 스위치가 DeleteAll로 설정된 리소스 그룹을 삭제하면 관리되는 리소스 그룹 및 해당 그룹에 포함된 모든 리소스도 삭제됩니다.

스택 동기화 오류 처리

배포 스택을 업데이트하거나 삭제할 때 스택 리소스 목록이 올바르게 동기화되지 않았음을 나타내는 다음과 같은 스택 동기화 오류가 발생할 수 있습니다.

The deployment stack '{0}' may not have an accurate list of managed resources. To ensure no resources are accidentally deleted, please check that the managed resource list does not have any additional values. If there is any uncertainty, we recommend redeploying the stack with the same template and parameters as the current iteration. To bypass this warning, please specify the 'BypassStackOutOfSyncError' flag.

Azure Portal에서 리소스 목록을 가져오거나 동일한 매개 변수를 사용하여 현재 배포된 Bicep 파일을 다시 배포할 수 있습니다. 출력에 관리되는 리소스가 표시됩니다.

...
Resources: /subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Network/virtualNetworks/vnetthmimleef5fwk
           /subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Storage/storageAccounts/storethmimleef5fwk

"resources": [
  {
    "denyStatus": "none",
    "id": "/subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Network/virtualNetworks/vnetthmimleef5fwk",
    "resourceGroup": "demoRg",
    "status": "managed"
  },
  {
    "denyStatus": "none",
    "id": "/subscriptions/9e8db52a-71bc-4871-9007-1117bf304622/resourceGroups/demoRg/providers/Microsoft.Storage/storageAccounts/storethmimleef5fwk",
    "resourceGroup": "demoRg",
    "status": "managed"
  }
]

스택의 리소스 목록을 검토하고 확인한 후에는 Azure PowerShell(또는 Azure CLI의 bypass-stack-out-of-sync-error)에서 BypassStackOutOfSyncError 스위치를 사용하여 명령을 다시 실행할 수 있습니다. 이 스위치는 명령을 다시 실행하기 전에 스택의 리소스 목록을 철저히 검토한 후에만 사용해야 합니다. 이 스위치를 기본적으로 사용해서는 안 됩니다.

배포 스택 삭제

ActionOnUnmanage 스위치는 더 이상 관리되지 않는 리소스에 대한 작업을 정의합니다. 이 스위치에는 다음과 같은 값이 있습니다.

DeleteAll: 리소스와 리소스 그룹을 모두 삭제합니다.
DeleteResources: 리소스만 삭제합니다.
DetachAll: 리소스를 분리합니다.

모두 삭제 스위치를 지정하더라도 배포 스택이 있는 리소스 그룹 내의 관리되지 않는 리소스는 관리되지 않는 리소스와 리소스 그룹 자체 모두가 삭제되는 것을 방지합니다.

리소스 그룹 범위의 배포 스택 리소스를 삭제하려면 다음을 수행합니다.

Remove-AzResourceGroupDeploymentStack `
  -name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -ActionOnUnmanage "<deleteAll/deleteResources/detachAll>"

az stack group delete \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --action-on-unmanage '<deleteAll/deleteResources/detachAll>'

구독 범위의 배포 스택 리소스를 삭제하려면 다음을 수행합니다.

Remove-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ActionOnUnmanage "<deleteAll/deleteResources/detachAll>"

az stack sub delete \
  --name '<deployment-stack-name>' \
  --action-on-unmanage '<deleteAll/deleteResources/detachAll>'

관리 그룹 범위의 배포 스택 리소스를 삭제하려면 다음을 수행합니다.

Remove-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ManagementGroupId "<management-group-id>" `
  -ActionOnUnmanage "<deleteAll/deleteResources/detachAll>"

az stack mg delete \
  --name '<deployment-stack-name>' \
  --management-group-id '<management-group-id>' \
  --action-on-unmanage '<deleteAll/deleteResources/detachAll>'

배포 스택에서 관리되는 리소스 보기

배포 스택 서비스에는 Azure Portal GUI(그래픽 사용자 인터페이스)가 없습니다. 배포 스택 내에서 관리되는 리소스를 보려면 다음 Azure Powershell/Azure CLI 명령을 사용합니다.

리소스 그룹 범위의 관리되는 리소스를 보려면 다음을 수행합니다.

(Get-AzResourceGroupDeploymentStack -Name "<deployment-stack-name>" -ResourceGroupName "<resource-group-name>").Resources

az stack group list \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --output 'json'

구독 범위의 관리되는 리소스를 보려면 다음을 수행합니다.

(Get-AzSubscriptionDeploymentStack -Name "<deployment-stack-name>").Resources

az stack sub show \
  --name '<deployment-stack-name>' \
  --output 'json'

관리 그룹 범위의 관리되는 리소스를 보려면 다음을 수행합니다.

(Get-AzManagementGroupDeploymentStack -Name "<deployment-stack-name>" -ManagementGroupId "<management-group-id>").Resources

az stack mg show \
  --name '<deployment-stack-name>' \
  --management-group-id '<management-group-id>' \
  --output 'json'

배포 스택에 리소스 추가

관리되는 리소스를 추가하려면 기본 Bicep 파일에 리소스 정의를 추가한 다음, update 명령을 실행하거나 create 명령을 다시 실행합니다. 자세한 내용은 배포 스택 업데이트를 참조하세요.

배포 스택에서 관리되는 리소스 삭제

관리되는 리소스를 삭제하려면 기본 Bicep 파일의 리소스 정의를 제거한 다음, update 명령을 실행하거나 create 명령을 다시 실행합니다. 자세한 내용은 배포 스택 업데이트를 참조하세요.

관리되는 리소스 보호

권한이 없는 보안 주체가 삭제하거나 업데이트하지 못하도록 배포 스택의 관리되는 리소스에 특정 권한을 할당할 수 있습니다. 이러한 권한을 거부 설정이라고 합니다. 부모 범위에 스택을 저장하려고 합니다. 예를 들어 구독의 리소스를 보호하려면 즉시 부모 관리 그룹인 부모 범위에 스택을 배치해야 합니다.

거부 설정은 데이터 평면 작업이 아닌 컨트롤 플레인 작업에만 적용 됩니다. 예를 들어 스토리지 계정 및 키 자격 증명 모음은 컨트롤 플레인을 통해 만들어져 배포 스택에서 관리할 수 있습니다. 그러나 데이터 평면을 통해 만들어진 비밀 또는 Blob 컨테이너와 같은 자식 리소스는 배포 스택에서 관리할 수 없습니다.

거부 설정은 암시적으로 만들어진 리소스가 아닌 명시적으로 만들어진 리소스에만 적용됩니다. 예를 들어 관리되는 AKS 클러스터는 가상 머신과 같은 다른 여러 서비스를 만들어 지원합니다. 이 경우 가상 머신은 Bicep 파일에 정의되어 있지 않고 암시적으로 만들어진 리소스이므로 배포 스택 거부 설정의 적용을 받지 않습니다.

참고 항목

최신 릴리스에서는 다음을 수행하려면 스택 범위에서 특정 권한이 필요합니다.

배포 스택을 만들거나 업데이트하고 거부 설정을 None 이외의 값으로 구성합니다.
None 이외의 값의 기존 거부 설정으로 배포 스택을 업데이트하거나 삭제합니다.

배포 스택 기본 제공 역할을 사용하여 권한을 부여합니다.

Azure PowerShell에는 거부 할당을 사용자 지정하기 위한 다음 매개 변수가 포함되어 있습니다.

DenySettingsMode: 권한 없는 보안 주체가 관리되는 리소스를 삭제하거나 업데이트하려는 시도를 차단하기 위해 관리되는 리소스에 대해 금지되는 작업을 정의합니다. 이 제한은 액세스 권한이 명시적으로 부여되는 경우를 제외하고는 모든 사용자에게 적용됩니다. 값은 None, DenyDelete 및 DenyWriteAndDelete입니다.
DenySettingsApplyToChildScopes: 지정하면 거부 설정 모드 구성도 관리되는 리소스의 자식 범위에 적용됩니다. 예를 들어 Bicep 파일은 Microsoft.Sql/servers 리소스(부모) 및 Microsoft.Sql/servers/databases 리소스(자식)를 정의합니다. DenySettingsApplyToChildScopes 설정이 사용 가능하고 DenySettingsMode이(가) DenyWriteAndDelete(으)로 설정된 Bicep 파일을 사용하여 배포 스택을 만든 경우 Microsoft.Sql/servers 리소스 또는 Microsoft.Sql/servers/databases 리소스에 자식 리소스를 더 추가할 수 없습니다.
DenySettingsExcludedAction: 거부 설정에서 제외되는 역할 기반 관리 작업의 목록입니다. 최대 200개의 작업이 허용됩니다.
DenySettingsExcludedPrincipal: 잠금에서 제외된 Microsoft Entra 보안 주체 ID 목록입니다. 최대 5개의 보안 주체가 허용됩니다.

Azure CLI에는 거부 할당을 사용자 지정하기 위한 다음 매개 변수가 포함되어 있습니다.

deny-settings-mode: 권한 없는 보안 주체가 관리되는 리소스를 삭제하거나 업데이트하려는 시도를 차단하기 위해 관리되는 리소스에 대해 금지되는 작업을 정의합니다. 이 제한은 액세스 권한이 명시적으로 부여되는 경우를 제외하고는 모든 사용자에게 적용됩니다. 값은 none, denyDelete 및 denyWriteAndDelete입니다.
deny-settings-apply-to-child-scopes: 지정하면 거부 설정 모드 구성도 관리되는 리소스의 자식 범위에 적용됩니다. 예를 들어 Bicep 파일은 Microsoft.Sql/servers 리소스(부모) 및 Microsoft.Sql/servers/databases 리소스(자식)를 정의합니다. deny-settings-apply-to-child-scopes 설정이 사용 가능하고 deny-settings-mode이(가) denyWriteAndDelete(으)로 설정된 Bicep 파일을 사용하여 배포 스택을 만든 경우 Microsoft.Sql/servers 리소스 또는 Microsoft.Sql/servers/databases 리소스에 자식 리소스를 더 추가할 수 없습니다.
deny-settings-excluded-actions: 거부 설정에서 제외되는 RBAC(역할 기반 액세스 제어) 관리 작업의 목록입니다. 최대 200개의 작업이 허용됩니다.
deny-settings-excluded-principals: 잠금에서 제외된 Microsoft Entra 보안 주체 ID 목록입니다. 최대 5개의 보안 주체가 허용됩니다.

리소스 그룹 범위에서 거부 설정을 적용하려면 다음을 수행합니다.

New-AzResourceGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ResourceGroupName "<resource-group-name>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "denyDelete" `
  -DenySettingsExcludedAction "Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete" `
  -DenySettingsExcludedPrincipal "<object-id>,<object-id>"

az stack group create \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'denyDelete' \
  --deny-settings-excluded-actions 'Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete' \
  --deny-settings-excluded-principals '<object-id> <object-id>'

구독 범위에서 거부 설정을 적용하려면 다음을 수행합니다.

New-AzSubscriptionDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "denyDelete" `
  -DenySettingsExcludedAction "Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete" `
  -DenySettingsExcludedPrincipal "<object-id>,<object-id>"

DeploymentResourceGroupName 매개 변수를 사용하여 배포 스택이 만들어지는 리소스 그룹 이름을 지정합니다. 범위를 지정하지 않으면 배포 스택의 범위가 사용됩니다.

az stack sub create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'denyDelete' \
  --deny-settings-excluded-actions 'Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete' \
  --deny-settings-excluded-principals '<object-id> <object-id>'

deployment-resource-group 매개 변수를 사용하여 배포 스택이 만들어지는 리소스 그룹을 지정합니다. 범위를 지정하지 않으면 배포 스택의 범위가 사용됩니다.

관리 그룹 범위에서 거부 설정을 적용하려면 다음을 수행합니다.

New-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -Location "<location>" `
  -TemplateFile "<bicep-file-name>" `
  -ActionOnUnmanage "detachAll" `
  -DenySettingsMode "denyDelete" `
  -DenySettingsExcludedActions "Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete" `
  -DenySettingsExcludedPrincipal "<object-id>,<object-id>"

DeploymentSubscriptionId 매개 변수를 사용하여 배포 스택이 만들어지는 구독 ID를 지정합니다. 범위를 지정하지 않으면 배포 스택의 범위가 사용됩니다.

az stack mg create \
  --name '<deployment-stack-name>' \
  --location '<location>' \
  --template-file '<bicep-file-name>' \
  --action-on-unmanage 'detachAll' \
  --deny-settings-mode 'denyDelete' \
  --deny-settings-excluded-actions 'Microsoft.Compute/virtualMachines/write Microsoft.StorageAccounts/delete' \
  --deny-settings-excluded-principals '<object-id> <object-id>'

deployment-subscription 매개 변수를 사용하여 배포 스택이 만들어지는 구독 ID를 지정합니다. 범위를 지정하지 않으면 배포 스택의 범위가 사용됩니다.

배포 스택에서 관리되는 리소스 분리

기본적으로 배포 스택은 관리되지 않는 리소스가 스택의 관리 범위에 더 이상 포함되지 않을 때 관리되지 않는 리소스를 분리하지만 삭제하지는 않습니다. 자세한 내용은 배포 스택 업데이트를 참조하세요.

배포 스택에서 템플릿 내보내기

배포 스택에서 JSON 출력으로 리소스를 내보낼 수 있습니다. 출력을 파일로 파이프할 수 있습니다.

리소스 그룹 범위에서 배포 스택을 내보내려면 다음을 수행합니다.

Save-AzResourceGroupDeploymentStack `
   -Name "<deployment-stack-name>" `
   -ResourceGroupName "<resource-group-name>" `

az stack group export \
  --name '<deployment-stack-name>' \
  --resource-group '<resource-group-name>'

구독 범위에서 배포 스택을 내보내려면 다음을 수행합니다.

Save-AzSubscriptionDeploymentStack `
  -name "<deployment-stack-name>"

az stack sub export \
  --name '<deployment-stack-name>'

관리 그룹 범위에서 배포 스택을 내보내려면 다음을 수행합니다.

Save-AzManagementGroupDeploymentStack `
  -Name "<deployment-stack-name>" `
  -ManagementGroupId "<management-group-id>"

az stack mg export \
  --name '<deployment-stack-name>' \
  --management-group-id '<management-group-id>'

다음 단계

빠른 시작을 진행하려면 빠른 시작: 배포 스택 만들기를 참조하세요.

다음을 통해 공유