O que é o Azure Blueprints (versão prévia)?

Importante

Azure Blueprints (versão prévia) será desativada em 31 de janeiro de 2027, com uma aposentadoria em fases a partir de 31 de julho de 2026. Migre suas definições e atribuições de blueprints existentes para Deployment Stacks (recomendado) e Template Specs. Artefatos de blueprint são convertidos em modelos ARM JSON ou arquivos Bicep usados ​​para definir pilhas de implantação. Para obter o cronograma completo das fases, o impacto e as perguntas frequentes, consulte desativação do Azure Blueprints ou https://aka.ms/AzureBlueprintsRetirement. Para saber como criar um artefato como um recurso do ARM, confira:

Assim como um blueprint permite que um engenheiro ou arquiteto desenhe os parâmetros de um projeto, o Azure Blueprints permite que arquitetos de nuvem e grupos centrais de tecnologia da informação definam um conjunto repetitivo de recursos do Azure que implementa e adere aos padrões, padrões e requisitos de uma organização. O Azure Blueprints permite que as equipes de desenvolvimento criem e iniciem novos ambientes rapidamente, sabendo que eles são criados de acordo com as especificações da organização e contêm um conjunto de componentes integrados, como redes, para acelerar o desenvolvimento e a entrega.

O Blueprints é uma maneira declarativa de orquestrar a implementação de vários modelos de recursos e outros artefatos, como:

  • Atribuições de função
  • Atribuições de Política
  • Modelos do ARM (modelos do Azure Resource Manager)
  • Grupos de recursos

O serviço do Azure BluePrint é apoiado pelo Azure Cosmos DB distribuído globalmente. Objetos de Blueprint são replicados para várias regiões do Azure. Essa replicação oferece baixa latência, alta disponibilidade e acesso consistente a seus objetos de blueprint, independentemente de em qual região o Azure Blueprints implanta seus recursos.

Como ele difere dos modelos do ARM

O serviço foi projetado para ajudá-lo na configuração do ambiente. Essa configuração geralmente consiste em um conjunto de grupos de recursos, políticas, atribuições de função e implantações de modelo do ARM. Um blueprint é um pacote para reunir cada um desses tipos de artefato e permitir que você componha e versione esse pacote – inclusive por meio de um pipeline de CI/CD. Por fim, cada um é atribuído a uma assinatura em uma única operação que pode ser auditada e rastreada.

Quase tudo o que você deseja incluir na implantação no Azure Blueprints pode ser feito com um modelo do ARM. No entanto, um modelo do ARM é um documento que não existe nativamente no Azure. Cada um está armazenado localmente ou no controle do código-fonte ou no Modelos (versão prévia). O modelo é usado para implantações de um ou mais recursos do Azure, mas, quando esses recursos são implantados, não há relação ou conexão ativa com o modelo.

Com o Azure Blueprints, a relação entre a definição do blueprint (o que deve ser implantado) e a atribuição do blueprint (o que foi implantado) é preservada. Essa conexão dá suporte ao acompanhamento e à auditoria de implantações aprimorados. O Azure Blueprints também pode atualizar várias assinaturas ao mesmo tempo quando regidas pelo mesmo blueprint.

Não há necessidade de escolher entre um modelo ARM e um blueprint. Cada blueprint pode consistir em zero ou mais artefatos de modelo ARM. Esse suporte significa que os esforços anteriores para desenvolver e manter uma biblioteca de modelos do ARM podem ser reutilizados no Azure Blueprints.

Como ele difere do Azure Policy

Um blueprint é um pacote ou contêiner para composição de conjuntos específicos de foco de padrões, padrões e requisitos relacionados à implementação de serviços em nuvem, segurança e design do Azure que podem ser reutilizados para manter a consistência e a conformidade.

Uma política é uma permissão padrão e um sistema de negação explícito focado nas propriedades do recurso durante a implementação e para recursos já existentes. Ele dá suporte à governança de nuvem confirmando que os recursos dentro de uma assinatura estão cumprindo os requisitos e os padrões.

A inclusão de uma política em um blueprint permite a criação do padrão ou design correto durante a atribuição do blueprint. A inclusão da política faz com que apenas alterações aprovadas ou esperadas possam ocorrer no ambiente para proteger a conformidade com a intenção do blueprint.

Uma política pode ser incluída como um dos muitos artefatos em uma definição de blueprint. Os Blueprints também suportam o uso de parâmetros com políticas e iniciativas.

Definição de planta

Um blueprint é composto por artefatos. O Azure Blueprints atualmente dá suporte aos seguintes recursos como artefatos:

Recurso Opções de Hierarquia Descrição
Grupos de recursos Assinatura Crie um novo grupo de recursos para ser usado por outros artefatos dentro do blueprint. Esses grupos de recursos de espaço reservado permitem que você organize os recursos exatamente da maneira que você deseja que eles sejam estruturados e fornece um limitador de escopo para os artefatos de atribuição de políticas e funções incluídos, além dos modelos do ARM.
modelo do ARM Assinatura, Grupo de Recursos Modelos, incluindo modelos aninhados e vinculados, são usados para compor ambientes complexos. Ambientes de exemplo: um farm do SharePoint, o Automação do Azure State Configuration ou um espaço de trabalho do Log Analytics.
Atribuição de política Assinatura, Grupo de Recursos Permite atribuir uma política ou iniciativa à assinatura à qual o blueprint está atribuído. A política ou iniciativa deve estar dentro do escopo do local de definição do blueprint. Se a política ou iniciativa tiver parâmetros, esses parâmetros serão atribuídos no momento da criação do blueprint ou durante a atribuição do blueprint.
Atribuição de função Assinatura, Grupo de Recursos Adicione um usuário ou grupo existente a uma função interna para fazer com que as pessoas certas tenham sempre o acesso correto aos seus recursos. Atribuições de função podem ser definidas para a assinatura inteira ou aninhadas em um grupo de recursos específico incluído no blueprint.

Observação

Cada artefato deve ter 2 MB ou menos. Se o artefato exceder 2 MB, você obterá um erro HTTP 500 (Erro Interno do Servidor).

Locais de definição do blueprint

Ao criar uma definição de blueprint, você definirá onde o blueprint será salvo. Blueprints podem ser salvos em um grupo de gerenciamento ou assinatura ao qual você tenha acesso de Contribuidor. Se o local for um grupo de gerenciamento, o blueprint estará disponível para atribuir qualquer assinatura filho daquele grupo de gerenciamento.

Parâmetros do projeto

Os blueprints podem passar parâmetros para uma política/iniciativa ou um modelo do ARM. Ao adicionar um artefato a um modelo, o autor decide entre fornecer um valor predefinido para cada atribuição do modelo ou permitir que cada atribuição do modelo receba um valor no momento da atribuição. Essa flexibilidade fornece a opção para definir um valor predeterminado para todos os usos do plano gráfico ou para habilitar essa decisão a ser feita no momento da atribuição.

Observação

Um blueprint pode ter seus próprios parâmetros, mas atualmente eles só podem ser criados se um blueprint for gerado a partir da API REST, em vez de ser gerado pelo Portal.

Para obter mais informações, consulte parâmetros de plano gráfico.

Especificações técnicas de publicação

Quando um plano gráfico é criado, ele é considerado para estar no modo rascunho. Quando estiver pronto para ser atribuído, ele precisa ser Publicado. A publicação requer a definição de uma cadeia de caracteres Versão (letras, números e hifens com um comprimento máximo de 20 caracteres) juntamente com a opção de Alterar anotações. A versão o diferencia de alterações futuras no mesmo modelo e permite atribuir cada versão. Esse versionamento também significa que diferentes Versões do mesmo modelo podem ser atribuídas à mesma assinatura. Quando há outras alterações no blueprint, a VersãoPublicada ainda existe, bem como as Alterações não publicadas. Depois que as alterações forem concluídas, o blueprint atualizado está publicado com uma nova e exclusiva versão e agora também podem ser atribuídos.

Atribuição de modelo

Cada VersãoPublicada de um blueprint pode ser atribuída, com nome de até 90 caracteres, a um grupo de gerenciamento ou a uma assinatura existente. No portal, o blueprint define por padrão a Versão como a publicada mais recentemente. Se houver parâmetros de artefato ou de blueprint, eles serão definidos durante o processo de atribuição.

Observação

A atribuição de uma definição de blueprint a um grupo de gerenciamento significa que o objeto de atribuição existe no grupo de gerenciamento. A implantação de artefatos ainda é direcionada a uma assinatura. Para executar uma atribuição de grupo de gerenciamento, a API REST Criar ou Atualizar precisa ser usada e o corpo da solicitação precisa incluir um valor para properties.scope a fim de definir a assinatura de destino.

Permissões nos Blueprints do Azure

Gerencie as permissões de blueprint por meio do controle de acesso baseado em função do Azure (Azure RBAC).

Você não precisa de uma permissão dedicada do RBAC do Azure para ler ou visualizar uma definição de um blueprint. As definições de blueprint destinam-se a ser detectáveis ​​pelas entidades de segurança que elas regem; portanto, qualquer entidade autenticada no locatário pode listar e ler definições de blueprint no escopo do grupo de gerenciamento, bem como suas versões e artefatos — inclusive por meio da API REST —, mesmo sem uma atribuição de função nesse grupo de gerenciamento. Ler uma definição de blueprint armazenada em uma assinatura requer acesso de leitura a essa assinatura. Criar, publicar, atribuir, atualizar e excluir blueprints sempre exige as permissões descritas neste artigo.

Importante

Como qualquer entidade autenticada no locatário pode ler definições de blueprint, não armazene segredos ou outras informações confidenciais diretamente em uma definição de blueprint ou em seus parâmetros defaultValues. Para segredos, use parâmetros secureString ou secureObject com suporte de referências do Azure Key Vault, que mantêm o valor do segredo no Key Vault em vez de no blueprint.

Para criar planos gráficos, sua conta precisa das seguintes permissões:

  • Microsoft.Blueprint/blueprints/write -Criar uma definição de planta
  • Microsoft.Blueprint/blueprints/artifacts/write - Criar artefatos em uma definição de modelo
  • Microsoft.Blueprint/blueprints/versions/write -Publicar um plano gráfico

Para excluir os planos gráficos, sua conta precisa das seguintes permissões:

  • Microsoft.Blueprint/blueprints/delete
  • Microsoft.Blueprint/blueprints/artifacts/delete
  • Microsoft.Blueprint/blueprints/versions/delete

Observação

As permissões de definição de blueprint devem ser concedidas ou herdadas no escopo de assinatura ou do grupo de gerenciamento em que estão salvas.

Para atribuir ou desatribuir um plano gráfico, sua conta precisa das seguintes permissões:

  • Microsoft.Blueprint/blueprintAssignments/write - Atribuir um modelo
  • Microsoft.Blueprint/blueprintAssignments/delete - Cancelar a atribuição de um plano gráfico

Observação

Como as atribuições de especificações técnicas são criadas em uma assinatura, atribua o plano gráfico e cancelar a atribuição de permissões devem ser concedidas em um escopo de assinatura ou ser herdadas para um escopo de assinatura.

As seguintes funções internas estão disponíveis:

Função do Azure Descrição
Proprietário Além de outras permissões, inclui todas as permissões relacionadas ao Azure Blueprints.
Colaborador Além de outras permissões, pode criar e excluir definições de blueprint, mas não tem permissões de atribuição de blueprint.
Colaborador do Blueprint Pode gerenciar definições de blueprint, mas não as atribuir.
Operador do Blueprint Pode atribuir modelos publicados existentes, mas não pode criar novas definições de modelo. A atribuição de Blueprint só funciona se a atribuição for feita usando uma identidade gerenciada atribuída pelo usuário.

Se essas funções internas não se ajustarem às suas necessidades de segurança, considere a criação de uma função personalizada.

Observação

Se estiver usando uma identidade gerenciada atribuída pelo sistema, a entidade de serviço para o Azure Blueprints requer a função Proprietário na assinatura atribuída para habilitar a implantação. Se estiver usando o portal, essa função é concedida automaticamente e revogada para a implantação. Se usando a API REST, essa função deve ser concedida manualmente, mas é revogada ainda automaticamente após a conclusão da implantação. Se você estiver usando uma identidade gerenciada atribuída pelo usuário, somente o usuário que criar a atribuição blueprint precisará da permissão Microsoft.Blueprint/blueprintAssignments/write, que está incluída nas funções internas Proprietário e Operador de Blueprint.

Limites de nomenclatura

As seguintes limitações existem para determinados campos:

Objeto Campo Caracteres Permitidos Máx. Comprimento
Projeto Nome letras, números, hifens e sublinhados 48
Projeto Versão letras, números, hifens e pontos 20
Atribuição de modelo Nome letras, números, hifens e sublinhados 90
Artefato de blueprint Nome letras, números, hifens e pontos 48

Visão geral em vídeo

A visão geral a seguir do Azure Blueprints é do Azure Fridays. Para baixar um vídeo, acesse Azure Fridays – Uma visão geral do Azure Blueprints no Channel 9.

Descontinuação do Azure Blueprints

Azure Blueprints (versão prévia) será desativada em 31 de janeiro de 2027, com uma aposentadoria em fases a partir de 31 de julho de 2026. Migre suas definições e atribuições de blueprint para Pilhas de implantação do Azure (recomendado) e especificações do modelo antes da data de desativação. Para obter a linha do tempo, o impacto e as diretrizes de migração em fases, consulte:

Próximas etapas

  • Last updated on