Руководство по Защита новых ресурсов с помощью блокировок ресурсов Azure Blueprints

Важно!

11 июля 2026 г. схемы (предварительная версия) будут объявлены нерекомендуемыми. Перенос существующих определений и назначений схем в спецификации шаблонов и стеки развертывания. Артефакты схемы необходимо преобразовать в шаблоны JSON ARM или файлы Bicep, используемые для определения стеков развертывания. Чтобы узнать, как создать артефакт в качестве ресурса ARM, см. следующие статьи:

• Политика
• RBAC
• Развертывания

Блокировки ресурсов Azure Blueprints позволяют защитить новые развернутые ресурсы от незаконного изменения даже из учетной записи с ролью Владелец. Такую защиту можно добавить в определения схем ресурсов, созданных с помощью артефакта шаблона Azure Resource Manager (шаблона ARM). Блокировка ресурсов схемы задается при назначении схемы.

При работе с этим руководством вы выполните следующие шаги:

• Создание определения схемы
• установка определению схемы метки Опубликовано;
• назначение определения схемы в существующую подписку (настройка блокировки ресурсов);
• проверка новой группы ресурсов;
• отмена назначения схемы для удаления блокировок.

Предварительные требования

Если у вас еще нет подписки Azure, создайте бесплатную учетную запись, прежде чем начинать работу.

Создание определения схемы

Сначала создайте определение схемы.

1. Выберите Все службы в левой области. Найдите и выберите пункт Схемы.

2. На странице Начало работы с левой стороны в разделе Создание схемы нажмите кнопку Создать.

3. В верхней части страницы найдите пример схемы Пустая схема. Выберите Начать с пустой схемы.

4. На вкладке Основные сведения введите следующие данные:

   • Имя схемы. Укажите имя для копии образца схемы. В этом руководстве мы будем использовать имя locked-storageaccount.
   • Описание схемы. Добавьте описание для определения схемы. Например: Для проверки блокировки ресурсов схемы на развернутых ресурсах.
   • Расположение определения. Нажмите кнопку с многоточием (...) и выберите группу управления или подписку, в которую будет сохранено определение схемы.

5. В верхней части страницы выберите вкладку Артефакты или внизу страницы щелкните Далее: Артефакты.

6. Добавьте группу ресурсов на уровне подписки.

   1. В разделе Подписка выберите строку Добавить артефакт.
   2. В поле Тип артефакта выберите Группа ресурсов.
   3. Для отображаемого имени артефакта задайте значение RGtoLock.
   4. Оставьте поля Имя группы ресурсов и Расположение пустыми, но убедитесь, что установлен флажок для каждого свойства, чтобы сделать их динамическими параметрами.
   5. Нажмите кнопку Добавить, чтобы добавить артефакт в схему.

7. Добавьте шаблон в группу ресурсов:

   1. Под записью RGtoLock щелкните строку Добавить артефакт.

   2. В поле Тип артефакта выберите Шаблон Azure Resource Manager, для параметра Отображаемое имя артефакта укажите значение StorageAccount, а поле Описание оставьте пустым.

   3. На вкладке Шаблон в окне редактора вставьте следующий шаблон ARM. Вставив шаблон, щелкните Добавить, чтобы добавить этот артефакт к схеме.

      Примечание

      Этот шаг определяет развертываемые ресурсы, которые блокируются с помощью блокировки ресурсов схемы, но не включает саму блокировку ресурсов схемы. Блокировки ресурсов схемы задаются в качестве параметра назначения схемы.

   {
       "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
       "contentVersion": "1.0.0.0",
       "parameters": {
           "storageAccountType": {
               "type": "string",
               "defaultValue": "Standard_LRS",
               "allowedValues": [
                   "Standard_LRS",
                   "Standard_GRS",
                   "Standard_ZRS",
                   "Premium_LRS"
               ],
               "metadata": {
                   "description": "Storage Account type"
               }
           }
       },
       "variables": {
           "storageAccountName": "[concat('store', uniquestring(resourceGroup().id))]"
       },
       "resources": [{
           "type": "Microsoft.Storage/storageAccounts",
           "name": "[variables('storageAccountName')]",
           "location": "[resourceGroup().location]",
           "apiVersion": "2018-07-01",
           "sku": {
               "name": "[parameters('storageAccountType')]"
           },
           "kind": "StorageV2",
           "properties": {}
       }],
       "outputs": {
           "storageAccountName": {
               "type": "string",
               "value": "[variables('storageAccountName')]"
           }
       }
   }
   

8. В нижней части страницы нажмите Сохранить черновик.

На этом шаге в выбранной группе управления или подписке создается определение схемы.

Когда на портале появится уведомление Определение схемы успешно сохранено, перейдите к следующему шагу.

Публикация определения схемы

Теперь в вашей среде создано определение схемы. Оно создано в режиме Черновик, и прежде чем назначить и развернуть эту копию, ее необходимо опубликовать.

1. Выберите Все службы в левой области. Найдите и выберите пункт Схемы.

2. В меню слева выберите страницу Определения схем. С помощью фильтров найдите определение схемы locked-storageaccount и выберите его.

3. В верхней части страницы выберите Опубликовать схему. На новой панели справа задайте для параметра Версия значение 1.0. Это свойство можно использовать, если вы собираетесь внести изменения позже. Введите описание в поле Сведения об изменениях, например Опубликована первая версия для блокировки ресурсов, развернутых в схеме. Затем щелкните Опубликовать в нижней части страницы.

На этом шаге можно назначить схему подписке. После публикации определения схемы вы все равно сможете вносить изменения. Если вы вносите изменения, опубликуйте определение с новым значением версии, чтобы отслеживать различия между версиями одного определения схемы.

Когда на портале появится уведомление Определение схемы опубликовано, перейдите к следующему шагу.

Назначение определения схемы

Опубликовав определение схемы, можете назначить его подписке в пределах группы управления, в которой вы сохранили определение. На этом шаге вы укажете параметры, которые позволяют сделать каждое развертывание определения схемы уникальным.

1. Выберите Все службы в левой области. Найдите и выберите пункт Схемы.

2. В меню слева выберите страницу Определения схем. С помощью фильтров найдите определение схемы locked-storageaccount и выберите его.

3. В верхней части страницы определения схемы выберите Назначить схему.

4. Укажите значения параметра для назначения схемы.

   • Основы

     • Подписки. Выберите одну или несколько подписок, которые находятся в группе управления, где вы сохранили определение схемы. Если вы выберете несколько подписок, для каждой из них будет создано назначение с использованием введенных вами параметров.
     • Имя назначения. Имя предварительно заполняется на основе имени определения схемы. Так как мы хотим, чтобы это назначение представляло блокировку новой группы ресурсов, измените его имя на assignment-locked-storageaccount-TestingBPLocks.
     • Расположение. Выберите регион, в котором будет создано управляемое удостоверение. Azure Blueprints использует это управляемое удостоверение для развертывания всех артефактов в назначенной схеме. Дополнительные сведения см. в статье Управляемые удостоверения для ресурсов Azure. Для этого руководства выберите регион Восточная часть США 2.
     • Версия определения схемы. Выберите опубликованную версию 1.0 определения схемы.

   • Блокировка назначения

     Выберите режим блокировки схемы Только для чтения. Дополнительные сведения см. в разделе Блокировка ресурсов схем.

     Примечание

     На этом шаге выполняется настройка блокировки ресурсов схемы для только что развернутых ресурсов.

   • Управляемое удостоверение

     Используйте параметр по умолчанию: Назначено системой. Дополнительные сведения см. в статье Что такое управляемые удостоверения для ресурсов Azure?

   • Параметры артефакта

     Параметры, определенные в этом разделе, применяются к артефакту, под которым они определены. Так как эти параметры определяются во время назначения схемы, они являются динамическими. Для каждого артефакта задайте значение параметра, отображаемое в столбце Значение.

     Имя артефакта	Тип артефакта	Имя параметра	Значение	Описание
     Группа ресурсов RGtoLock	Группа ресурсов	Имя	TestingBPLocks	Определяет имя новой группы ресурсов, к которой необходимо применить блокировки схемы.
     Группа ресурсов RGtoLock	Группа ресурсов	Расположение	западная часть США 2	Определяет расположение новой группы ресурсов, к которой необходимо применить блокировки схемы.
     StorageAccount	Шаблон Resource Manager	storageAccountType (StorageAccount)	Standard_GRS	Номер SKU хранилища. Значение по умолчанию — Standard_LRS.

5. Когда укажете все параметры, в нижней части страницы выберите Назначить.

На этом шаге происходит развертывание определенных ресурсов и настройка выбранного назначения блокировки. Для применения блокировок схемы понадобится до 30 минут.

Когда на портале появится уведомление Определение схемы назначено, перейдите к следующему шагу.

Просмотр ресурсов, развернутых назначением

При назначении создается группа ресурсов TestingBPLocks и учетная запись хранения, развернутая артефактом шаблона ARM. Новая группа ресурсов и выбранное состояние блокировки отображаются на странице сведений о назначении.

1. Выберите Все службы в левой области. Найдите и выберите пункт Схемы.

2. Слева выберите страницу Назначенные схемы. С помощью фильтров найдите назначение схемы assignment-locked-storageaccount-TestingBPLocks и выберите его.

   На этой странице можно убедиться, что назначение прошло успешно, а ресурсы развернуты с новым состоянием блокировки схемы. При обновлении назначения в раскрывающемся списке Операция назначения отображаются сведения о развертывании каждой версии определения. Чтобы открыть страницу свойств, выберите группу ресурсов.

3. Выберите группу ресурсов TestingBPLocks.

4. В области слева откройте страницу Управление доступом (IAM) . Затем выберите вкладку Назначения ролей.

   На этой вкладке назначение схемы assignment-locked-storageaccount-TestingBPLocks имеет роль Владелец. Это обусловлено тем, что эта роль использовалась для развертывания и блокировки группы ресурсов.

5. Выберите вкладку Запрет назначений.

   В развернутой группе ресурсов назначение схемы создало запрет назначения, чтобы принудительно применить режим блокировки схемы Только для чтения. Запрет назначения не дает пользователю с соответствующими правами выполнять определенные действия на вкладке Назначения ролей. Запрет назначения влияет на все субъекты.

   Сведения об исключении субъекта из запрета назначения см. в статье о блокировке ресурсов схемы.

6. Выберите запрет назначения, а затем откройте страницу Отклоненные разрешения в области слева.

   Назначение запрета блокирует все операции с конфигурацией* и Действие, но разрешает доступ на чтение, исключая */read через NotActions.

7. В элементе навигации портала Azure выберите TestingBPLocks — Управление доступом (IAM) . Затем в левом меню перейдите на страницу Обзор и щелкните кнопку Удалить группу ресурсов. Чтобы подтвердить удаление, введите имя TestingBPLocks и в нижней части панели выберите Удалить.

   На портале появится уведомление Удаление группы ресурсов TestingBPLocks завершилось сбоем. Ошибка указывает на то, что хотя в вашей учетной записи и есть разрешение на удаление группы ресурсов, назначение схемы запрещает доступ к ней. Помните, что при назначении схемы мы выбрали режим блокировки схемы Только для чтения. Блокировка схемы предотвращает удаление ресурсов учетной записью с разрешением (даже с ролью Владелец). Дополнительные сведения см. в разделе Блокировка ресурсов схем.

Согласно этим действиям, теперь развернутые ресурсы защищены с помощью блокировок схемы, которые не допускают нежелательное удаление, даже из учетной записи с разрешением на это удаление.

Отмена назначения схемы

Последнее, что нужно сделать, — это удалить назначение определения схемы. При удалении назначения связанные артефакты не удаляются.

1. Выберите Все службы в левой области. Найдите и выберите пункт Схемы.

2. Слева выберите страницу Назначенные схемы. С помощью фильтров найдите назначение схемы assignment-locked-storageaccount-TestingBPLocks и выберите его.

3. В верхней части страницы выберите Отменить назначение схемы. Прочтите предупреждение в диалоговом окне подтверждения, а затем щелкните ОК.

   Блокировки схемы удаляются вместе с назначением схемы. Удаление ресурсов из учетных записей с соответствующими разрешениями снова возможно.

4. В меню Azure выберите Группы ресурсов, а затем щелкните TestingBPLocks.

5. В меню слева выберите страницу Управление доступом (IAM) и перейдите на вкладку Назначения ролей.

Безопасность группы ресурсов указывает, что в назначении схемы больше нет доступа уровня Владелец.

Когда на портале появится уведомление Назначение схемы удалено, перейдите к следующему шагу.

Очистка ресурсов

После работы с этим руководством удалите такие ресурсы:

• группу ресурсов TestingBPLocks;
• определение схемы locked-storageaccount.

Дальнейшие действия

В этом учебнике вы узнали, как защитить новые ресурсы, развернутые с помощью службы Azure Blueprints. Чтобы узнать больше о схемах Azure, перейдите к статье о жизненном цикле схемы.

Ознакомьтесь со сведениями о жизненном цикле схем