Azure İzleyici için yerleşik ilkeler

Makale
03/16/2023

İlkeler ve ilke girişimleri, Azure İzleyici için tanılama ayarları aracılığıyla büyük ölçekte günlüğe kaydetmeyi etkinleştirmek için basit bir yöntem sağlar. İlke girişimini kullanarak, Azure ortamınızda desteklenen tüm kaynaklar için denetim günlüğünü açabilirsiniz.

Kaynaklarınızda gerçekleşen etkinlikleri ve olayları izlemek için kaynak günlüklerini etkinleştirin ve gerçekleşen değişikliklerle ilgili görünürlük ve içgörüler elde edin. Kaynak günlüklerini etkinleştirmek ve gereksinimlerinize göre hedeflere göndermek için ilkeler atayın. Günlükleri üçüncü taraf SIEM sistemleri için olay hub'larına göndererek sürekli güvenlik işlemlerine olanak tanır. Daha uzun süreli depolama veya mevzuat uyumluluğunun yerine getirilmesi için günlükleri depolama hesaplarına gönderin.

Kaynak günlüklerini Log Analytics Çalışma Alanları, Event Hubs ve Depolama Hesaplarına yönlendirmek için bir dizi yerleşik ilke ve girişim vardır. İlkeler denetim günlüğünü etkinleştirir ve denetim günlüğü kategori grubuna ait günlükleri bir olay hub'ına, Log Analytics çalışma alanına veya Depolama Hesabına gönderir. İlkelerin effect değeridir DeployIfNotExists. Bu ilke, tanımlanmış başka ayarlar yoksa ilkeyi varsayılan olarak dağıtır.

İlkeleri dağıtma.

Portal, CLI, PowerShell veya Azure Kaynak Yönetimi şablonlarını kullanarak ilkeleri ve girişimleri dağıtma

Aşağıdaki adımlarda, anahtar kasaları için denetim günlüklerini log analytics çalışma alanına göndermek üzere ilkenin nasıl uygulanacağı gösterilir.

İlke sayfasında Tanımlar'ı seçin.
Kapsamınızı seçin. Aboneliğin tamamına, kaynak grubuna veya tek bir kaynağa ilke uygulayabilirsiniz.
Tanım türü açılan listesinde İlke'yi seçin.
Kategori açılan listesinden İzleme'yi seçin
Arama alanına keyvault yazın.
Log Analytics'e Anahtar kasaları (microsoft.keyvault/vaults) için Kategoriye göre günlüğe kaydetmeyi etkinleştir ilkesini seçin
İlke tanımı sayfasında Ata'yı seçin
Parametreler sekmesini seçin.
Denetim günlüklerini göndermek istediğiniz Log Analytics Çalışma Alanını seçin.
Düzeltme sekmesini seçin.
Düzeltme sekmesinde, açılan listeyi düzeltmek için İlke'den anahtar kasası ilkesini seçin.
Yönetilen Kimlik Oluştur onay kutusunu seçin.
Yönetilen Kimlik Türü altındaSistem tarafından atanan Yönetilen Kimlik'i seçin.
Gözden geçir + oluştur'u ve ardından Oluştur'u seçin.

CLI kullanarak ilke uygulamak için aşağıdaki komutları kullanın:

kullanarak az policy assignment createbir ilke ataması oluşturun.

  az policy assignment create --name <policy assignment name>  --policy "6b359d8f-f88d-4052-aa7c-32015963ecc1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID"}}" --mi-system-assigned --location <location>

Örneğin, denetim günlüklerini log analytics çalışma alanına göndermek üzere ilkeyi uygulamak için

  az policy assignment create --name "policy-assignment-1"  --policy "6b359d8f-f88d-4052-aa7c-32015963ecc1"  --scope /subscriptions/12345678-aaaa-bbbb-cccc-1234567890ab/resourceGroups/rg-001 --params "{\"logAnalytics\": {\"value\": \"/subscriptions/12345678-aaaa-bbbb-cccc-1234567890ab/resourcegroups/rg-001/providers/microsoft.operationalinsights/workspaces/workspace-001\"}}" --mi-system-assigned --location eastus

İlke ataması için oluşturulan kimliğe gerekli rolü atayın. roleDefinitionIds araması yaparak ilke tanımındaki rolü bulun

   ...},
      "roleDefinitionIds": [
        "/providers/Microsoft.Authorization/roleDefinitions/92aaf0da-9dab-42b6-94a3-d43ce8d16293"
      ],
      "deployment": {
        "properties": {...

kullanarak az policy assignment identity assigngerekli rolü atayın:

az policy assignment identity assign --system-assigned --resource-group <resource group name> --role <role name or ID> --identity-scope </scope> --name <policy assignment name>

Örnek:

az policy assignment identity assign --system-assigned --resource-group rg-001  --role 92aaf0da-9dab-42b6-94a3-d43ce8d16293 --identity-scope /subscriptions/12345678-aaaa-bbbb-cccc-1234567890ab/resourceGroups/rg001 --name policy-assignment-1

kullanarak mevcut kaynakları bulmak için bir tarama tetikleme az policy state trigger-scan.
```
az policy state trigger-scan --resource-group rg-001
```

kullanarak az policy remediation createilkeyi mevcut kaynaklara uygulamak için bir düzeltme görevi oluşturun.

az policy remediation create -g <resource group name> --policy-assignment <policy assignment name> --name <remediation name>

Örneğin,

az policy remediation create -g rg-001 -n remediation-001 --policy-assignment  policy-assignment-1

CLI kullanarak ilke ataması hakkında daha fazla bilgi için bkz. Azure CLI başvurusu - az policy assignment

PowerShell kullanarak ilke uygulamak için aşağıdaki komutları kullanın:

Ortamınızı ayarlayın. Aboneliğinizi seçin ve kaynak grubunuzu ayarlayın

Select-AzSubscription <subscriptionID>
$rg = Get-AzResourceGroup -Name <resource groups name>

İlke tanımını alın ve ilkenin parametrelerini yapılandırın. Aşağıdaki örnekte keyVault günlüklerini Log Analytics çalışma alanına gönderme ilkesini atıyoruz

$definition = Get-AzPolicyDefinition |Where-Object Name -eq 6b359d8f-f88d-4052-aa7c-32015963ecc1
$params =  @{"logAnalytics"="/subscriptions/<subscriptionID/resourcegroups/<resourcgroup>/providers/microsoft.operationalinsights/workspaces/<log anlaytics workspace name>"}

İlke atama

$policyAssignment=New-AzPolicyAssignment -Name <assignment name> -DisplayName "assignment display name" -Scope $rg.ResourceId -PolicyDefinition $definition -PolicyparameterObject $params -IdentityType 'SystemAssigned' -Location <location>

#To get your assignemnt use:
$policyAssignment=Get-AzPolicyAssignment -Name '<assignment name>' -Scope '/subscriptions/<subscriptionID>/resourcegroups/<resource group name>'

Sistem tarafından atanan Yönetilen Kimliğe gerekli rolü veya rolleri atama

    $principalID=$policyAssignment.Identity.PrincipalId
    $roleDefinitionIds=$definition.Properties.policyRule.then.details.roleDefinitionIds
    $roleDefinitionIds | ForEach-Object {
        $roleDefId = $_.Split("/") | Select-Object -Last 1
        New-AzRoleAssignment -Scope $rg.ResourceId -ObjectId $policyAssignment.Identity.PrincipalId -RoleDefinitionId $roleDefId
    }

Uyumluluğu tarayın, ardından mevcut kaynaklara uyumluluğu zorlamak için bir düzeltme görevi oluşturun.

    Start-AzPolicyComplianceScan -ResourceGroupName $rg.ResourceGroupName
    Start-AzPolicyRemediation -Name $policyAssignment.Name -PolicyAssignmentId $policyAssignment.PolicyAssignmentId  -ResourceGroupName $rg.ResourceGroupName

Uyumluluğu denetle

Get-AzPolicyState -PolicyAssignmentName  $policyAssignment.Name -ResourceGroupName $policyAssignment.ResourceGroupName|select-object IsCompliant , ResourceID

İlke, yaklaşık 30 dakika sonra kaynakların tanılama ayarlarında görünür.

Düzeltme görevleri

İlkeler oluşturulduklarında yeni kaynaklara uygulanır. Mevcut kaynaklara ilke uygulamak için bir düzeltme görevi oluşturun. Düzeltme görevleri, kaynakları bir ilkeyle uyumlu hale getirir.

Düzeltme görevleri belirli ilkeler için işlem gerçekleştirir. Birden çok ilke içeren girişimler için, uyumlu hale getirmek istediğiniz kaynaklara sahip olduğunuz girişimdeki her ilke için bir düzeltme görevi oluşturun.

İlkeyi atarken veya atamadan sonraki herhangi bir aşamada düzeltme görevlerini tanımlayın.

İlke ataması sırasında ilkeler için bir düzeltme görevi oluşturmak için İlke ata sayfasındaki Düzeltme sekmesini seçin ve Düzeltme görevi oluştur onay kutusunu seçin.

İlke atandıktan sonra bir düzeltme görevi oluşturmak için, İlke Atamaları sayfasındaki listeden atanan ilkenizi seçin.

İlke düzeltme sayfasını gösteren ekran görüntüsü.

Düzelt'i seçin. İlke Düzeltme sayfasının Düzeltme görevleri sekmesinde düzeltme görevinizin durumunu izleyin.

Yeni düzeltme görevi sayfasını gösteren ekran görüntüsü.

Düzeltme görevleri hakkında daha fazla bilgi için bkz. Uyumsuz kaynakları düzeltme

Girişim atama

Girişimler, ilke koleksiyonlarıdır. Azure İzleyici Tanılama ayarları için üç girişim vardır:

Bu örnekte, Log Analytics çalışma alanına denetim günlükleri gönderme girişimini atıyoruz.

İlke Tanımları sayfasından kapsamınızı seçin.
Tanım türü açılan listesinde Girişim'i seçin.
Kategori açılan listesinde İzleme'yi seçin.
Arama alanına denetim girin.
Log Analytics'e yönelik desteklenen kaynaklar için denetim kategorisi grubu kaynak günlüğünü etkinleştir girişimini seçin.
Aşağıdaki sayfada, ata'yı seçin.
Girişim ata sayfasının Temel bilgiler sekmesinde, girişimin uygulanmasını istediğiniz kapsamı seçin.
Atama adı alanına bir ad girin.
Parametreler sekmesini seçin.

Parametreler, ilkede tanımlanan parametreleri içerir. Bu durumda, günlükleri göndermek istediğimiz Log Analytics çalışma alanını seçmemiz gerekir. Her ilkenin tek tek parametreleri hakkında daha fazla bilgi için bkz. İlkeye özgü parametreler.
Denetim günlüklerinizi göndermek için Log Analytics çalışma alanını seçin.
Gözden geçir ve oluştur'u seçin ve ardından oluşturun.

İlkenizin veya girişim atamanızın çalıştığını doğrulamak için, ilke atamanızda tanımladığınız abonelik veya kaynak grubu kapsamında bir kaynak oluşturun.

10 dakika sonra kaynağınız için Tanılama ayarları sayfasını seçin. Tanılama ayarınız listede varsayılan adı setByPolicy-LogAnalytics ve ilkede yapılandırdığınız çalışma alanı adıyla gösterilir.

Bir kaynağın Tanılama ayarı sayfasını gösteren ekran görüntüsü.

Yalnızca giriş veya gözden geçirme gerektiren parametreleri göster onay kutusunun seçimini kaldırarak Girişimi veya ilkeyi ata sayfasının Parametreler sekmesindeki varsayılan adı değiştirin.

Onay kutusunun seçili olmadığını gösteren edit-initiative-assignment sayfasını gösteren ekran görüntüsü.

Ortam değişkenlerinizi ayarlama

# Set up  your environment variables.
$subscriptionId = <your subscription ID>;
$rg = Get-AzResourceGroup -Name <your resource group name>;
Select-AzSubscription $subscriptionId;
$logAnlayticsWorskspaceId=</subscriptions/$subscriptionId/resourcegroups/$rg.ResourceGroupName/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>;

Girişim tanımını alın. Bu örnekte, 'Log Analytics, ResourceID "/providers/Microsoft.Authorization/policySetDefinitions/f5b29bc4-feca-4cc6-a58a-772dd5e290a5" için Desteklenen kaynaklar için Initiative Enable audit category group resource logging komutunu kullanacağız
```
$definition = Get-AzPolicySetDefinition |Where-Object ResourceID -eq /providers/Microsoft.Authorization/policySetDefinitions/f5b29bc4-feca-4cc6-a58a-772dd5e290a5;
```

Bir atama adı ayarlayın ve parametreleri yapılandırın. Bu girişim için parametreler Log Analytics çalışma alanı kimliğini içerir.

$assignmentName=<your assignment name>;
$params =  @{"logAnalytics"="/subscriptions/$subscriptionId/resourcegroups/$($rg.ResourceGroupName)/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>"}

Parametreleri kullanarak girişimi atama

$policyAssignment=New-AzPolicyAssignment -Name $assignmentName  -Scope $rg.ResourceId -PolicySetDefinition $definition -PolicyparameterObject $params -IdentityType 'SystemAssigned' -Location eastus;

Contributor Rolü sistem tarafından atanan Yönetilen Kimliğe atayın. Diğer girişimler için hangi rollerin gerekli olduğunu denetleyin.
```
 New-AzRoleAssignment -Scope $rg.ResourceId -ObjectId $policyAssignment.Identity.PrincipalId -RoleDefinitionName Contributor;
```
İlke uyumluluğunu tarayın. Komutun Start-AzPolicyComplianceScan döndürülmesi birkaç dakika sürer
```
Start-AzPolicyComplianceScan -ResourceGroupName $rg.ResourceGroupName;
```

Öğesini çağırarak düzeltecek kaynakların listesini ve gerekli parametreleri alma Get-AzPolicyState

$assignmentState=Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName;   
$policyAssignmentId=$assignmentState.PolicyAssignmentId[0];
$policyDefinitionReferenceIds=$assignmentState.PolicyDefinitionReferenceId;

Uyumlu olmayan kaynaklara sahip her kaynak türü için bir düzeltme görevi başlatın.

    $policyDefinitionReferenceIds | ForEach-Object {
          $referenceId = $_
          Start-AzPolicyRemediation -ResourceGroupName $rg.ResourceGroupName  -PolicyAssignmentId $policyAssignmentId   -PolicyDefinitionReferenceId $referenceId -Name "$($rg.ResourceGroupName) remediation $referenceId";
    }

Düzeltme görevleri tamamlandığında uyumluluk durumunu denetleyin.

Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName|select-object IsCompliant , ResourceID

aşağıdaki komutu kullanarak ilke atama ayrıntılarınızı alabilirsiniz:

  $policyAssignment=Get-AzPolicyAssignment -Name $assignmentName -Scope "/subscriptions/$subscriptionId/resourcegroups/$($rg.ResourceGroupName)";

komutunu kullanarak az login Azure hesabınızda oturum açın.
komutunu kullanarak az account set ilke girişimini uygulamak istediğiniz aboneliği seçin.

kullanarak girişimi atayın az policy assignment create.

az policy assignment create --name <assignment name> --resource-group <resource group name> --policy-set-definition <initiative name> --params <parameters object> --mi-system-assigned --location <location>

Örnek:

az policy assignment create --name "assign-cli-example-01" --resource-group "cli-example-01" --policy-set-definition 'f5b29bc4-feca-4cc6-a58a-772dd5e290a5' --params '{"logAnalytics":{"value":"/subscriptions/12345678-aaaa-bbbb-cccc-1234567890ab/resourcegroups/cli-example-01/providers/microsoft.operationalinsights/workspaces/cli-example-01-ws"}, "diagnosticSettingName":{"value":"AssignedBy-cli-example-01"}}' --mi-system-assigned --location eastus

Sistem tarafından yönetilen kimliğe gerekli rolü atama

RoleDefinitionIds tanımını arayarak girişimdeki ilke tanımlarından herhangi birinde atanacak rolleri bulun, örneğin:

   ...},
      "roleDefinitionIds": [
        "/providers/Microsoft.Authorization/roleDefinitions/92aaf0da-9dab-42b6-94a3-d43ce8d16293"
      ],
      "deployment": {
        "properties": {...

kullanarak az policy assignment identity assigngerekli rolü atayın:

az policy assignment identity assign --system-assigned --resource-group <resource group name> --role <role name or ID> --identity-scope <scope> --name <policy assignment name>

Örnek:

az policy assignment identity assign --system-assigned --resource-group "cli-example-01" --role 92aaf0da-9dab-42b6-94a3-d43ce8d16293 --identity-scope "/subscriptions/12345678-aaaa-bbbb-cccc-1234567890ab/resourcegroups/cli-example-01" --name assign-cli-example-01

Girişimdeki ilkeler için düzeltme görevleri oluşturun.

Düzeltme görevleri ilke başına oluşturulur. Her görev, girişimde olarak belirtilen belirli definition-reference-idbir öğesine yöneliktir policyDefinitionReferenceId. parametresini definition-reference-id bulmak için aşağıdaki komutu kullanın:

az policy set-definition show --name f5b29bc4-feca-4cc6-a58a-772dd5e290a5 |grep policyDefinitionReferenceId

kullanarak kaynakları düzeltme az policy remediation create

az policy remediation create --resource-group <resource group name> --policy-assignment <assignment name> --name <remediation task name> --definition-reference-id  "policy specific reference ID"  --resource-discovery-mode ReEvaluateCompliance

Örnek:

az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name "rem-assign-cli-example-01" --definition-reference-id  "keyvault-vaults"  --resource-discovery-mode ReEvaluateCompliance

Girişimdeki tüm ilkeler için bir düzeltme görevi oluşturmak için aşağıdaki örneği kullanın:

for policyDefinitionReferenceId in $(az policy set-definition show --name f5b29bc4-feca-4cc6-a58a-772dd5e290a5 |grep policyDefinitionReferenceId |cut -d":" -f2|sed s/\"//g) 
do 
    az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name remediate-$policyDefinitionReferenceId --definition-reference-id $policyDefinitionReferenceId; 
done

Ortak parametreler

Aşağıdaki tabloda her ilke kümesi için ortak parametreler açıklanmaktadır.

Parametre	Açıklama	Geçerli Değerler	Varsayılan
etki	İlkenin yürütülmesini etkinleştirme veya devre dışı bırakma	DeployIfNotExists, AuditIfNotExists, Devre dışı	DeployIfNotExists
diagnosticSettingName	Tanılama Ayarı Adı		setByPolicy-LogAnalytics
categoryGroup	Tanılama kategorisi grubu	Hiçbiri Denetim allLogs	Denetim

İlkeye özgü parametreler

Log Analytics ilke parametreleri

Bu ilke, günlükleri Log Analytics çalışma alanına yönlendirmek için kategori grubu kullanarak bir tanılama ayarı dağıtır.

Parametre	Açıklama	Geçerli Değerler	Varsayılan
resourceLocationList	Günlükleri yakındaki Log Analytics'e göndermek için Kaynak Konumu Listesi. "*" tüm konumları seçer	Desteklenen konumlar	*
logAnalytics	Log Analytics Çalışma Alanı

Event Hubs ilke parametreleri

Bu ilke, günlükleri bir olay hub'ına yönlendirmek için kategori grubu kullanarak bir tanılama ayarı dağıtır.

Parametre	Açıklama	Geçerli Değerler	Varsayılan
resourceLocation	Kaynak Konumu, olay hub'ı Ad Alanı ile aynı konumda olmalıdır	Desteklenen konumlar
eventHubAuthorizationRuleId	Olay hub'ı Yetkilendirme Kuralı Kimliği. Yetkilendirme kuralı olay hub'ı ad alanı düzeyindedir. Örneğin, /subscriptions/{subscription ID}/resourceGroups/{resource group}/providers/Microsoft.EventHub/namespaces/{Event Hub namespace}/authorizationrules/{authorization rule}
eventHubName	Olay hub'ı adı		İzleme

Depolama Hesapları ilke parametreleri

Bu ilke, günlükleri depolama hesabına yönlendirmek için kategori grubu kullanarak bir tanılama ayarı dağıtır.

Parametre	Açıklama	Geçerli Değerler	Varsayılan
resourceLocation	Kaynak Konumu, Depolama Hesabı ile aynı konumda olmalıdır	Desteklenen konumlar
storageAccount	Depolama Hesabı resourceId

Desteklenen Kaynaklar

Aşağıdaki kaynaklar için Log Analytics çalışma alanları, Event Hubs ve Depolama Hesapları için yerleşik Denetim günlükleri ilkeleri vardır:

microsoft.agfoodplatform/farmbeats
microsoft.apimanagement/service
microsoft.appconfiguration/configurationstores
microsoft.attestation/attestationproviders
microsoft.automation/automationaccounts
microsoft.avs/privateclouds
microsoft.cache/redis
microsoft.cdn/profiles
microsoft.cognitiveservices/accounts
microsoft.containerregistry/registries
microsoft.devices/iothubs
microsoft.eventgrid/topics
microsoft.eventgrid/domains
microsoft.eventgrid/partnernamespaces
microsoft.eventhub/ad alanları
microsoft.keyvault/vaults
microsoft.keyvault/managedhsms
microsoft.machinelearningservices/workspaces
microsoft.media/mediaservices
microsoft.media/videoanalyzers
microsoft.netapp/netappaccounts/capacitypools/volumes
microsoft.network/publicipaddresses
microsoft.network/virtualnetworkgateways
microsoft.network/p2svpngateways
microsoft.network/frontdoors
microsoft.network/bastionhosts
microsoft.operationalinsights/workspaces
microsoft.purview/accounts
microsoft.servicebus/namespaces
microsoft.signalrservice/signalr
microsoft.signalrservice/webpubsub
microsoft.sql/servers/databases
microsoft.sql/managedinstances

Azure İzleyici için yerleşik ilkeler

İlkeleri dağıtma.

Düzeltme görevleri

Girişim atama

Ortak parametreler

İlkeye özgü parametreler

Log Analytics ilke parametreleri

Event Hubs ilke parametreleri

Depolama Hesapları ilke parametreleri

Desteklenen Kaynaklar

Sonraki Adımlar

Ek kaynaklar