SAS belirteci ile özel ARM şablonu dağıtma

Azure Resource Manager şablonunuz (ARM şablonu) bir depolama hesabında bulunduğunda, genel kullanıma açmaktan kaçınmak için şablona erişimi kısıtlayabilirsiniz. Şablon için paylaşılan erişim imzası (SAS) belirteci oluşturarak ve dağıtım sırasında bu belirteci sağlayarak güvenli bir şablona erişebilirsiniz. Bu makalede, SAS belirteciyle bir ARM şablonunu güvenli bir şekilde dağıtmak için Azure PowerShell veya Azure CLI'nin nasıl kullanılacağı açıklanmaktadır.

Aşağıdakileri nasıl yapacağınıza ilişkin yönergelerle özel ARM şablonlarınıza erişimi koruma ve yönetme hakkında bilgi bulabilirsiniz:

• Güvenli kapsayıcı ile depolama hesabı oluşturma
• Şablonu depolama hesabına yükleme
• Dağıtım sırasında SAS belirteci sağlama

Önemli

Özel şablonunuzun güvenliğini SAS belirteci ile sağlamak yerine şablon belirtimlerini kullanmayı göz önünde bulundurun. Şablon belirtimleriyle şablonlarınızı kuruluşunuzdaki diğer kullanıcılarla paylaşabilir ve Azure RBAC aracılığıyla şablonlara erişimi yönetebilirsiniz.

Güvenli kapsayıcı ile depolama hesabı oluşturma

Aşağıdaki betik, şablon güvenliği için genel erişimin kapalı olduğu bir depolama hesabı ve kapsayıcı oluşturur.

PowerShell

New-AzResourceGroup `
  -Name ExampleGroup `
  -Location "Central US"
New-AzStorageAccount `
  -ResourceGroupName ExampleGroup `
  -Name {your-unique-name} `
  -Type Standard_LRS `
  -Location "Central US"
Set-AzCurrentStorageAccount `
  -ResourceGroupName ExampleGroup `
  -Name {your-unique-name}
New-AzStorageContainer `
  -Name templates `
  -Permission Off

Azure CLI

az group create \
  --name "ExampleGroup" \
  --location "Central US"
az storage account create \
    --resource-group ExampleGroup \
    --location "Central US" \
    --sku Standard_LRS \
    --kind Storage \
    --name {your-unique-name}
connection=$(az storage account show-connection-string \
    --resource-group ExampleGroup \
    --name {your-unique-name} \
    --query connectionString)
az storage container create \
    --name templates \
    --public-access Off \
    --connection-string $connection

Depolama hesabına özel şablon yükleme

Artık şablonunuzu depolama hesabına yüklemeye hazırsınız. Kullanmak istediğiniz şablonun yolunu belirtin.

PowerShell

Set-AzStorageBlobContent `
  -Container templates `
  -File c:\Templates\azuredeploy.json

Azure CLI

az storage blob upload \
    --container-name templates \
    --file azuredeploy.json \
    --name azuredeploy.json \
    --connection-string $connection

Dağıtım sırasında SAS belirteci sağlama

Depolama hesabında özel şablon dağıtmak için bir SAS belirteci oluşturun ve şablonun URI'sine ekleyin. Dağıtımı tamamlamak için yeterli süre tanıyacak şekilde süre sonunu ayarlayın.

Önemli

Özel şablonu içeren bloba yalnızca hesap sahibi erişebilir. Ancak blob için bir SAS belirteci oluşturduğunuzda bloba bu URI'ye sahip olan herkes erişebilir. Başka bir kullanıcı URI'yi durdurursa, bu kullanıcı şablona erişebilir. SAS belirteci, şablonlarınıza erişimi sınırlamanın iyi bir yoludur, ancak parolalar gibi hassas verileri doğrudan şablona eklememelisiniz.

PowerShell

# get the URI with the SAS token
$templateuri = New-AzStorageBlobSASToken `
  -Container templates `
  -Blob azuredeploy.json `
  -Permission r `
  -ExpiryTime (Get-Date).AddHours(2.0) -FullUri

# provide URI with SAS token during deployment
New-AzResourceGroupDeployment `
  -ResourceGroupName ExampleGroup `
  -TemplateUri $templateuri

Azure CLI

Aşağıdaki örnek, Cloud Shell'daki Bash ortamıyla birlikte çalışır. Sas belirtecinin süre sonunu oluşturmak için diğer ortamlar farklı söz dizimi gerektirebilir.

expiretime=$(date -u -d '30 minutes' +%Y-%m-%dT%H:%MZ)
connection=$(az storage account show-connection-string \
    --resource-group ExampleGroup \
    --name {your-unique-name} \
    --query connectionString)
token=$(az storage blob generate-sas \
    --container-name templates \
    --name azuredeploy.json \
    --expiry $expiretime \
    --permissions r \
    --output tsv \
    --connection-string $connection)
url=$(az storage blob url \
    --container-name templates \
    --name azuredeploy.json \
    --output tsv \
    --connection-string $connection)
az deployment group create \
  --resource-group ExampleGroup \
  --template-uri $url?$token

Bağlı şablonlarla SAS belirteci kullanma örneği için bkz. Azure Resource Manager ile bağlantılı şablonları kullanma.

Sonraki adımlar

• Şablonları dağıtmaya giriş için bkz. ARM şablonları ve Azure PowerShell ile kaynakları dağıtma.
• Şablonda parametreleri tanımlamak için bkz. Yazma şablonları.