Aracılığıyla paylaş

Azure İlkesi kanıtlama yapısı

Azure İlkesi, el ile yapılandırılan ilkeler tarafından hedeflenen kaynakların veya kapsamların uyumluluk durumlarını ayarlamak için doğrulamalar kullanır. Ayrıca kullanıcıların daha fazla meta veri sağlamasına veya kanıtlanan uyumluluk durumuna eşlik eden kanıtlara bağlantı sağlamasına da olanak tanır.

Not

Kanıtlamalar yalnızca Azure İlkesi Azure Resource Manager (ARM) API'si, PowerShell veya Azure CLI aracılığıyla oluşturulabilir ve yönetilebilir.

En iyi yöntemler

Doğrulamalar, belirli bir manuel politika için bir kaynağın uyumluluk durumunu ayarlamak amacıyla kullanılabilir. Geçerli olan her kaynak, manuel politika ataması başına bir kanıtlama gerektirir. Yönetim kolaylığı için, uyumluluk durumunun kanıtlanması gereken kaynakların sınırını tanımlayan kapsamı hedeflemek için el ile ilkeler tasarlanmalıdır.

Örneğin, bir kuruluşun ekipleri kaynak grubuna böldüğünü ve her ekibin bu kaynak grubu içindeki kaynakları işlemeye yönelik yordamların geliştirilmesini test etmek için gerekli olduğunu varsayalım. Bu senaryoda, ilke kuralının koşulları türün Microsoft.Resources/resourceGroups eşit olmasını belirtmelidir. Bu şekilde, kaynak grubundaki her bir kaynak yerine sadece kaynak grubu için bir doğrulama gerekir. Benzer şekilde, kuruluş ekipleri aboneliklere bölüyorsa, ilke Microsoft.Resources/subscriptions hedeflenmelidir.

Genellikle, sağlanan kanıtlar kuruluş yapısının ilgili kapsamlarına karşılık gelir. Bu düzen, birçok kanıtlamada kanıt yineleme gereksinimini önler. Bu tür yinelemeler, el ile ilkelerin yönetilmesini zor hale getirir ve ilke tanımının yanlış kaynakları hedeflediğini gösterir.

Örnek kanıtlama

Aşağıdaki örnek, el ile ilke ataması tarafından hedeflenen bir kaynak grubunun uyumluluk durumunu ayarlayan yeni bir kanıtlama kaynağı oluşturur:

PUT http://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.PolicyInsights/attestations/{name}?api-version=2019-10-01

İstek gövdesi

Aşağıdaki kod örnek bir kanıtlama kaynağı JSON nesnesidir:

"properties": {
  "policyAssignmentId": "/subscriptions/{subscriptionID}/providers/microsoft.authorization/policyassignments/{assignmentID}",
  "policyDefinitionReferenceId": "{definitionReferenceID}",
  "complianceState": "Compliant",
  "expiresOn": "2023-07-14T00:00:00Z",
  "owner": "{AADObjectID}",
  "comments": "This subscription has passed a security audit. See attached details for evidence",
  "evidence": [
    {
      "description": "The results of the security audit.",
      "sourceUri": "https://gist.github.com/contoso/9573e238762c60166c090ae16b814011"
    },
    {
      "description": "Description of the attached evidence document.",
      "sourceUri": "https://contoso.blob.core.windows.net/contoso-container/contoso_file.docx"
    },
  ],
  "assessmentDate": "2022-11-14T00:00:00Z",
  "metadata": {
    "departmentId": "{departmentID}"
  }
}
Mülk Açıklama
policyAssignmentId Durumun ayarlandığı ilgili görevin gerekli atama kimliği.
policyDefinitionReferenceId Politika girişimi içindeyse isteğe bağlı tanım başvuru kimliği.
complianceState Kaynakların istenen durumu. İzin verilen değerler , Compliantve NonCompliantdeğerleridirUnknown.
expiresOn Uyumluluk durumunun, doğrulanmış uyumluluk durumundan varsayılan duruma geri döndürülmesi gereken isteğe bağlı tarih.
owner Sorumlu tarafın isteğe bağlı Microsoft Entra ID nesne kimliği.
comments Durumun neden ayarlandığının isteğe bağlı açıklaması.
evidence Kanıtlama kanıtına yönelik isteğe bağlı bağlantı dizisi.
assessmentDate Kanıtın değerlendirildiği tarih.
metadata Kanıtlama hakkında isteğe bağlı ek bilgiler.

Kanıtlamalar ilke atamalarından ayrı bir kaynak olduğundan, kendi yaşam döngüleri vardır. Azure Resource Manager API'sini kullanarak PUT, GET ve DELETE kanıtlamalarını kullanabilirsiniz. İlişkili manuel ilke ataması veya policyDefinitionReferenceId silinirse ya da kanıtlama için özgün bir kaynak silinirse, kanıtlamalar kaldırılır. Daha fazla bilgi için İlke REST API Başvurusu'na gidin.

Sonraki adımlar

  • Last updated on