Evaluati impactul unei noi definitii a politicii Azure – Azure Policy

• 31.03.2021
• 5 minute de citit

In acest articol

Politica Azure este un instrument puternic pentru gestionarea resurselor dvs. Azure la standardele de afaceri si pentru a satisface nevoile de conformitate. Cand oamenii, procesele sau conductele creeaza sau actualizeaza resurse, Azure Policy revizuieste solicitarea. Cand efectul de definire a politicii este Modify, Append sau DeployIfNotExists, Policy modifica solicitarea sau o adauga. Cand efectul de definire a politicii este Audit sau AuditIfNotExists, Politica determina crearea unei intrari din jurnalul de activitati pentru resurse noi si actualizate. Si cand efectul de definire a politicii este Refuz, Politica opreste crearea sau modificarea cererii.

Aceste rezultate sunt exact asa cum doriti atunci cand stiti ca politica este definita corect. Cu toate acestea, este important sa validati o noua politica functioneaza conform intentiei inainte de a-i permite sa schimbe sau sa blocheze activitatea. Validarea trebuie sa se asigure ca numai resursele intentionate sunt considerate neconforme si ca nu sunt incluse in mod incorect resurse conforme (cunoscute sub numele de fals pozitiv ) in rezultate.

Abordarea recomandata pentru validarea unei noi definitii a politicii este urmarea acestor pasi:

• Definiti strans politica dvs.
• Verificati resursele existente
• Verificati solicitarile de resurse noi sau actualizate
• Implementati politica dvs. in resurse
• Monitorizare continua

Definiti strans politica dvs.

Este important sa intelegeti modul in care politica de afaceri este implementata ca definitie a politicii si relatia resurselor Azure cu alte servicii Azure. Acest pas este realizat prin identificarea cerintelor si determinarea proprietatilor resursei. Dar este, de asemenea, important sa vedeti dincolo de definitia ingusta a politicii dvs. de afaceri. Politica dvs. stabileste, de exemplu, „Toate masinile virtuale trebuie …”? Dar alte servicii Azure care folosesc VM-uri, cum ar fi HDInsight sau AKS? Atunci cand definim o politica, trebuie sa luam in considerare modul in care aceasta politica are impact asupra resurselor utilizate de alte servicii.

Din acest motiv, definitiile politicii dvs. ar trebui sa fie cat mai bine definite si concentrate pe resurse si proprietatile pe care trebuie sa le evaluati pentru conformitate.

Verificati resursele existente

Inainte de a cauta sa gestionati resurse noi sau actualizate cu noua dvs. definitie a politicii, este mai bine sa vedeti cum evalueaza un subset limitat de resurse existente, cum ar fi un grup de resurse de testare. Utilizati modul de aplicare Dezactivat (DoNotEnforce) la atribuirea politicii dvs. pentru a preveni declansarea efectului sau crearea intrarilor din jurnalul de activitate.

Acest pas va ofera sansa de a evalua rezultatele conformitatii noii politici privind resursele existente fara a afecta fluxul de lucru. Verificati daca nici o resursa conforma nu este marcata ca neconforma ( fals pozitiva ) si ca toate resursele pe care va asteptati sa nu le fie conforme sunt marcate corect. Dupa validarea subsetului initial de resurse conform asteptarilor, extindeti incet evaluarea la toate resursele existente.

Evaluarea resurselor existente in acest mod ofera, de asemenea, o oportunitate de remediere a resurselor neconforme inainte de implementarea completa a noii politici. Aceasta curatare se poate face manual sau printr-o sarcina de remediere daca efectul de definire a politicii este DeployIfNotExists .

Verificati resursele noi sau actualizate

Dupa ce ati validat noua dvs. definitie a politicii raporteaza corect asupra resurselor existente, este timpul sa analizati impactul politicii atunci cand resursele sunt create sau actualizate. Daca definitia politicii accepta parametrizarea efectului, utilizati Audit. Aceasta configuratie va permite sa monitorizati crearea si actualizarea resurselor pentru a vedea daca noua definitie a politicii declanseaza o intrare in jurnalul de activitate Azure pentru o resursa care este neconforma fara a afecta munca sau solicitarile existente.

Este recomandat sa actualizati si sa creati resurse noi care sa corespunda definitiei politicii dvs. pentru a vedea daca efectul de audit este declansat corect atunci cand va asteptati. Cautati cereri de resurse care nu ar trebui sa fie afectate de noua definitie a politicii care declanseaza efectul de audit . Aceste resurse afectate sunt un alt exemplu de fals pozitiv si trebuie sa fie fixate in definitia politicii inainte de implementarea completa.

In cazul in care definitia politicii este modificata in acest stadiu de testare, se recomanda inceperea procesului de validare cu auditul resurselor existente. Este posibil ca o modificare a definitiei politicii pentru un fals pozitiv asupra resurselor noi sau actualizate sa aiba un impact si asupra resurselor existente.

Implementati politica dvs. in resurse

Dupa finalizarea validarii noii definitii a politicii atat cu resurse existente, cat si cu cereri de resurse noi sau actualizate, incepeti procesul de implementare a politicii. Este recomandat sa creati mai intai atribuirea politicii pentru noua definitie a politicii unui subset al tuturor resurselor, cum ar fi un grup de resurse. Dupa validarea implementarii initiale, extindeti domeniul de aplicare al politicii la niveluri din ce in ce mai largi, cum ar fi abonamentele si grupurile de gestionare. Aceasta extindere se realizeaza prin eliminarea atribuirii si crearea uneia noi in domeniile tinta pana cand este atribuita intregului domeniu al resurselor destinate a fi acoperite de noua dvs. definitie a politicii.

In timpul lansarii, daca sunt localizate resurse care ar trebui sa fie exceptate de la noua dvs. definitie a politicii, adresati-le in unul dintre urmatoarele moduri:

• Actualizati definitia politicii pentru a fi mai explicita pentru a reduce impactul neintentionat
• Modificati domeniul de aplicare al atribuirii politicii (prin eliminarea si crearea unei noi sarcini)
• Adaugati grupul de resurse la lista de excluderi pentru atribuirea politicii

Orice modificare a domeniului de aplicare (nivel sau excluderi) ar trebui sa fie pe deplin validata si comunicata cu organizatiile dvs. de securitate si conformitate pentru a se asigura ca nu exista lacune in acoperire.

Monitorizati-va politica si conformitatea

Implementarea si atribuirea definitiei politicii nu este pasul final. Monitorizati continuu nivelul de conformitate al resurselor la noua dvs. definitie de politica si configurati alertele si notificarile Azure Monitor adecvate pentru identificarea dispozitivelor neconforme. De asemenea, se recomanda evaluarea definitiei politicii si a atributiilor aferente pe o baza programata pentru a valida definirea politicii care indeplineste nevoile politicii de afaceri si de conformitate. Politicile ar trebui eliminate daca nu mai sunt necesare. Politicile trebuie, de asemenea, actualizate din cand in cand, pe masura ce resursele Azure subiacente evolueaza si adauga noi proprietati si capabilitati.

Pasii urmatori

• Aflati despre structura de definire a politicilor.
• Aflati despre structura de atribuire a politicilor.
• Intelegeti cum sa creati programatic politici.
• Aflati cum sa obtineti date de conformitate.
• Aflati cum sa remediati resursele neconforme.
• Examinati ce este un grup de management cu Organizati-va resursele cu grupuri de gestionare Azure.