Skapa diagnostikinställningar i stor skala med hjälp av inbyggda Azure-principer

Använd följande steg för att tillämpa ett initiativ eller en princip med hjälp av Azure-portalen.

1. På sidan Princip i Azure-portalen väljer du Definitioner.

2. Ange följande filter:

   1. För Kategorin väljer du Övervakning.
   2. Som Definitionstyp väljer du Initiativ eller Princip.

3. Leta upp och välj det initiativ eller den princip som du vill tilldela.

   1. För initiativ skriver du granskning eller allLogs i fältet Sök och väljer sedan initiativet för ditt mål.

      

   2. För principer skriver du namnet på resurstypen i fältet Sök och väljer sedan principen för resurstypen och målet. Exemplet nedan skickar data från Key Vault till en Log Analytics-arbetsyta.

      

4. På definitionssidan väljer du Tilldela initiativ.

   

5. Ange ett omfång för tilldelningen. Omfånget kan vara en hanteringsgrupp, prenumeration eller resursgrupp. Initiativet eller principen tillämpas på alla resurser inom omfånget.

   

6. Välj fliken Parametrar och välj sedan det specifika mål där du vill skicka loggarna. Den här informationen varierar för varje måltyp. Mer information om parametrarna för varje måltyp finns i Parametrar .

   

7. Välj fliken Reparation . Detta tillämpar principen på befintliga resurser i omfånget. Utan en reparationsaktivitet gäller initiativet eller principtilldelningen endast för nya resurser som skapats efter tilldelningen.

8. Aktivera kryssrutan Skapa en reparationsuppgift och se sedan till att Skapa en hanterad identitet är aktiverat. Under Typ av hanterad identitet väljer du Systemtilldelad hanterad identitet.

   

9. Välj Granska + skapa och välj sedan Skapa .

Använd kommandot New-AzPolicyAssignment för att skapa en tilldelning för ett initiativ eller policy. I följande exempel visas hur du tilldelar initiativet för att skicka audit kategorigruppsloggar till en Log Analytics-arbetsyta.

1. Konfigurera miljövariabler

   $subscriptionId = <your subscription ID>;
   $rg = Get-AzResourceGroup -Name <your resource group name>;
   Select-AzSubscription $subscriptionId;
   $logAnalyticsWorkspaceId=</subscriptions/$subscriptionId/resourcegroups/$rg.ResourceGroupName/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>;
   

2. Hämta definitionen med antingen Get-AzPolicySetDefinition för initiativ eller Get-AzPolicyDefinition för principer.

   # Initiative
   $definition = Get-AzPolicySetDefinition | Where-Object {$_.DisplayName -eq 'Enable allLogs category group resource logging for supported resources to Log Analytics'}
   
   # Policy
   $definition = Get-AzPolicyDefinition | Where-Object {$_.DisplayName -eq 'Enable logging by category group for Key vaults (microsoft.keyvault/vaults) to Log Analytics'}
   

3. Ange ett tilldelningsnamn och konfigurera parametrar. I det här exemplet innehåller parametrarna Log Analytics-arbetsyte-ID. Mer information om parametrarna för andra måltyper finns i Parametrar .

   $assignmentName = <your assignment name>;
   $params =  @{"logAnalytics"="/subscriptions/$subscriptionId/resourcegroups/$($rg.ResourceGroupName)/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>"}  
   

4. Skapa tilldelningen med hjälp av parametrarna.

   $policyAssignment=New-AzPolicyAssignment -Name $assignmentName  -Scope $rg.ResourceId -PolicySetDefinition $definition -PolicyparameterObject $params -IdentityType 'SystemAssigned' -Location eastus
   

5. Contributor Tilldela rollen till den systemtilldelade hanterade identiteten. För andra initiativ kontrollerar du vilka roller som krävs.

    New-AzRoleAssignment -Scope $rg.ResourceId -ObjectId $policyAssignment.Identity.PrincipalId -RoleDefinitionName Contributor
   

6. Sök efter principefterlevnad. Det Start-AzPolicyComplianceScan tar några minuter att returnera kommandot

   Start-AzPolicyComplianceScan -ResourceGroupName $rg.ResourceGroupName;
   

7. Hämta en lista över resurser som ska åtgärdas och de obligatoriska parametrarna genom att anropa Get-AzPolicyState

   $assignmentState=Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName;   
   $policyAssignmentId=$assignmentState.PolicyAssignmentId[0];
   $policyDefinitionReferenceIds=$assignmentState.PolicyDefinitionReferenceId;
   

8. Starta en reparationsaktivitet för varje resurstyp med inkompatibla resurser.

       $policyDefinitionReferenceIds | ForEach-Object {
             $referenceId = $_
             Start-AzPolicyRemediation -ResourceGroupName $rg.ResourceGroupName  -PolicyAssignmentId $policyAssignmentId   -PolicyDefinitionReferenceId $referenceId -Name "$($rg.ResourceGroupName) remediation $referenceId";
       }
   

9. Kontrollera efterlevnadstillståndet när reparationsuppgifterna har slutförts.

   Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName|select-object IsCompliant, ResourceID
   

Använd följande kommandon för att tillämpa en princip med hjälp av CLI. Mer information om principtilldelning via CLI finns i Azure CLI-referens – az policy assignment.

1. Skapa en principtilldelning med .az policy assignment create Detta kräver namnet eller ID:t för initiativ- eller principdefinitionen i stället för visningsnamnet.

   # Initiative        
   az policy assignment create --name <policy assignment name>  --policy-set-definition "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID>\"}}" --mi-system-assigned --location <location>
   
   # Policy
   az policy assignment create --name <policy assignment name>  --policy "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID"}}" --mi-system-assigned --location <location>
   

2. Tilldela den nödvändiga rollen till den identitet som skapats för principtilldelningen. Hitta rollen i principdefinitionen genom att söka efter roleDefinitionIds

      ...},
         "roleDefinitionIds": [
           "/providers/Microsoft.Authorization/roleDefinitions/92aaf0da-9dab-42b6-94a3-d43ce8d16293"
         ],
         "deployment": {
           "properties": {...
   

   Tilldela den nödvändiga rollen med hjälp av az policy assignment identity assign:

   az policy assignment identity assign --system-assigned --resource-group <resource group name> --role <role name or ID> --identity-scope </scope> --name <policy assignment name>
   

   Till exempel:

   az policy assignment identity assign --system-assigned --resource-group rg-001  --role 92aaf0da-9dab-42b6-94a3-d43ce8d16293 --identity-scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rg001 --name policy-assignment-1
   

3. Skapa reparationsuppgifter för principerna i initiativet.

   Reparationsuppgifter skapas per princip. Varje uppgift är för en specifik definition-reference-id, som anges i initiativet som policyDefinitionReferenceId. Använd följande kommando för att hitta definition-reference-id parametern:

   az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId
   

   Åtgärda resurserna med hjälp av az policy remediation create

   az policy remediation create --resource-group <resource group name> --policy-assignment <assignment name> --name <remediation task name> --definition-reference-id  "policy specific reference ID"  --resource-discovery-mode ReEvaluateCompliance
   

   Till exempel:

   az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name "rem-assign-cli-example-01" --definition-reference-id  "keyvault-vaults"  --resource-discovery-mode ReEvaluateCompliance
   

   Om du vill skapa en reparationsaktivitet för alla principer i initiativet använder du följande exempel:

   for policyDefinitionReferenceId in $(az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId |cut -d":" -f2|sed s/\"//g) 
   do 
       az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name remediate-$policyDefinitionReferenceId --definition-reference-id $policyDefinitionReferenceId; 
   done 
   

4. Utlös en genomsökning för att hitta befintliga resurser med hjälp av az policy state trigger-scan.

   az policy state trigger-scan --resource-group rg-001
   

5. Skapa en reparationsuppgift för att tillämpa principen på befintliga resurser med hjälp av az policy remediation create.

   az policy remediation create -g <resource group name> --policy-assignment <policy assignment name> --name <remediation name> 
   

   Ett exempel:

   az policy remediation create -g rg-001 -n remediation-001 --policy-assignment policy-assignment-1