使用内置 Azure 策略大规模创建诊断设置

使用以下步骤通过 Azure 门户实施方案或策略。

1. 在 Azure 门户中的“策略”页中，选择“ 定义”。

2. 设置以下筛选器：

   1. 对于“类别”，选择“监视”。
   2. 对于 定义类型，请选择“ 计划 ”或“ 策略”。

3. 找到并选择要分配的计划或策略。

   1. 对于计划，请在“搜索”字段中键入“audit”或“allLogs”，然后选择目标计划。

      

   2. 对于策略，请在 “搜索” 字段中键入资源类型的名称，然后选择资源类型和目标的策略。 以下示例将密钥保管库数据发送到 Log Analytics 工作区。

      

4. 在定义页中，选择“分配举措”。

   

5. 设置范围用于分配。 范围可以是管理组、订阅或资源组。 计划或策略应用于范围内的所有资源。

   

6. 选择“ 参数 ”选项卡，然后选择要在其中发送日志的特定目标。 这些详细信息因每个目标类型而异。 有关每个目标类型的参数的详细信息，请参阅 “参数 ”。

   

7. 选择 “修正 ”选项卡。这会将策略应用于作用域中的现有资源。 如果没有修正任务，计划或策略分配仅适用于分配后创建的新资源。

8. 启用“ 创建修正任务 ”复选框，并确保已启用 “创建托管标识 ”。 在“托管标识类型”下，选择“系统分配的托管标识”。

   

9. 依次选择“查看 + 创建”、“创建”。

使用 New-AzPolicyAssignment 命令为倡议或策略创建分配。 以下示例展示了如何指派任务以将 audit 类别组日志发送到 Log Analytics 工作区。

1. 设置环境变量

   $subscriptionId = <your subscription ID>;
   $rg = Get-AzResourceGroup -Name <your resource group name>;
   Select-AzSubscription $subscriptionId;
   $logAnalyticsWorkspaceId=</subscriptions/$subscriptionId/resourcegroups/$rg.ResourceGroupName/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>;
   

2. 使用 Get-AzPolicySetDefinition 倡议或 Get-AzPolicyDefinition 政策获取定义。

   # Initiative
   $definition = Get-AzPolicySetDefinition | Where-Object {$_.DisplayName -eq 'Enable allLogs category group resource logging for supported resources to Log Analytics'}
   
   # Policy
   $definition = Get-AzPolicyDefinition | Where-Object {$_.DisplayName -eq 'Enable logging by category group for Key vaults (microsoft.keyvault/vaults) to Log Analytics'}
   

3. 设置分配名称并配置参数。 对于此示例，参数包括 Log Analytics 工作区 ID。 有关其他目标类型的参数的详细信息，请参阅 “参数 ”。

   $assignmentName = <your assignment name>;
   $params =  @{"logAnalytics"="/subscriptions/$subscriptionId/resourcegroups/$($rg.ResourceGroupName)/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>"}  
   

4. 使用参数创建分配。

   $policyAssignment=New-AzPolicyAssignment -Name $assignmentName  -Scope $rg.ResourceId -PolicySetDefinition $definition -PolicyparameterObject $params -IdentityType 'SystemAssigned' -Location eastus
   

5. 将 Contributor 角色分配到系统分配的托管标识。 对于其他计划，检查哪些角色是必需的。

    New-AzRoleAssignment -Scope $rg.ResourceId -ObjectId $policyAssignment.Identity.PrincipalId -RoleDefinitionName Contributor
   

6. 检查策略合规性。 Start-AzPolicyComplianceScan 命令需要几分钟才能返回

   Start-AzPolicyComplianceScan -ResourceGroupName $rg.ResourceGroupName;
   

7. 通过调用 Get-AzPolicyState 获取要修正的资源列表和所需参数

   $assignmentState=Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName;   
   $policyAssignmentId=$assignmentState.PolicyAssignmentId[0];
   $policyDefinitionReferenceIds=$assignmentState.PolicyDefinitionReferenceId;
   

8. 对于具有不合规资源的每种资源类型，请启动修正任务。

       $policyDefinitionReferenceIds | ForEach-Object {
             $referenceId = $_
             Start-AzPolicyRemediation -ResourceGroupName $rg.ResourceGroupName  -PolicyAssignmentId $policyAssignmentId   -PolicyDefinitionReferenceId $referenceId -Name "$($rg.ResourceGroupName) remediation $referenceId";
       }
   

9. 检查修正任务完成时的合规性状态。

   Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName|select-object IsCompliant, ResourceID
   

使用以下命令通过 CLI 应用策略。 有关使用 CLI 分配策略的详细信息，请参阅 Azure CLI 参考 - az policy assignment。

1. 使用 az policy assignment create 创建策略分配。 这需要计划或策略定义的名称或 ID，而不需要显示名称。

   # Initiative        
   az policy assignment create --name <policy assignment name>  --policy-set-definition "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID>\"}}" --mi-system-assigned --location <location>
   
   # Policy
   az policy assignment create --name <policy assignment name>  --policy "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID"}}" --mi-system-assigned --location <location>
   

2. 将所需角色分配给为策略分配创建的标识。 通过搜索 roleDefinitionIds 在策略定义中查找角色

      ...},
         "roleDefinitionIds": [
           "/providers/Microsoft.Authorization/roleDefinitions/92aaf0da-9dab-42b6-94a3-d43ce8d16293"
         ],
         "deployment": {
           "properties": {...
   

   使用 az policy assignment identity assign 分配所需的角色：

   az policy assignment identity assign --system-assigned --resource-group <resource group name> --role <role name or ID> --identity-scope </scope> --name <policy assignment name>
   

   例如：

   az policy assignment identity assign --system-assigned --resource-group rg-001  --role 92aaf0da-9dab-42b6-94a3-d43ce8d16293 --identity-scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rg001 --name policy-assignment-1
   

3. 为项目中的策略创建修正任务。

   修正任务按策略创建。 每个任务针对特定 definition-reference-id，在计划中指定为 policyDefinitionReferenceId。 若要查找 definition-reference-id 参数，请使用以下命令：

   az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId
   

   使用 az policy remediation create 对资源进行修正

   az policy remediation create --resource-group <resource group name> --policy-assignment <assignment name> --name <remediation task name> --definition-reference-id  "policy specific reference ID"  --resource-discovery-mode ReEvaluateCompliance
   

   例如：

   az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name "rem-assign-cli-example-01" --definition-reference-id  "keyvault-vaults"  --resource-discovery-mode ReEvaluateCompliance
   

   若要为计划中的所有策略创建修正任务，请使用以下示例：

   for policyDefinitionReferenceId in $(az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId |cut -d":" -f2|sed s/\"//g) 
   do 
       az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name remediate-$policyDefinitionReferenceId --definition-reference-id $policyDefinitionReferenceId; 
   done 
   

4. 使用 az policy state trigger-scan 触发扫描以查找现有资源。

   az policy state trigger-scan --resource-group rg-001
   

5. 使用 az policy remediation create 创建修正任务以将策略应用于现有资源。

   az policy remediation create -g <resource group name> --policy-assignment <policy assignment name> --name <remediation name> 
   

   例如，

   az policy remediation create -g rg-001 -n remediation-001 --policy-assignment policy-assignment-1