Phasen einer Blueprintbereitstellung

Wenn ein Blueprint bereitgestellt wird, wird eine Reihe von Aktionen vom Azure Blueprints-Dienst ausgeführt, um die im Blueprint definierten Ressourcen bereitzustellen. Dieser Artikel enthält Details zu den einzelnen Schritten.

Die Blaupausenbereitstellung wird durch Zuweisen einer Blaupause zu einem Abonnement oder durch Aktualisieren einer vorhandenen Zuweisung ausgelöst. Während der Bereitstellung führt Azure Blueprints die folgenden allgemeinen Schritte aus:

Azure Blueprints werden Besitzerrechte gewährt.

Der Azure Blueprints-Service Principal erhält Besitzerrechte für das zugewiesene Abonnement oder mehrere Abonnements, wenn eine vom System zugewiesene verwaltete Identität verwendet wird. Mit der gewährten Rolle können Azure Blueprints die vom System zugewiesene verwaltete Identität erstellen und später widerrufen. Wenn eine vom Benutzer zugewiesene verwaltete Identität verwendet wird, erhält der Azure Blueprints-Dienstprinzipal keine Besitzerrechte für das Abonnement und benötigt diese auch nicht.

Die Rechte werden automatisch gewährt, wenn die Zuweisung über das Portal erfolgt. Wenn die Zuweisung jedoch über die REST-API erfolgt, muss die Gewährung der Rechte mit einem separaten API-Aufruf erfolgen. Die Azure Blueprints AppId ist f71766dc-90d9-4b7d-bd9d-4499c4331c3f, der Dienstprinzipal variiert jedoch je nach Mandant. Verwenden Sie Azure Active Directory Graph-API und den REST-Endpunkt servicePrincipals, um den Dienstprinzipal abzurufen. Gewähren Sie dann den Azure Blueprints die Rolle " Besitzer " über das Portal, die Azure CLI, die Azure PowerShell, DIE REST-API oder eine Azure Resource Manager-Vorlage.

Der Azure Blueprints-Dienst stellt die Ressourcen nicht direkt bereit.

Das Blueprint-Zuordnungsobjekt wird erstellt.

Ein Benutzer, eine Gruppe oder ein Dienstprinzipal weist einem Abonnement einen Blueprint zu. Das Zuordnungsobjekt existiert auf der Abonnementebene, auf der der Blueprint zugewiesen wurde. Ressourcen, die von der Bereitstellung erstellt werden, stehen nicht im Zusammenhang mit der bereitstellenden Entität.

Beim Erstellen der Blueprint-Zuordnung wird der Typ der verwalteten Identität ausgewählt. Der Standardwert ist eine vom System zugewiesene verwaltete Identität. Eine vom Benutzer zugewiesene verwaltete Identität kann ausgewählt werden. Wenn Sie eine vom Benutzer zugewiesene verwaltete Identität verwenden, muss sie definiert und Berechtigungen erteilt werden, bevor die Blueprintzuweisung erstellt wird. Sowohl die integrierten Rollen "Besitzer" als auch " Blueprint-Operator " verfügen über die erforderliche blueprintAssignment/write Berechtigung zum Erstellen einer Zuweisung, die eine vom Benutzer zugewiesene verwaltete Identität verwendet.

Optional – Azure Blueprints erstellt vom System zugewiesene verwaltete Identität

Wenn die vom System zugewiesene verwaltete Identität während der Zuweisung ausgewählt wird, erstellt Azure Blueprints die Identität und gewährt der verwalteten Identität die Besitzerrolle . Wenn ein Upgrade einer vorhandenen Zuordnung erfolgt, verwendet Azure Blueprints die zuvor erstellte verwaltete Identität.

Die verwaltete Identität im Zusammenhang mit der Blueprint-Zuordnung wird verwendet, um die im Blueprint definierten Ressourcen bereitzustellen oder erneut bereitzustellen. Dieser Entwurf verhindert, dass Zuordnungen versehentlich miteinander interferieren. Dieses Design unterstützt auch das Feature zum Sperren von Ressourcen , indem die Sicherheit jeder bereitgestellten Ressource aus dem Blueprint gesteuert wird.

Die verwaltete Identität stellt Blaupausenartefakte bereit

Die verwaltete Identität löst dann die Bereitstellungen der Artefakte durch den Ressourcen-Manager innerhalb des Blueprints in der definierten Sequenzierungsreihenfolge aus. Die Reihenfolge kann angepasst werden, um sicherzustellen, dass Artefakte, die von anderen Artefakten abhängig sind, in der richtigen Reihenfolge bereitgestellt werden.

Oft ist der Zugriff, der der verwalteten Identität gewährt wird, die Ursache für Zugriffsfehler bei Bereitstellungen. Der Azure Blueprints-Dienst verwaltet den Sicherheitslebenszyklus der vom System zugewiesenen verwalteten Identität. Der Benutzer ist jedoch für die Verwaltung der Rechte und des Lebenszyklus einer vom Benutzer zugewiesenen verwalteten Identität verantwortlich.

Blueprint-Dienst und vom System zugewiesene verwaltete Identitätsrechte werden widerrufen

Nachdem die Bereitstellungen abgeschlossen sind, widerruft Azure Blueprints die Rechte der vom System zugewiesenen verwalteten Identität aus dem Abonnement. Anschließend widerruft der Azure Blueprints-Dienst seine Rechte aus dem Abonnement. Das Entfernen von Rechten verhindert, dass Azure Blueprints zu einem dauerhaften Besitzer eines Abonnements werden.

Nächste Schritte

• Verstehen, wie man statische und dynamische Parameter verwendet.
• Hier erfahren Sie, wie Sie die Reihenfolge der Blueprint-Sequenzierung anpassen.
• Erfahren Sie, wie Sie die Sperrung von Blueprintressourcen verwenden.
• Erfahren Sie, wie Sie vorhandene Zuordnungen aktualisieren.
• Beheben Sie Probleme bei der Blaupausenzuweisung mithilfe des allgemeinen Leitfadens zur Problembehandlung.