기본 제공 Azure 정책을 사용하여 대규모 진단 설정 만들기

다음 단계를 사용하여 Azure Portal을 사용하여 이니셔티브 또는 정책을 적용합니다.

1. Azure Portal의 정책 페이지에서 정의를 선택합니다.

2. 다음 필터를 설정합니다.

   1. 범주에 대해 모니터링을 선택합니다.
   2. 정의 형식에 대해 이니셔티브 또는 정책을 선택합니다.

3. 할당하려는 이니셔티브 또는 정책을 찾아 선택합니다.

   1. 이니셔티브의 경우 검색 필드에 감사 또는 allLogs를 입력한 다음 대상에 대한 이니셔티브를 선택합니다.

      

   2. 정책의 경우 검색 필드에 리소스 유형의 이름을 입력한 다음 리소스 종류 및 대상에 대한 정책을 선택합니다. 아래 샘플에서는 Key Vault 데이터를 Log Analytics 작업 영역으로 보냅니다.

      

4. 정의 페이지에서 이니셔티브 할당을 선택합니다.

   

5. 할당에 대한 범위를 설정합니다. 범위는 관리 그룹, 구독 또는 리소스 그룹일 수 있습니다. 이니셔티브 또는 정책은 범위 내의 모든 리소스에 적용됩니다.

   

6. 매개 변수 탭을 선택한 다음 로그를 보낼 특정 대상을 선택합니다. 이러한 세부 정보는 각 대상 유형에 따라 달라집니다. 각 대상 형식의 매개 변수 에 대한 자세한 내용은 매개 변수를 참조하세요.

   

7. 수정 탭을 선택합니다. 그러면 범위의 기존 리소스에 정책이 적용됩니다. 수정 작업이 없으면 이니셔티브 또는 정책 할당은 할당 후에 만든 새 리소스에만 적용됩니다.

8. 수정 작업 만들기 확인란을 사용하도록 설정한 다음 관리 ID 만들기가 사용하도록 설정되어 있는지 확인합니다. 관리 ID 유형에서 시스템이 할당한 관리 ID를 선택합니다.

   

9. 검토 + 만들기를 선택한 다음 만들기를 선택합니다.

New-AzPolicyAssignment 명령을 사용하여 이니셔티브 또는 정책에 대한 할당을 만듭니다. 다음 예제에서는 범주 그룹 로그를 Log Analytics 작업 영역에 보내는 audit 이니셔티브를 할당하는 방법을 보여 줍니다.

1. 환경 변수 설정

   $subscriptionId = <your subscription ID>;
   $rg = Get-AzResourceGroup -Name <your resource group name>;
   Select-AzSubscription $subscriptionId;
   $logAnalyticsWorkspaceId=</subscriptions/$subscriptionId/resourcegroups/$rg.ResourceGroupName/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>;
   

2. Get-AzPolicySetDefinition 이니셔티브나 Get-AzPolicyDefinition 정책의 정의를 가져오세요.

   # Initiative
   $definition = Get-AzPolicySetDefinition | Where-Object {$_.DisplayName -eq 'Enable allLogs category group resource logging for supported resources to Log Analytics'}
   
   # Policy
   $definition = Get-AzPolicyDefinition | Where-Object {$_.DisplayName -eq 'Enable logging by category group for Key vaults (microsoft.keyvault/vaults) to Log Analytics'}
   

3. 할당 이름을 설정하고 매개 변수를 구성합니다. 이 예제의 경우 매개 변수에는 Log Analytics 작업 영역 ID가 포함됩니다. 다른 대상 형식의 매개 변수 에 대한 자세한 내용은 매개 변수를 참조하세요.

   $assignmentName = <your assignment name>;
   $params =  @{"logAnalytics"="/subscriptions/$subscriptionId/resourcegroups/$($rg.ResourceGroupName)/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>"}  
   

4. 매개 변수를 사용하여 할당을 만듭니다.

   $policyAssignment=New-AzPolicyAssignment -Name $assignmentName  -Scope $rg.ResourceId -PolicySetDefinition $definition -PolicyparameterObject $params -IdentityType 'SystemAssigned' -Location eastus
   

5. Contributor 역할을 시스템이 할당한 관리 ID에 할당합니다. 다른 이니셔티브의 경우 어떤 역할이 필요한지 확인하세요.

    New-AzRoleAssignment -Scope $rg.ResourceId -ObjectId $policyAssignment.Identity.PrincipalId -RoleDefinitionName Contributor
   

6. 정책 준수를 검사합니다. Start-AzPolicyComplianceScan 명령은 반환하는 데 몇 분 정도 걸립니다.

   Start-AzPolicyComplianceScan -ResourceGroupName $rg.ResourceGroupName;
   

7. Get-AzPolicyState을(를) 호출하여 수정할 리소스 목록 및 필요한 매개 변수 가져오기

   $assignmentState=Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName;   
   $policyAssignmentId=$assignmentState.PolicyAssignmentId[0];
   $policyDefinitionReferenceIds=$assignmentState.PolicyDefinitionReferenceId;
   

8. 비준수 리소스가 있는 각 리소스 유형에 대해 수정 작업을 시작합니다.

       $policyDefinitionReferenceIds | ForEach-Object {
             $referenceId = $_
             Start-AzPolicyRemediation -ResourceGroupName $rg.ResourceGroupName  -PolicyAssignmentId $policyAssignmentId   -PolicyDefinitionReferenceId $referenceId -Name "$($rg.ResourceGroupName) remediation $referenceId";
       }
   

9. 수정 작업이 완료되면 준수 상태를 확인합니다.

   Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName|select-object IsCompliant, ResourceID
   

CLI를 사용하여 정책을 적용하려면 다음 명령을 사용합니다. CLI를 사용한 정책 할당에 대한 자세한 내용은 Azure CLI 참조 - az policy assignment를 참조하세요.

1. az policy assignment create을(를) 사용하여 정책 할당을 만듭니다. 이렇게 하려면 표시 이름 대신 이니셔티브 또는 정책 정의의 이름 또는 ID가 필요합니다.

   # Initiative        
   az policy assignment create --name <policy assignment name>  --policy-set-definition "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID>\"}}" --mi-system-assigned --___location <___location>
   
   # Policy
   az policy assignment create --name <policy assignment name>  --policy "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID"}}" --mi-system-assigned --___location <___location>
   

2. 정책 할당에 대해 만든 ID에 필요한 역할을 할당합니다. roleDefinitionIds를 검색하여 정책 정의에서 역할 찾기

      ...},
         "roleDefinitionIds": [
           "/providers/Microsoft.Authorization/roleDefinitions/92aaf0da-9dab-42b6-94a3-d43ce8d16293"
         ],
         "deployment": {
           "properties": {...
   

   az policy assignment identity assign을(를) 사용하여 필요한 역할 할당:

   az policy assignment identity assign --system-assigned --resource-group <resource group name> --role <role name or ID> --identity-scope </scope> --name <policy assignment name>
   

   다음은 그 예입니다.

   az policy assignment identity assign --system-assigned --resource-group rg-001  --role 92aaf0da-9dab-42b6-94a3-d43ce8d16293 --identity-scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rg001 --name policy-assignment-1
   

3. 이니셔티브에서 정책에 대한 수정 작업을 만듭니다.

   수정 작업은 정책별로 만들어집니다. 각 작업은 이니셔티브에 policyDefinitionReferenceId(으)로 지정된 특정 definition-reference-id에 대해 만들어집니다. definition-reference-id 매개 변수를 찾으려면 다음 명령을 사용하세요.

   az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId
   

   az policy remediation create을(를) 사용하여 리소스 수정

   az policy remediation create --resource-group <resource group name> --policy-assignment <assignment name> --name <remediation task name> --definition-reference-id  "policy specific reference ID"  --resource-discovery-mode ReEvaluateCompliance
   

   다음은 그 예입니다.

   az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name "rem-assign-cli-example-01" --definition-reference-id  "keyvault-vaults"  --resource-discovery-mode ReEvaluateCompliance
   

   이니셔티브의 모든 정책에 대한 수정 작업을 만들려면 다음 예제를 사용하세요.

   for policyDefinitionReferenceId in $(az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId |cut -d":" -f2|sed s/\"//g) 
   do 
       az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name remediate-$policyDefinitionReferenceId --definition-reference-id $policyDefinitionReferenceId; 
   done 
   

4. 검사를 트리거하여 az policy state trigger-scan을(를) 사용하여 기존 리소스를 찾습니다.

   az policy state trigger-scan --resource-group rg-001
   

5. az policy remediation create을(를) 사용하여 기존 리소스에 정책을 적용하는 수정 작업을 만듭니다.

   az policy remediation create -g <resource group name> --policy-assignment <policy assignment name> --name <remediation name> 
   

   예를 들면 다음과 같습니다.

   az policy remediation create -g rg-001 -n remediation-001 --policy-assignment policy-assignment-1