Criar configurações de diagnóstico em escala usando Políticas do Azure internas

Use as etapas a seguir para aplicar uma iniciativa ou política usando o portal do Azure.

1. Na página Política no portal do Azure, selecione Definições.

2. Defina o seguinte filtro:

   1. Para a Categoria, selecione Monitoramento.
   2. Para o tipo de definição, selecione Iniciativa ou Política.

3. Localize e selecione a iniciativa ou política que deseja atribuir.

   1. Para iniciativas, digite audit ou allLogs no campo Pesquisar e selecione a iniciativa para o seu destino.

      

   2. Para políticas, digite o nome do tipo de recurso no campo Pesquisar e selecione a política para o tipo de recurso e o destino. O exemplo abaixo envia dados do cofre de chaves para um espaço de trabalho do Log Analytics.

      

4. Na página de definição, selecione Atribuir iniciativa.

   

5. Defina um Escopo para a atribuição. O escopo pode ser um grupo de gerenciamento, assinatura ou grupo de recursos. A iniciativa ou política é aplicada a todos os recursos dentro do âmbito.

   

6. Selecione a guia Parâmetros e, em seguida, selecione o destino específico para onde deseja enviar os logs. Esses detalhes variam para cada tipo de destino. Consulte Parâmetros para obter mais informações sobre os parâmetros para cada tipo de destino.

   

7. Selecione a guia Remediação . Isso aplicará a política aos recursos existentes no escopo. Sem uma tarefa de correção, a iniciativa ou atribuição de política só se aplica a novos recursos criados após a atribuição.

8. Habilite a caixa de seleção Criar uma tarefa de correção e verifique se Criar uma Identidade Gerenciada está habilitado. Em Tipo de Identidade Gerenciada, selecione Identidade Gerenciada atribuída ao Sistema.

   

9. Selecione Rever + criar e, em seguida, selecione Criar.

Use o comando New-AzPolicyAssignment para criar uma atribuição para uma iniciativa ou política. O exemplo a seguir mostra como atribuir a iniciativa de enviar audit logs de grupo de categorias para um espaço de trabalho do Log Analytics.

1. Configurar as variáveis de ambiente

   $subscriptionId = <your subscription ID>;
   $rg = Get-AzResourceGroup -Name <your resource group name>;
   Select-AzSubscription $subscriptionId;
   $logAnalyticsWorkspaceId=</subscriptions/$subscriptionId/resourcegroups/$rg.ResourceGroupName/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>;
   

2. Obtenha a definição utilizando Get-AzPolicySetDefinition para iniciativas ou Get-AzPolicyDefinition para políticas.

   # Initiative
   $definition = Get-AzPolicySetDefinition | Where-Object {$_.DisplayName -eq 'Enable allLogs category group resource logging for supported resources to Log Analytics'}
   
   # Policy
   $definition = Get-AzPolicyDefinition | Where-Object {$_.DisplayName -eq 'Enable logging by category group for Key vaults (microsoft.keyvault/vaults) to Log Analytics'}
   

3. Defina um nome de atribuição e configure parâmetros. Neste exemplo, os parâmetros incluem o ID do espaço de trabalho do Log Analytics. Consulte Parâmetros para obter mais informações sobre os parâmetros para outros tipos de destino.

   $assignmentName = <your assignment name>;
   $params =  @{"logAnalytics"="/subscriptions/$subscriptionId/resourcegroups/$($rg.ResourceGroupName)/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>"}  
   

4. Crie a atribuição usando os parâmetros.

   $policyAssignment=New-AzPolicyAssignment -Name $assignmentName  -Scope $rg.ResourceId -PolicySetDefinition $definition -PolicyparameterObject $params -IdentityType 'SystemAssigned' -Location eastus
   

5. Atribua a Contributor função à Identidade Gerenciada atribuída ao sistema. Para outras iniciativas, verifique quais funções são necessárias.

    New-AzRoleAssignment -Scope $rg.ResourceId -ObjectId $policyAssignment.Identity.PrincipalId -RoleDefinitionName Contributor
   

6. Analise a conformidade com a política. O Start-AzPolicyComplianceScan comando leva alguns minutos para retornar

   Start-AzPolicyComplianceScan -ResourceGroupName $rg.ResourceGroupName;
   

7. Obtenha uma lista de recursos para corrigir e os parâmetros necessários chamando Get-AzPolicyState

   $assignmentState=Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName;   
   $policyAssignmentId=$assignmentState.PolicyAssignmentId[0];
   $policyDefinitionReferenceIds=$assignmentState.PolicyDefinitionReferenceId;
   

8. Para cada tipo de recurso com recursos não compatíveis, inicie uma tarefa de correção.

       $policyDefinitionReferenceIds | ForEach-Object {
             $referenceId = $_
             Start-AzPolicyRemediation -ResourceGroupName $rg.ResourceGroupName  -PolicyAssignmentId $policyAssignmentId   -PolicyDefinitionReferenceId $referenceId -Name "$($rg.ResourceGroupName) remediation $referenceId";
       }
   

9. Verifique o estado de conformidade quando as tarefas de correção forem concluídas.

   Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName|select-object IsCompliant, ResourceID
   

Use os comandos a seguir para aplicar uma política usando a CLI. Para obter mais informações sobre a atribuição de políticas usando a CLI, consulte Referência da CLI do Azure - az policy assignment.

1. Crie uma atribuição de política usando az policy assignment create. Isso requer o nome ou ID da iniciativa ou definição de política em vez do nome para exibição.

   # Initiative        
   az policy assignment create --name <policy assignment name>  --policy-set-definition "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID>\"}}" --mi-system-assigned --___location <___location>
   
   # Policy
   az policy assignment create --name <policy assignment name>  --policy "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID"}}" --mi-system-assigned --___location <___location>
   

2. Atribua a função necessária à identidade criada para a atribuição de política. Encontre a função na definição de política pesquisando roleDefinitionIds

      ...},
         "roleDefinitionIds": [
           "/providers/Microsoft.Authorization/roleDefinitions/92aaf0da-9dab-42b6-94a3-d43ce8d16293"
         ],
         "deployment": {
           "properties": {...
   

   Atribua a função necessária usando az policy assignment identity assign:

   az policy assignment identity assign --system-assigned --resource-group <resource group name> --role <role name or ID> --identity-scope </scope> --name <policy assignment name>
   

   Por exemplo:

   az policy assignment identity assign --system-assigned --resource-group rg-001  --role 92aaf0da-9dab-42b6-94a3-d43ce8d16293 --identity-scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rg001 --name policy-assignment-1
   

3. Crie tarefas de correção para as políticas da iniciativa.

   As tarefas de correção são criadas para cada política. Cada tarefa destina-se a um definition-reference-id, especificado na iniciativa como policyDefinitionReferenceId. Para localizar o definition-reference-id parâmetro, use o seguinte comando:

   az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId
   

   Mitigar os recursos usando az policy remediation create

   az policy remediation create --resource-group <resource group name> --policy-assignment <assignment name> --name <remediation task name> --definition-reference-id  "policy specific reference ID"  --resource-discovery-mode ReEvaluateCompliance
   

   Por exemplo:

   az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name "rem-assign-cli-example-01" --definition-reference-id  "keyvault-vaults"  --resource-discovery-mode ReEvaluateCompliance
   

   Para criar uma tarefa de correção para todas as políticas da iniciativa, use o seguinte exemplo:

   for policyDefinitionReferenceId in $(az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId |cut -d":" -f2|sed s/\"//g) 
   do 
       az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name remediate-$policyDefinitionReferenceId --definition-reference-id $policyDefinitionReferenceId; 
   done 
   

4. Inicie uma verificação para localizar recursos existentes utilizando az policy state trigger-scan.

   az policy state trigger-scan --resource-group rg-001
   

5. Crie uma tarefa de correção para aplicar a política aos recursos existentes usando az policy remediation create.

   az policy remediation create -g <resource group name> --policy-assignment <policy assignment name> --name <remediation name> 
   

   Por exemplo

   az policy remediation create -g rg-001 -n remediation-001 --policy-assignment policy-assignment-1