Azure 内置策略

Azure 内置策略：初学者指南

Azure 内置策略是 Azure 资源管理器 (ARM) 提供的强大工具，用于强制组织标准并评估合规性。 对于希望在 Azure 环境中维护安全、合规和成本效益的企业而言，它们至关重要。 本文旨在为初学者提供全面的介绍，解释什么是内置策略，它们如何工作，以及如何利用它们来管理您的云资源。

什么是 Azure 策略？

Azure 策略使您可以创建和强制执行组织标准，这些标准适用于您的资源。 它可以评估您的环境，以确保资源符合这些标准。 策略可以用于各种目的，包括：

• 强制执行公司策略：例如，要求所有存储帐户都使用加密。
• 实施监管合规性：例如，确保所有资源都位于批准的区域。
• 降低成本：例如，禁止部署未标记资源的资源。
• 管理资源类型：例如，限制可以使用的虚拟机大小。
• 提升安全性：例如，要求所有 Key Vault 都启用软删除。

内置策略是 Microsoft 提供的预定义策略，涵盖了广泛的场景。 这些策略可以开箱即用，或者可以根据您的特定需求进行自定义。 Azure Policy 是整个系统的核心概念。

Azure 内置策略的工作原理

Azure 策略基于声明性规则。 这些规则定义了您希望强制执行的标准。 策略由以下三个主要部分组成：

• 条件 (Condition): 定义策略适用的资源属性。 例如，您可以指定策略仅适用于位于特定区域的存储帐户。
• 效果 (Effect): 定义当资源不符合条件时发生的情况。 常见的效果包括：

   * Deny: 阻止创建或更新不符合策略的资源。
   * Audit: 将不符合策略的资源记录到活动日志中，但不阻止其创建或更新。
   * Append: 将附加属性添加到资源，例如标记。
   * Modify: 修改资源属性以使其符合策略。
   * Disabled: 禁用策略，使其不再强制执行任何规则。

• 规则 (Rule): 将条件和效果组合在一起的逻辑定义。

当您将策略分配给订阅、资源组或单个资源时，Azure 策略引擎会评估您的环境中的资源。 如果资源不符合策略规则，则策略引擎会根据策略效果采取相应的操作。 Azure 资源管理器 是底层引擎。

如何查找和使用内置策略

您可以从 Azure 门户、Azure CLI 或 Azure PowerShell 访问内置策略。 在 Azure 门户中，导航到 “策略” 服务，然后选择 “定义”。 您将看到可用的所有内置策略列表，按类别组织。

以下是一些常用的内置策略示例：

常用的 Azure 内置策略

描述 |

确保所有存储帐户都使用加密来保护数据。 Azure 存储

仅允许使用受信任的镜像部署虚拟机。 Azure 虚拟机

要求所有资源都具有成本中心标记，以便进行成本分配。 Azure 成本管理

确保所有 Key Vault 都启用软删除，以防止意外删除数据。 Azure Key Vault

确保网络安全组包含网络规则，以控制网络流量。 Azure 网络安全组

要求使用标准 SKU 的公共 IP 地址，提供更高的安全性。 Azure 公共 IP 地址

确保 Azure SQL 数据库使用 TDE 加密数据。 Azure SQL 数据库

限制可以部署虚拟网络的区域。 Azure 虚拟网络

限制存储帐户类型为标准本地冗余存储。 存储冗余

限制可以部署的虚拟机大小。 虚拟机大小

要使用内置策略，您需要将其分配给一个范围。 范围可以是：

• 订阅: 策略将应用于订阅中的所有资源。
• 资源组: 策略将应用于资源组中的所有资源。
• 单个资源: 策略将仅应用于指定的资源。

在分配策略时，您可以选择使用默认参数，也可以自定义参数以满足您的特定需求。

自定义内置策略

虽然内置策略提供了良好的开端，但您可能需要根据您的特定需求自定义它们。 Azure 策略允许您通过以下方式自定义策略：

• 修改现有策略: 您可以复制内置策略，然后修改其条件或效果。
• 创建自定义策略: 您可以从头开始创建自己的策略。

自定义策略使用 JSON 格式编写。 JSON 是一种轻量级的数据交换格式，易于阅读和编写。

例如，如果您想创建一个策略，该策略禁止部署未标记资源的资源，您可以创建一个自定义策略，其条件为“resource.tags == null”，效果为“Deny”。

策略豁免

在某些情况下，您可能需要允许创建或更新不符合策略规则的资源。 例如，您可能需要允许在开发环境中部署未标记的资源。 在这种情况下，您可以使用策略豁免。

策略豁免允许您为特定资源或资源组禁用策略规则。 豁免可以设置为临时或永久。

策略的评估顺序

当多个策略应用于同一资源时，Azure 策略引擎会按照特定顺序评估这些策略。 评估顺序如下：

1. 排除: 排除规则首先应用，以排除某些资源免受策略评估。 2. 策略定义: 策略定义按字母顺序评估。 3. 策略分配: 在策略定义中，策略分配的参数会影响评估结果。

了解评估顺序对于调试策略问题至关重要。

策略和合规性仪表板

Azure 策略提供了一个合规性仪表板，用于查看您的环境的合规性状态。 合规性仪表板显示了您的资源符合或不符合每个策略规则的百分比。

您可以使用合规性仪表板来识别需要关注的区域，并采取措施来提高合规性。

策略与安全基线

Azure 安全基线 提供了一组推荐的安全配置，可以帮助您保护您的 Azure 环境。 Azure 策略可用于自动实施安全基线，确保您的资源符合最佳安全实践。

策略与成本管理

Azure 策略可用于实施成本管理策略，例如限制可以使用的资源类型或要求所有资源都具有成本中心标记。 这有助于您控制云支出并优化资源利用率。 Azure 成本分析 配合策略使用效果更好。

策略与 DevOps

Azure 策略可以集成到您的 DevOps 流程中，以确保您的基础设施代码符合组织标准。 例如，您可以使用策略在部署之前验证资源配置，并自动修复不符合策略的资源。

高级策略主题

• 策略作为代码: 使用基础设施即代码工具（例如 Terraform 或 ARM 模板）管理您的策略。
• 策略参数: 使用参数使您的策略更灵活和可重用。
• 审计日志集成: 将策略事件记录到 Azure Monitor 日志，以便进行分析和故障排除。
• 自定义策略效果: 创建自定义策略效果以满足您的特定需求。

策略故障排除

• **检查策略分配范围:** 确保策略已分配到正确的范围。
• **验证策略规则:** 确保策略规则是正确的，并且与您希望强制执行的标准相符。
• **查看活动日志:** 检查活动日志以查找与策略评估相关的错误消息。
• **使用策略评估工具:** 使用 Azure 门户中的策略评估工具来诊断策略问题。
• **检查资源属性:** 验证资源属性是否符合策略规则。

与金融市场相关的策略考量 (类比)

将 Azure 策略想象成金融市场中的风险管理工具。

• **条件 (Condition):** 类似于交易策略的入场条件。 例如，只有当 RSI 指标低于 30 时才买入。 相对强弱指数 (RSI)
• **效果 (Effect):** 类似于止损单或止盈单。 “Deny” 类似于止损，阻止进一步的损失。 “Audit” 类似于记录交易日志，用于分析。
• **规则 (Rule):** 类似于完整的交易计划，包含入场条件、风险管理和收益目标。
• **策略豁免:** 类似于对特定交易的例外情况，例如由于特殊事件而进行的交易。
• **评估顺序:** 类似于不同交易策略的优先级。

理解这些类比有助于更好地理解 Azure 策略的运作方式，并将其应用于更广泛的风险管理和合规性场景。 还可以将其与 技术分析 和 成交量分析结合使用，以创建更强大的策略。 例如，使用策略限制部署成本昂贵的虚拟机，相当于限制单笔交易的风险敞口。

结论

Azure 内置策略是管理 Azure 环境的重要工具。 通过了解策略的工作原理以及如何使用它们，您可以确保您的资源符合组织标准，并提高安全性、合规性和成本效益。 通过不断学习和探索，您可以充分利用 Azure 策略的强大功能，构建一个安全可靠的云环境。 了解 Azure 治理 的整体框架，可以更好地理解策略在其中扮演的角色。

立即开始交易

注册 IQ Option （最低存款 $10） 开设 Pocket Option 账户 （最低存款 $5）

加入我们的社区

订阅我们的 Telegram 频道 @strategybin 获取： ✓ 每日交易信号 ✓ 独家策略分析 ✓ 市场趋势警报 ✓ 新手教育资源