适用于 Azure Monitor 的内置策略

以下步骤演示如何应用策略，以将密钥保管库的审核日志发送到 Log Analytics 工作区。

1. 在“策略”页中，选择“ 定义”。

2. 选择您的范围。 你可以将策略应用于整个订阅、资源组或单个资源。

3. 在“定义类型”下拉列表中，选择“策略”。

4. 在“类别”下拉列表中选择“监视”

5. 在“搜索”字段中输入“keyvault”。

6. 选择“为密钥保管库(microsoft.keyvault/vaults)启用按类别组记录到 Log Analytics”策略

7. 在策略定义页中，选择“分配”

8. 选择 “参数” 选项卡。

9. 选择要将审核日志发送到的 Log Analytics 工作区。

10. 选择“修正”选项卡。

11. 在“修正”选项卡上，从“要修正的策略”下拉列表中选择 Key Vault 策略。

12. 选中“创建托管标识”复选框。

13. 在“托管标识类型”下，选择“系统分配的托管标识”。

14. 依次选择“查看 + 创建”、“创建”。

若要使用 CLI 应用策略，请使用以下命令：

1. 使用 az policy assignment create 创建策略分配。

     az policy assignment create --name <policy assignment name>  --policy "6b359d8f-f88d-4052-aa7c-32015963ecc1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID"}}" --mi-system-assigned --___location <___location>
   

   例如，应用策略以将审核日志发送到 Log Analytics 工作区

     az policy assignment create --name "policy-assignment-1"  --policy "6b359d8f-f88d-4052-aa7c-32015963ecc1"  --scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rg-001 --params "{\"logAnalytics\": {\"value\": \"/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/rg-001/providers/microsoft.operationalinsights/workspaces/workspace-001\"}}" --mi-system-assigned --___location eastus
   

2. 将所需角色分配给为策略分配创建的标识。 通过搜索 roleDefinitionIds 在策略定义中查找角色

      ...},
         "roleDefinitionIds": [
           "/providers/Microsoft.Authorization/roleDefinitions/92aaf0da-9dab-42b6-94a3-d43ce8d16293"
         ],
         "deployment": {
           "properties": {...
   

   使用 az policy assignment identity assign 分配所需的角色：

   az policy assignment identity assign --system-assigned --resource-group <resource group name> --role <role name or ID> --identity-scope </scope> --name <policy assignment name>
   

   例如：

   az policy assignment identity assign --system-assigned --resource-group rg-001  --role 92aaf0da-9dab-42b6-94a3-d43ce8d16293 --identity-scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rg001 --name policy-assignment-1
   

3. 使用 az policy state trigger-scan 触发扫描以查找现有资源。

   az policy state trigger-scan --resource-group rg-001
   

4. 使用 az policy remediation create 创建修正任务以将策略应用于现有资源。

   az policy remediation create -g <resource group name> --policy-assignment <policy assignment name> --name <remediation name> 
   

   例如，

   az policy remediation create -g rg-001 -n remediation-001 --policy-assignment policy-assignment-1
   

有关使用 CLI 进行策略分配的详细信息，请参阅 Azure CLI 参考 - az policy assignment

若要使用 PowerShell 应用策略，请使用以下命令：

1. 设置环境。 选择订阅并设置资源组

   Select-AzSubscription <subscriptionID>
   $rg = Get-AzResourceGroup -Name <resource groups name>    
   

2. 获取策略定义并配置策略的参数。 在下面的示例中，我们分配用于将 keyVault 日志发送到 Log Analytics 工作区的策略

   $definition = Get-AzPolicyDefinition |Where-Object Name -eq 6b359d8f-f88d-4052-aa7c-32015963ecc1
   $params =  @{"logAnalytics"="/subscriptions/<subscriptionID/resourcegroups/<resourcgroup>/providers/microsoft.operationalinsights/workspaces/<log anlaytics workspace name>"}  
   

3. 指定策略

   $policyAssignment=New-AzPolicyAssignment -Name <assignment name> -DisplayName "assignment display name" -Scope $rg.ResourceId -PolicyDefinition $definition -PolicyparameterObject $params -IdentityType 'SystemAssigned' -Location <___location>
   
   #To get your assignemnt use:
   $policyAssignment=Get-AzPolicyAssignment -Name '<assignment name>' -Scope '/subscriptions/<subscriptionID>/resourcegroups/<resource group name>'
   
   

4. 将所需的一个或多个角色分配给系统分配的托管标识

       $principalID=$policyAssignment.Identity.PrincipalId
       $roleDefinitionIds=$definition.Properties.policyRule.then.details.roleDefinitionIds
       $roleDefinitionIds | ForEach-Object {
           $roleDefId = $_.Split("/") | Select-Object -Last 1
           New-AzRoleAssignment -Scope $rg.ResourceId -ObjectId $policyAssignment.Identity.PrincipalId -RoleDefinitionId $roleDefId
       }
   

5. 扫描合规性，然后创建修正任务以强制现有资源合规。

       Start-AzPolicyComplianceScan -ResourceGroupName $rg.ResourceGroupName
       Start-AzPolicyRemediation -Name $policyAssignment.Name -PolicyAssignmentId $policyAssignment.PolicyAssignmentId  -ResourceGroupName $rg.ResourceGroupName
   

6. 检查合规性

   Get-AzPolicyState -PolicyAssignmentName  $policyAssignment.Name -ResourceGroupName $policyAssignment.ResourceGroupName|select-object IsCompliant, ResourceID
   

1. 在策略定义页中，选择范围。

2. 在“定义类型”下拉列表中选择“计划”。

3. 在“类别”下拉列表中选择“监视”。

4. 在“搜索”字段中输入“审核”。

5. 选择“为支持的资源启用到 Log Analytics 的审核类别组资源日志记录”计划。

6. 在下一页上，选择“分配”

7. 在“分配计划”页的“基本信息”选项卡上，选择要应用计划的范围。

8. 在“分配名称”字段中输入名称。

9. 选择“ 参数”选项卡。

   参数包含策略中定义的参数。 在这种情况下，我们需要选择要将日志发送到的 Log Analytics 工作区。 有关每个策略的各个参数的详细信息，请参阅特定于策略的参数。

10. 选择要将审核日志发送到的 Log Analytics 工作区。

11. 选择“查看 + 创建”，然后选择“创建”

若要验证策略或计划分配是否正常工作，请在策略分配中定义的订阅或资源组范围内创建资源。

10 分钟后，选择资源的“诊断设置”页。 诊断设置将显示在列表中，它具有默认名称 setByPolicy-LogAnalytics 和你在策略中配置的工作区名称。

通过取消选中“仅显示需要输入或查看的参数”复选框，更改分配计划或策略页的“参数”选项卡中的默认名称。

1. 设置环境变量

   # Set up your environment variables.
   $subscriptionId = <your subscription ID>;
   $rg = Get-AzResourceGroup -Name <your resource group name>;
   Select-AzSubscription $subscriptionId;
   $logAnlayticsWorskspaceId=</subscriptions/$subscriptionId/resourcegroups/$rg.ResourceGroupName/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>;
   

2. 获取计划定义。 在此示例中，我们将使用计划“为支持的资源启用到 Log Analytics 的审核类别组资源日志记录”，ResourceID "/providers/Microsoft.Authorization/policySetDefinitions/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"

   $definition = Get-AzPolicySetDefinition |Where-Object ResourceID -eq /providers/Microsoft.Authorization/policySetDefinitions/a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1;
   

3. 设置分配名称并配置参数。 在这个项目中，参数包括 Log Analytics 工作区 ID。

   $assignmentName=<your assignment name>;
   $params =  @{"logAnalytics"="/subscriptions/$subscriptionId/resourcegroups/$($rg.ResourceGroupName)/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>"}  
   

4. 使用参数分配计划

   $policyAssignment=New-AzPolicyAssignment -Name $assignmentName  -Scope $rg.ResourceId -PolicySetDefinition $definition -PolicyparameterObject $params -IdentityType 'SystemAssigned' -Location eastus;
   

5. 将 Contributor 角色分配到系统分配的托管标识。 对于其他计划，检查哪些角色是必需的。

    New-AzRoleAssignment -Scope $rg.ResourceId -ObjectId $policyAssignment.Identity.PrincipalId -RoleDefinitionName Contributor;
   

6. 检查策略合规性。 Start-AzPolicyComplianceScan 命令需要几分钟才能返回

   Start-AzPolicyComplianceScan -ResourceGroupName $rg.ResourceGroupName;
   

7. 通过调用 Get-AzPolicyState 获取要修正的资源列表和所需参数

   $assignmentState=Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName;   
   $policyAssignmentId=$assignmentState.PolicyAssignmentId[0];
   $policyDefinitionReferenceIds=$assignmentState.PolicyDefinitionReferenceId;
   

8. 对于具有不合规资源的每种资源类型，请启动修正任务。

       $policyDefinitionReferenceIds | ForEach-Object {
             $referenceId = $_
             Start-AzPolicyRemediation -ResourceGroupName $rg.ResourceGroupName  -PolicyAssignmentId $policyAssignmentId   -PolicyDefinitionReferenceId $referenceId -Name "$($rg.ResourceGroupName) remediation $referenceId";
       }
   

9. 检查修正任务完成时的合规性状态。

   Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName|select-object IsCompliant, ResourceID
   

可以使用以下命令获取策略分配详细信息：

  $policyAssignment=Get-AzPolicyAssignment -Name $assignmentName -Scope "/subscriptions/$subscriptionId/resourcegroups/$($rg.ResourceGroupName)";

1. 使用 az login 命令登录到 Azure 帐户。

2. 使用 az account set 命令选择要应用策略计划的订阅。

3. 使用 az policy assignment create 分配计划。

   az policy assignment create --name <assignment name> --resource-group <resource group name> --policy-set-definition <initiative name> --params <parameters object> --mi-system-assigned --___location <___location>
   

   例如：

   az policy assignment create --name "assign-cli-example-01" --resource-group "cli-example-01" --policy-set-definition 'a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1' --params '{"logAnalytics":{"value":"/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/cli-example-01/providers/microsoft.operationalinsights/workspaces/cli-example-01-ws"}, "diagnosticSettingName":{"value":"AssignedBy-cli-example-01"}}' --mi-system-assigned --___location eastus
   

4. 将所需角色分配给系统托管标识

   通过搜索 roleDefinitionIds 的定义，在计划中的任何策略定义中查找要分配的角色，例如：

      ...},
         "roleDefinitionIds": [
           "/providers/Microsoft.Authorization/roleDefinitions/92aaf0da-9dab-42b6-94a3-d43ce8d16293"
         ],
         "deployment": {
           "properties": {...
   

   使用 az policy assignment identity assign 分配所需的角色：

   az policy assignment identity assign --system-assigned --resource-group <resource group name> --role <role name or ID> --identity-scope <scope> --name <policy assignment name>
   

   例如：

   az policy assignment identity assign --system-assigned --resource-group "cli-example-01" --role 92aaf0da-9dab-42b6-94a3-d43ce8d16293 --identity-scope "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/cli-example-01" --name assign-cli-example-01
   

5. 为项目中的策略创建修正任务。

   修正任务按策略创建。 每个任务针对特定 definition-reference-id，在计划中指定为 policyDefinitionReferenceId。 若要查找 definition-reference-id 参数，请使用以下命令：

   az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId
   

   使用 az policy remediation create 对资源进行修正

   az policy remediation create --resource-group <resource group name> --policy-assignment <assignment name> --name <remediation task name> --definition-reference-id  "policy specific reference ID"  --resource-discovery-mode ReEvaluateCompliance
   

   例如：

   az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name "rem-assign-cli-example-01" --definition-reference-id  "keyvault-vaults"  --resource-discovery-mode ReEvaluateCompliance
   

   若要为计划中的所有策略创建修正任务，请使用以下示例：

   for policyDefinitionReferenceId in $(az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId |cut -d":" -f2|sed s/\"//g) 
   do 
       az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name remediate-$policyDefinitionReferenceId --definition-reference-id $policyDefinitionReferenceId; 
   done