使用内置的 Azure 策略大规模创建诊断设置

使用以下步骤通过 Azure 门户应用计划或策略：

1. 在 Azure 门户中的 “策略 ”页上，选择“ 定义”。

2. 设置以下筛选器：

   1. 对于类别，请选择监视。
   2. 对于 定义类型，请选择“ 计划 ”或“ 策略”。

3. 找到并选择要分配的计划或策略：

   • 对于措施，请在搜索框中输入audit或allLogs，然后选择您的目标措施。

     

   • 对于策略，请在 “搜索 ”框中输入资源类型的名称，然后选择资源类型和目标的策略。 以下示例将密钥保管库数据发送到 Log Analytics 工作区。

     

4. 在所选策略的窗格中，选择“ 分配方案”。

   

5. 在“ 基本信息 ”选项卡上的“ 作用域 ”框中，设置分配的范围。 范围可以是管理组、订阅或资源组。 计划或策略应用于范围内的所有资源。

   

6. 选择“ 参数 ”选项卡，然后选择要在其中发送日志的特定目标。 这些详细信息因每种目标类型而异。 有关每个目标类型的参数的详细信息，请参阅本文后面的 “参数 ”。

   

7. 选择 “修正 ”选项卡。创建修正任务会将策略应用于作用域中的现有资源。 如果没有修正任务，计划或策略分配仅适用于分配后创建的新资源。

   选中“ 创建修正任务 ”复选框，确保选中 “创建托管标识 ”。 在 “托管标识类型”下，选择 “系统分配的托管标识”。

   

8. 选择 “审阅 + 创建”，然后选择“ 创建”。

使用 New-AzPolicyAssignment 命令为计划或策略创建分配。 以下示例演示如何将将类别组的 audit 日志发送任务分配到 Log Analytics 工作区。

1. 设置环境变量：

   $subscriptionId = <your subscription ID>;
   $rg = Get-AzResourceGroup -Name <your resource group name>;
   Select-AzSubscription $subscriptionId;
   $logAnalyticsWorkspaceId=</subscriptions/$subscriptionId/resourcegroups/$rg.ResourceGroupName/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>;
   

2. 使用 Get-AzPolicySetDefinition 获取倡议的定义或使用 Get-AzPolicyDefinition 获取政策的定义：

   # Initiative
   $definition = Get-AzPolicySetDefinition | Where-Object {$_.DisplayName -eq 'Enable allLogs category group resource logging for supported resources to Log Analytics'}
   
   # Policy
   $definition = Get-AzPolicyDefinition | Where-Object {$_.DisplayName -eq 'Enable logging by category group for Key vaults (microsoft.keyvault/vaults) to Log Analytics'}
   

3. 设置分配名称并配置参数。 对于此示例，参数包括 Log Analytics 工作区 ID。 有关其他目标类型的参数的信息，请参阅本文后面的 参数 。

   $assignmentName = <your assignment name>;
   $params =  @{"logAnalytics"="/subscriptions/$subscriptionId/resourcegroups/$($rg.ResourceGroupName)/providers/microsoft.operationalinsights/workspaces/<your log analytics workspace>"}  
   

4. 使用参数创建分配：

   $policyAssignment=New-AzPolicyAssignment -Name $assignmentName  -Scope $rg.ResourceId -PolicySetDefinition $definition -PolicyparameterObject $params -IdentityType 'SystemAssigned' -Location chinanorth2
   

5. 将 Contributor 角色分配给系统分配的托管标识。 对于其他计划，检查哪些角色是必需的。

   New-AzRoleAssignment -Scope $rg.ResourceId -ObjectId $policyAssignment.Identity.PrincipalId -RoleDefinitionName Contributor
   

6. 检查策略合规性。 此命令 Start-AzPolicyComplianceScan 需要几分钟才能返回。

   Start-AzPolicyComplianceScan -ResourceGroupName $rg.ResourceGroupName;
   

7. 通过调用 Get-AzPolicyState 获取要修正的资源列表和所需的参数：

   $assignmentState=Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName;   
   $policyAssignmentId=$assignmentState.PolicyAssignmentId[0];
   $policyDefinitionReferenceIds=$assignmentState.PolicyDefinitionReferenceId;
   

8. 对于每种包含不合规资源的资源类型，请启动纠正任务：

       $policyDefinitionReferenceIds | ForEach-Object {
             $referenceId = $_
             Start-AzPolicyRemediation -ResourceGroupName $rg.ResourceGroupName  -PolicyAssignmentId $policyAssignmentId   -PolicyDefinitionReferenceId $referenceId -Name "$($rg.ResourceGroupName) remediation $referenceId";
       }
   

9. 在修正任务完成时检查符合性状态：

   Get-AzPolicyState -PolicyAssignmentName  $assignmentName -ResourceGroupName $rg.ResourceGroupName|select-object IsCompliant, ResourceID
   

使用以下命令通过 Azure CLI 应用策略。 有关使用 Azure CLI 分配策略的详细信息，请参阅 Azure CLI 参考：az policy assignment。

1. 使用az policy assignment create创建一个策略分配。 此步骤需要方案或策略定义的名称或 ID，而不是显示名称。

   # Initiative        
   az policy assignment create --name <policy assignment name>  --policy-set-definition "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID>\"}}" --mi-system-assigned --location <location>
   
   # Policy
   az policy assignment create --name <policy assignment name>  --policy "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1"  --scope <scope> --params "{\"logAnalytics\": {\"value\": \"<log analytics workspace resource ID"}}" --mi-system-assigned --location <location>
   

2. 将所需的角色分配给您为策略分配创建的标识。 通过搜索 roleDefinitionIds来查找策略定义中的角色：

      ...},
         "roleDefinitionIds": [
           "/providers/Microsoft.Authorization/roleDefinitions/92aaf0da-9dab-42b6-94a3-d43ce8d16293"
         ],
         "deployment": {
           "properties": {...
   

   使用 az policy assignment identity assign 分配所需的角色。

   az policy assignment identity assign --system-assigned --resource-group <resource group name> --role <role name or ID> --identity-scope </scope> --name <policy assignment name>
   

   例如：

   az policy assignment identity assign --system-assigned --resource-group rg-001  --role 92aaf0da-9dab-42b6-94a3-d43ce8d16293 --identity-scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/rg001 --name policy-assignment-1
   

3. 为项目中的策略创建修正任务。

   修正任务是按策略创建的。 每个任务都针对项目definition-reference-id中指定的特定policyDefinitionReferenceId参数。 若要查找 definition-reference-id 参数，请使用以下命令：

   az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId
   

   使用 az policy remediation create 来修复资源：

   az policy remediation create --resource-group <resource group name> --policy-assignment <assignment name> --name <remediation task name> --definition-reference-id  "policy specific reference ID"  --resource-discovery-mode ReEvaluateCompliance
   

   例如：

   az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name "rem-assign-cli-example-01" --definition-reference-id  "keyvault-vaults"  --resource-discovery-mode ReEvaluateCompliance
   

   若要为计划中的所有策略创建修正任务，请使用以下示例：

   for policyDefinitionReferenceId in $(az policy set-definition show --name a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1 |grep policyDefinitionReferenceId |cut -d":" -f2|sed s/\"//g) 
   do 
       az policy remediation create --resource-group "cli-example-01" --policy-assignment assign-cli-example-01 --name remediate-$policyDefinitionReferenceId --definition-reference-id $policyDefinitionReferenceId; 
   done 
   

4. 触发扫描以查找现有资源，使用 az policy state trigger-scan：

   az policy state trigger-scan --resource-group rg-001
   

5. 使用 az policy remediation create以下命令创建修正任务以将策略应用到现有资源：

   az policy remediation create -g <resource group name> --policy-assignment <policy assignment name> --name <remediation name> 
   

   例如：

   az policy remediation create -g rg-001 -n remediation-001 --policy-assignment policy-assignment-1