Ressourcen nur in genehmigten Regionen? Weise Azure Policy zu

CloudTrips-Ressourcen dürfen nur in genehmigten Azure-Regionen bereitgestellt werden. Weise Azure subscription 1 die integrierte Richtlinie Allowed locations zu.

Verwende:

Scope: Azure subscription 1
Policy definition: Allowed locations
Assignment name: CloudTrips - Allowed resource locations
Allowed locations: West Europe, Germany West Central
Policy enforcement: Enabled

Wirkung der Richtlinie verstehen

Die integrierte Richtlinie Allowed locations wertet die Eigenschaft location unterstützter Azure-Ressourcen aus. Ihr Deny-Effekt blockiert eine Erstellungs- oder Aktualisierungsanforderung, wenn die gewählte Region nicht in der erlaubten Liste enthalten ist.

Die Zuweisung verschiebt oder löscht keine vorhandenen Ressourcen. Vorhandene Ressourcen außerhalb der genehmigten Regionen können als nicht konform erscheinen und müssen separat geprüft werden.

Ressourcengruppen besitzen einen eigenen Standort für die Speicherung von Bereitstellungsmetadaten. Sollen auch ihre Standorte beschränkt werden, weise zusätzlich die separate integrierte Richtlinie Allowed locations for resource groups zu. Dieser Trip beschränkt nur Ressourcen.

Einige Azure-Dienste verwenden den Standort global oder besitzen dienstspezifisches regionales Verhalten. Prüfe benötigte globale Ressourcen, bevor du entscheidest, ob auch Global erlaubt werden muss.

Richtlinienzuweisung starten

Öffne im Azure-Portal:

Policy
> Authoring
> Assignments
> Assign policy

Konfiguriere unter Basics:

Scope: Azure subscription 1
Exclusions: None
Policy definition: Allowed locations
Assignment name: CloudTrips - Allowed resource locations
Policy enforcement: Enabled

Das Abonnement als Bereich wendet die Richtlinie auf seine Ressourcengruppen und Ressourcen an. Füge eine Ausnahme nur hinzu, wenn sie dokumentiert und genehmigt wurde.

Genehmigte Regionen auswählen

Öffne Parameters und wähle:

Allowed locations:
- West Europe
- Germany West Central

Wähle ausschließlich die für CloudTrips-Workloads genehmigten Regionen. Die Liste enthält Azure-Standorte, keine Ressourcengruppennamen oder Verfügbarkeitszonen.

Zuweisung prüfen und erstellen

Für diese Deny-Richtlinie sind keine verwaltete Identität und keine Remediation Task erforderlich, da sie Ressourcen nicht verändert.

Füge eine Nichtkonformitätsmeldung hinzu, wenn das Portal diese Option anbietet:

CloudTrips resources may only be deployed in West Europe or Germany West Central.

Wähle Review + create, prüfe Bereich, Definition, Durchsetzung und Parameter und wähle anschließend Create.

Konformität prüfen

Die Richtlinienauswertung erfolgt nicht immer sofort. Öffne nach der Auswertung durch Azure:

Policy
> Compliance
> CloudTrips - Allowed resource locations

Prüfe konforme und nicht konforme Ressourcen. Eine vorhandene nicht konforme Ressource wird gemeldet, aber nicht automatisch verschoben oder gelöscht.

Einschränkung testen

Beginne mit der Erstellung eines temporären Speicherkontos in einer nicht genehmigten Region wie East US. Verwende die vorhandene Ressourcengruppe rg-customer-portal-dev-weu, erwarte aber keine erfolgreiche Bereitstellung.

Azure sollte die Bereitstellung verweigern und die Richtlinienzuweisung in den Fehlerdetails anzeigen. Beende den Test nach der Bestätigung der Ablehnung; es sollte keine temporäre Ressource erstellt werden.

Wiederhole die Validierung nur dann mit West Europe, wenn eine echte Ressource benötigt wird. Ein genehmigter Standort umgeht weder RBAC noch Kontingente, Namensregeln, Sperren oder andere Azure-Policy-Zuweisungen; diese Kontrollen werden separat ausgewertet.

Neue unterstützte Ressourcen in Azure subscription 1 sind jetzt auf die genehmigten CloudTrips-Regionen beschränkt.