Definir associação de grupo de rede dinâmica no Azure Virtual Network Manager com a Política do Azure

Neste artigo, você aprenderá a usar instruções condicionais da Política do Azure para criar grupos de rede com associação dinâmica. Cria estas declarações condicionais utilizando o editor básico, selecionando parâmetros e operadores num menu pendente. Além disso, você aprende a usar o editor avançado para atualizar instruções condicionais de um grupo de rede existente.

O Azure Policy é um serviço que permite que você imponha a governança por recurso em escala. Ele pode ser usado para especificar expressões condicionais que definem a associação ao grupo, em oposição a listas explícitas de redes virtuais. Essa condição continua a alimentar seus grupos de rede dinamicamente, permitindo que as redes virtuais entrem e saiam do grupo automaticamente à medida que o cumprimento da condição muda, sem necessidade de nenhuma operação do Network Manager.

Pré-requisitos

• Uma conta do Azure com uma subscrição ativa. Crie uma conta gratuitamente.
• Para modificar grupos dinâmicos de rede, você deve receber acesso com controle de acesso baseado em função. A autorização do Administrador Clássico/legada não é suportada.

Parâmetros e operadores

As redes virtuais com associações dinâmicas são selecionadas usando instruções condicionais. Pode definir mais do que uma declaração condicional utilizando operadores lógicos, como E e OU, para cenários em que é necessário restringir ainda mais as redes virtuais selecionadas.

Lista de parâmetros suportados:

Lista de operadores suportados:

Editor básico

Suponha que você tenha as seguintes redes virtuais em sua assinatura. Cada rede virtual tem uma tag associada chamada ambiente com o respetivo valor de produção ou teste.

Você só deseja selecionar redes virtuais cuja tag tem um par de valor chave de ambiente igual à produção. Para começar a usar o editor básico para criar sua instrução condicional, você precisa criar um novo grupo de rede.

1. Vá para sua instância do Azure Virtual Network Manager e selecione Grupos de Rede em Configurações. Em seguida, selecione + Criar para criar um novo grupo de rede.

2. Insira um Nome e uma Descrição opcional para o grupo de rede e selecione Adicionar.

3. Selecione o grupo de rede na lista e selecione Criar Política do Azure.

4. Introduza um nome da política e mantenha as seleções de Âmbito, a menos que seja necessário efetuar alterações.

5. Em Critérios, selecione Tags na lista suspensa em Parâmetro e, em seguida, selecione Par de valores de chave na lista suspensa em Operador.

6. Insira o ambiente e a produção em Condição e selecione Visualizar recursos. Você deve ver myVNet01-EastUS e myVNet01-WestUS aparecerem na lista.

   

7. Selecione Fechar e Salvar.

8. Após alguns minutos, selecione seu grupo de rede e selecione Membros do Grupo em Configurações. Deves ver apenas myVNet01-EastUS e myVNet01-WestUS.

Editor avançado

O editor avançado pode ser usado para selecionar redes virtuais durante a criação de um grupo de rede ou ao atualizar um grupo de rede existente. Com base em JSON, o editor avançado é útil para criar e atualizar instruções condicionais complexas da Política do Azure por usuários experientes.

Criar uma nova política com editor avançado

1. Vá para sua instância do Azure Virtual Network Manager e selecione Grupos de Rede em Configurações. Em seguida, selecione + Criar para criar um novo grupo de rede.

2. Insira um Nome e uma Descrição opcional para o grupo de rede e selecione Adicionar.

3. Selecione o grupo de rede na lista e selecione Criar Política do Azure.

4. Introduza um nome da política e mantenha as seleções de Âmbito, a menos que seja necessário efetuar alterações.

5. Em Critérios, selecione Editor avançado (JSON) para abrir o editor.

6. Insira o seguinte código JSON na caixa de texto e selecione Salvar:

      {
      "field": "Name",
      "contains": "myVNet01"
      }
   

7. Após alguns minutos, selecione seu grupo de rede e selecione Membros do Grupo em Configurações. Você só deve ver myVNet01-WestUS e myVNet01-EastUS.

Editar uma política existente

1. Selecione o grupo de rede criado na seção anterior. Em seguida, selecione o separador Políticas.

2. Selecione a política criada na seção anterior.

3. Você vê as instruções condicionais para o grupo de rede na visualização avançada do editor da seguinte maneira:

   [
     {
        "field": "Name",
        "contains": "myVNet01"
     }
   ]
   

4. Para adicionar outra instrução condicional para um campo Name que não contémWestUS, digite o seguinte no editor avançado:

   {
      "allOf": [
   
         {
            "field": "Name",
            "contains": "VNet01"
         },
         {
            "field": "Name",
            "notcontains": "WestUS"
         }
      ]
   }
   

   O "allOf" parâmetro contém ambas as instruções condicionais que são separadas pelo operador lógico AND .

5. Selecione Guardar.

6. Após alguns minutos, selecione seu grupo de rede e selecione Membros do Grupo em Configurações. Você só deve ver myVNet01-EastUS.

Consulte Parâmetro e operadores para obter a lista completa de parâmetros e operadores que você pode usar com o editor avançado.

Mais exemplos

Aqui estão mais exemplos de instruções condicionais no editor avançado.

Exemplo 1: Apenas operador OR

Este exemplo usa o operador lógico OR para separar duas instruções condicionais.

• Editor básico:

  

• Operador avançado:

  {
     "anyOf": [
        {
           "field": "Name",
           "contains": "myVNet01"
        },
        {
           "field": "Name",
           "contains": "myVNet02"
        }
     ]
  }
  

O "anyOf" parâmetro contém ambas as instruções condicionais que são separadas pelo operador lógico OR .

Exemplo 2: Operador AND e OR ao mesmo tempo

• Editor básico:

  

• Editor avançado:

{
   "allOf": [
      {
         "anyOf": [
            {
               "field": "Name",
               "contains": "myVNet01"
            },
            {
               "field": "Name",
               "contains": "myVNet02"
            }
         ]
      },
      {
         "field": "Name",
         "notcontains": "West"
      }
   ]
}

Ambos "allOf" e "anyOf" são usados no código. Como o operador AND é o último da lista, ele está na parte externa do código que contém as duas instruções condicionais com o operador OR .

Exemplo 3: Usando valores de tag personalizados com editor avançado

Neste exemplo, é criada uma instrução condicional que localiza redes virtuais em que o nome inclui myVNet E a etiqueta environment é igual a production.

• Editor avançado:

  
     {
          "allOf": [
            {
               "field": "Name",
               "contains": "myVNet"
            },      
            {
               "field": "tags['environment']",
               "equals": "production"
            }
          ]    
     }
  
  

  Nota

  As condicionais devem filtrar o tipo de recurso Microsoft.Network/virtualNetwork para melhorar a eficiência. Esta condição é aplicada para si em quaisquer condicionais especificadas através do portal.

Próximos passos

• Saiba mais sobre os grupos da rede.
• Crie uma instância do Azure Virtual Network Manager .
• Criar e gerir políticas para impor a conformidade