Azure Policy, efecto y alcance

El efecto deny rechaza la solicitud de crear o modificar un recurso que no cumple: la petición vuelve con un error de acceso denegado y el recurso no se crea. El efecto audit deja pasar la solicitud y solo marca el recurso como no conforme en el informe de cumplimiento. Son dos políticas con el mismo texto de condición y consecuencias opuestas.

Muchas definiciones se escriben con el efecto como parámetro, de modo que quien asigna decide. Una asignación en Audit es una decisión legítima mientras se mide el impacto, pero es un error si se queda así por olvido y se cree que está bloqueando.

Para predecir una solicitud hay que seguir un orden: en qué grupo de administración está la suscripción, qué asignaciones tiene encima, si esa suscripción figura en las exclusiones de la asignación, y qué efecto y qué modo tiene. Las asignaciones heredadas se evalúan una por una y el resultado es el más restrictivo de todas.

Abre jerarquia.txt, asignaciones.txt y solicitudes.txt. Recorre las solicitudes y detecta la única que la política de ubicaciones rechaza.

En Brasero hay una política que vigila el acceso anónimo a los blobs de las cuentas de almacenamiento. Lee su definición: el efecto lo da un parámetro. Después lee la asignación y mira qué valor se le dio.

Una de las solicitudes de ejemplo crea una cuenta de almacenamiento con el acceso anónimo activado. No hay nada en la lista de ubicaciones que la frene: la región es una de las permitidas.

Una política nueva no limpia el pasado. Cuando se evalúan los recursos que ya existían, los que coinciden con una política deny se marcan como no conformes; no se borran ni se detienen. El efecto de rechazo actúa sobre lo que se cree o se cambie a partir de entonces. Limpiar lo viejo es un trabajo aparte, con su responsable y su plazo.

Abre el estado de cumplimiento de Brasero y lee la situación de la máquina antigua que está fuera de las ubicaciones permitidas.

Una asignación tiene un modo. En el modo por defecto el efecto se aplica al crear o modificar recursos. En DoNotEnforce se evalúa el cumplimiento pero el efecto no se aplica: sirve para probar el impacto de una política antes de activarla. Es una herramienta buena que se vuelve un fallo cuando se deja puesta para siempre y nadie lo recuerda.

Recorre las tres asignaciones de Brasero y busca la que está en ese modo.