Azure實踐之Policy與Role assignment結合應用

今天再來與各位分享一篇關于Azure Policy的應用，Policy的作用之前已經有過一次介紹，沒看過的朋友可以移步之前的博客

使用Azure Polcy強制禁止非托管磁盤VM

https://blog.51cto.com/mxyit/2347943

今天要分享的主題是如何用Policy限制Azure中的role assignment，可能很多人一提到Role Assignment，第一反應就會是RBAC。這其實很正常，因為Role assignment確實是屬于RBAC的范疇，那么RBAC和Polcicy的區別到底是什么？主要有兩點

• RBAC 關注不同范圍內的用戶操作。 你可能會被添加到資源組的參與者角色，可對該資源組做出更改。

• 策略關注部署期間的資源屬性，以及現有資源。 Policy 控制屬性，例如資源的類型或位置

很多人一提到要限制role assignment第一反應也是用RBAC來實現，但是其實，用Policy來實現這個需求有可能還會更簡單

之前有客戶提到過這樣一種情況，企業中Azure環境權限分配很混亂，有權限的人私自為其他賬號添加owner權限，這些人又私自為其他人添加owner權限，導致權限已經泛濫，客戶花了很大的精力才把權限慢慢回收回來，同時為了便于管理，客戶也希望能限制為用戶添加owner權限，為此，其中一種解決辦法就是可以通過Policy實現。Policy可以做到只允許用戶assign特定的一些role，比如只可以分批contributor或者reader這種角色，owner這種角色不允許assign，這樣可以從技術手段上杜絕權限泛濫的可能

下邊來看下具體如何實現，Policy的核心實際上就是定義rules的JSON文件，

可以看到其實實現我們的需求并不復雜，下邊的policy意思就是，如果Role ID不在roleDefinitionIds這個數組中，則拒絕添加，Role ID是什么概念呢？其實Azure中每個Role都是有一個獨立的ID的，想要查詢這個ID其實很簡單，下邊提供兩種方法

1：通過PowerShell

Get-AzureRmRoleDefinition|ft name,id -AutoSize

2：直接在網頁中查找

https://docs.microsoft.com/zh-cn/azure/role-based-access-control/built-in-roles#reader

{

         "if": {

                "allOf": [

                    {

                        "field": "type",

                        "equals": "Microsoft.Authorization/roleAssignments"

                    },

                    {

                        "not": {

                            "field": "Microsoft.Authorization/roleAssignments/roleDefinitionId",

                            "in": "[parameters('roleDefinitionIds')]"

                        }

                    }

                ]

            },

       "then": {

              "effect": "deny"

       }

}

有了Role ID之后來看一下，首先我們需要將允許添加的role id添加到數組中，比如如果只允許添加contributor和reader權限，則可以將這兩個ID添加到一個數組

[string[]]$ids="acdd72a7-3385-48ef-bd42-f606fba81ae7"

$ids+="b24988ac-6180-42a0-ab88-20f7382dd24c"

之后開始定義Role definition，包含rules定義的JSON文件已經放在restrict-roleassignment-owner2這個文件中，另外因為role id是一個可變的參數，因此在parameter參數中需要定義好參數的類型等屬性

可以看到這個parameter是一個array，也就是數組類型，也符合我們的需求

{

       "roleDefinitionIds": {

              "type": "array",

              "metadata": {

                     "description": "The list of role definition Ids",

                     "displayName": "Approved Role Definitions"

              }

       }

}

定義好之后可以開始分配這個policy了，在scope中可以靈活選擇需要assign到哪個級別，可以選擇訂閱或者單獨某個資源或者資源組都可以，這里直接選擇將policy分配到訂閱級別

定義好之后來做個最終的測試，策略已經生效了！在assign role的時候嘗試assign owner，但是已經提示policy禁止這么做了