Azure Policy a vnet peering-hez
Most mindenki az openAI-t akarja kipróbálni, tesztelgetik, ismerkednek vele. Azonban az openAI nem érhető el minden régióban, de ha van, akkoris lehetséges, hogy nem a megfelelő verzió van ott. Szerencsére nem kell mindenhol kiépítenünk mindent, elég, ha a szükséges régiók között van egy vnet peering. Itt kezdődnek a megoldandó feladatok, mert a vnet peering nem mindenhol engedélyezett, de ha igen, akkor is csak a megfelelő vnet-ek között, amit a központi csapat managel és jó esetben ellenőrzi is Azure Policy-val. A rosszabbik esetben manuálisan, a még ennél is rosszabb esetben pedig egyáltalán nem. Ennek a problémának a megoldására írtam egy új Azure Policy-t, aminek a segítségével előfizetésen belül egedélyezett a vnet peering használata, illetve a központi vnet-ek közötti. Amennyiben van olyan vnet az előfizetésben, amihez nem szeretnénk, hogy csatlakozzanak direktben, így azt is megadhatjuk, de az már egy másik policy lesz.
Azure Policy
A felépítése nagyon egyszerű, csak kicsit hosszúra sikerült a belső logikák miatt.
Első felében a policy ellenőrzi, hogy a remotepeer cél vnet-e az ugyanabban az előfizetésben van-e benne, ahol a mi vnetünk is található.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
{
"anyOf": [
{
"allOf": [
{
"equals": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings",
"field": "type"
},
{
"not": {
"field": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings/remoteVirtualNetwork.id",
"like": "[concat('/subscriptions/', subscription().subscriptionId,'/*')]"
}
}
]
},
{
"allOf": [
{
"equals": "Microsoft.Network/virtualNetworks",
"field": "type"
},
{
"count": {
"field": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings[*]",
"where": {
"allOf": [
{
"not": {
"field": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings[*].remoteVirtualNetwork.id",
"like": "[concat('/subscriptions/', subscription().subscriptionId,'/*')]"
}
}
]
}
},
"greater": 0
},
{
"not": {
"exists": false,
"field": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings[*].remoteVirtualNetwork.id"
}
}
]
}
]
}
Ha igaz, akkor a policy nem engedélyezi a deployment-et.
A policy második felében pedig ellenőrzi, hogy a cél vnet a paraméterek között megadott egyik vnet-e. Amennyiben nem, akkor a policy nem engedélyezi a deployment-et.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
{
"anyOf": [
{
"allOf": [
{
"field": "type",
"equals": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings"
},
{
"not": {
"field": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings/remoteVirtualNetwork.id",
"in": "[parameters('allowedVnets')]"
}
}
]
},
{
"allOf": [
{
"field": "type",
"equals": "Microsoft.Network/virtualNetworks"
},
{
"not": {
"field": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings[*].remoteVirtualNetwork.id",
"in": "[parameters('allowedVnets')]"
}
},
{
"not": {
"field": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings[*].remoteVirtualNetwork.id",
"exists": false
}
}
]
}
]
}
Természetesen egyszerre kell néznünk ezt a két feltételt, különben ha szétválasztanánk, az egyik policy mindig megakadályozná a deployment-et, de semmi gond, így néz ki egyben az egész:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
{
"mode": "All",
"policyRule": {
"if": {
"allOf": [
{
"anyOf": [
{
"allOf": [
{
"equals": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings",
"field": "type"
},
{
"not": {
"field": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings/remoteVirtualNetwork.id",
"like": "[concat('/subscriptions/', subscription().subscriptionId,'/*')]"
}
}
]
},
{
"allOf": [
{
"equals": "Microsoft.Network/virtualNetworks",
"field": "type"
},
{
"count": {
"field": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings[*]",
"where": {
"allOf": [
{
"not": {
"field": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings[*].remoteVirtualNetwork.id",
"like": "[concat('/subscriptions/', subscription().subscriptionId,'/*')]"
}
}
]
}
},
"greater": 0
},
{
"not": {
"exists": false,
"field": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings[*].remoteVirtualNetwork.id"
}
}
]
}
]
},
{
"anyOf": [
{
"allOf": [
{
"field": "type",
"equals": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings"
},
{
"not": {
"field": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings/remoteVirtualNetwork.id",
"in": "[parameters('allowedVnets')]"
}
}
]
},
{
"allOf": [
{
"field": "type",
"equals": "Microsoft.Network/virtualNetworks"
},
{
"not": {
"field": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings[*].remoteVirtualNetwork.id",
"in": "[parameters('allowedVnets')]"
}
},
{
"not": {
"field": "Microsoft.Network/virtualNetworks/virtualNetworkPeerings[*].remoteVirtualNetwork.id",
"exists": false
}
}
]
}
]
}
]
},
"then": {
"effect": "[parameters('effect')]"
}
},
"parameters": {
"effect": {
"type": "String",
"metadata": {
"displayName": "Effect",
"description": "Enable or disable the execution of the policy"
},
"allowedValues": [
"deny",
"audit",
"disabled"
],
"defaultValue": "deny"
},
"allowedVnets": {
"type": "Array",
"metadata": {
"displayName": "Allowed vNets to peer with",
"description": "Array of allowed vNets that can be peered with. Must be entered using their resource ID. Example: /subscriptions/{subId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Network/virtualNetworks/{vnetName}"
},
"defaultValue": []
}
}
}