Azure Policy: Compliance und Ausnahmen¶
Azure Policy erzwingt Regeln auf deiner subscription. Die Policies stammen aus der Plattform-Baseline (zugewiesen auf den management groups). Manche blockieren ein Deployment (Deny), manche stellen fehlende Einstellungen bereit (DeployIfNotExists), manche prüfen nur (Audit).
Was die Baseline typischerweise tut¶
| Effekt | Was das für dich bedeutet | Beispiel |
|---|---|---|
| Deny | Dein Deployment wird blockiert. Ändere dein Design. | Öffentliche Endpunkte bei PaaS-Diensten, öffentliche IP-Adressen, Deployment in einer nicht genehmigten Region |
| DeployIfNotExists | Die Plattform ergänzt eine Einstellung für dich | Private DNS zone group für einen private endpoint, Diagnostic Settings |
| Modify | Eine Eigenschaft wird korrigiert | Tags |
| Audit | Erscheint als nicht konform, nichts wird blockiert | Security-Benchmark-initiatives |
Die Menge der Policies, initiatives und Ausnahmen deiner Plattform wird im Konfigurations-Repository festgelegt und unterscheidet sich je Kunde. Frag dein Plattform-Team nach der Liste oder lies sie im Portal unter Policy → Assignments nach. Für Operatoren: siehe Policy-Zuweisungen.
Ein Beispiel aus einer Kundenplattform
Eine Kundenplattform hat zugewiesen: RDP aus dem Internet blockieren (Deny), eigenständige öffentliche IPs auf landing zones blockieren, nur drei europäische Regionen erlauben, öffentliche PaaS-Endpunkte blockieren, Private DNS zone groups bereitstellen, Diagnostic Settings bereitstellen sowie Audit-initiatives für den Microsoft Cloud Security Benchmark, CIS und die niederländische BIO. Deine Plattform kann anders aussehen. Prüfe immer deine Zuweisungen.
Behebe Probleme zuerst in dev und tst
Manche Plattformen prüfen die Baseline-initiatives in dev und tst nur (Audit) und erzwingen sie (mit Deny-Effekten) in
acc und prd. Nicht-Konformität erscheint dann im Portal, ohne dich zu blockieren, bis derselbe Code in
acc oder prd deployt und dort abgelehnt wird. Wenn deine Plattform so arbeitet, prüfe die Compliance deiner dev- und tst-
subscriptions regelmäßig und behebe Probleme dort, bevor du in Abnahme und Produktion gehst.
Compliance-Probleme finden¶
- Öffne im Azure-Portal Policy und dann Compliance.
- Filtere nach deiner subscription, dem Ressourcentyp, der Policy-Definition und dem Status Non-compliant.
- Öffne eine Policy-Zuweisung, wähle den Tab Resource compliance und lies die Details für den Grund.
Die Plattform kann die nicht konformen Policies pro Spoke auch per E-Mail an ein Team-Postfach senden. Frag nach, ob das für dich aktiviert ist.
Compliance-Probleme beheben¶
- Im Code beheben (bevorzugt). Ändere dein Terraform oder Bicep so, dass die Ressource die Policy erfüllt. Die Compliance wird später neu bewertet, was etwas dauern kann.
- Remediation-Task. Nur für DeployIfNotExists-Policies oder Einstellungen, die du nicht als Code verwalten kannst: Wähle in Policy → Compliance Remediate, selektiere die Ressourcen und erstelle den Task. Verfolge ihn unter Remediation.
Du bist für die Compliance der Ressourcen verantwortlich, die du bereitstellst (Verantwortlichkeiten).
Policy-Ausnahme beantragen¶
Nutze eine Ausnahme nur, wenn eine Ressource nicht konform sein kann und das Risiko akzeptiert oder gemindert ist.
| Information | Beschreibung |
|---|---|
| Policy | Genauer Name oder ID der Policy bzw. initiative |
| Scope | Deine subscription, eine resource group oder bestimmte Ressourcen |
| Kategorie | Waiver (Risiko akzeptiert) oder Mitigated (anderweitig abgefangen) |
| Begründung | Warum die Konformität nicht möglich ist |
| Alternative Maßnahmen | Welche anderen Kontrollen das Risiko verringern |
| Ablaufdatum | Wann sie erneut geprüft wird. Wähle einen kurzen Zeitraum, normalerweise höchstens ein Jahr. |
| Genehmigung | Die Genehmigung deines Security Officers. Viele Organisationen verlangen sie und erfassen die Ausnahme in ihrem Ticketsystem. |
Eine Ausnahme auf einer subscription, einer resource group oder einer Ressource wird in die Zuweisung des Microsoft cloud security benchmark von Defender for Cloud gespiegelt, sodass die Ressource auch nicht mehr in den Secure Score einfließt. Rechne mit bis zu 24 Stunden, bis sich der Score ändert. Eine Ausnahme auf einer management group wird nicht gespiegelt. Der Ablauf auf der Betreiberseite steht unter Policy-Ausnahmen.
Ablauf:
- Ermittle die genaue Policy (siehe oben).
- Sammle die Informationen aus der Tabelle.
- Hole die Genehmigung deines Security Officers ein.
- Sende die Anfrage mit der Referenz der Genehmigung an dein Plattform-Team. Das Plattform-Team legt die Ausnahme als JSON-Datei im Konfigurations-Repository an
(
policies/policy_exemptions/…), mit einemexpires_on-Datum, und prüft ablaufende Ausnahmen regelmäßig.
Ausnahmen sind Code und werden geprüft: siehe Policy-Zuweisungen. Frag dein Plattform-Team, ob es eine Liste der Ausnahmen führt, die auf Plattformebene gelten, mit dem Grund für jede.