Zum Inhalt

Upgrade-Leitfäden für den Spoke canvas (v2.9.x und v2.10.0)

Der Spoke canvas war früher ein eigenes Produkt mit eigenen Versionen (Glossar). Diese beiden Leitfäden gehören zu diesem Produkt, als seine Konfiguration noch in einer Datei common.tf im Spoke-Konfigurations-Repository lag.

Wo diese Einstellung heute liegt

In der aktuellen Plattform sind dieselben Einstellungen Teil von mcp.json und der Spoke-JSON: Shared Services in SpokeCommon.shared_services und das PIM-Verhalten pro Gruppe in PIMGroupConfig (nopim, self-approve, approval). Siehe mcp.json und die Spoke-JSON-Referenz. Nutze diese Leitfäden nur, wenn du noch den älteren, separaten Spoke canvas betreibst. Die Einstellungen in common.tf erklärt Allgemeine spoke-Einstellungen.

Lies sie der Reihe nach. Jeder Leitfaden gilt für das Versionspaar in seinem Titel.

Spoke canvas 2.9.0 und 2.9.1

Version 2.9.0 hat die alte Konfiguration der IP-Adressverwaltung (IPAM) entfernt und Spoke-Erweiterungen hinzugefügt, die Shared Services nutzen. In common.tf:

  1. Entferne das Objekt ipaminfo und aus jedem Regionseintrag die IPAM-Werte (ipamspace, ipamblockprd, ipamblocknonprd und die zugehörigen Zeilen).

  2. Füge ein Objekt shared_services hinzu. Verwende dieselbe subscription-ID wie die virtualhubsubscriptionid im Objekt networking:

    shared_services = {
  subscription_id = "<hub subscription id>"
}

Spoke canvas 2.9.1 und 2.10.0

Version 2.10.0 macht das PIM-Verhalten der Spoke-Gruppen konfigurierbar. Füge in common.tf das Objekt pim_configurations mit drei benannten Profilen hinzu:

pim_configurations = {

  nopim = {
    assignment    = "active"
    activation    = null
    approvals     = null
    notifications = null
  }

  self-approve = {
    assignment = "eligible"
    activation = {
      maximum_duration      = "PT8H"
      require_justification = true
      require_approval      = false
      require_mfa           = false
    }
    approvals     = null
    notifications = null
  }

  approval = {
    assignment = "eligible"
    activation = {
      maximum_duration      = "PT8H"
      require_justification = true
      require_approval      = true
      require_mfa           = false
    }
    approvals     = null
    notifications = null
  }

}

Die Profile bedeuten: nopim ergibt eine aktive Mitgliedschaft, self-approve ergibt eine Eligible-Mitgliedschaft, die der Benutzer ohne Genehmigung aktiviert, und approval ergibt eine Eligible-Mitgliedschaft, die eine Genehmigung braucht. Die Werte sind die, die mit der Version ausgeliefert wurden. Prüfe sie gegen deine eigene Zugriffsrichtlinie (zum Beispiel, ob bei der Aktivierung MFA verlangt wird), bevor du sie anwendest (Zugriff und PIM).

Was die Einstellungen in common.tf bewirken

Der ältere Spoke canvas las eine einzelne Datei common.tf mit den Einstellungen, die für jeden spoke gelten. Die obigen Upgrade-Schritte ändern sie. Die Gruppen von Einstellungen beschreibt die Modulreferenz. Eine Änderung der Gültigkeitsdauer der Secrets erzeugt neue Secrets für alle Service Principals der spokes, plane eine solche Änderung also wie eine Rotation.