Azure Policy: compliance en uitzonderingen¶
Azure Policy dwingt regels af op je subscription. Policies komen uit de platform baseline (toegewezen op de management groups). Sommige weigeren (deny) een deployment, sommige deployen ontbrekende instellingen (DeployIfNotExists), sommige doen alleen een audit.
Wat de baseline doorgaans doet¶
| Effect | Wat het voor jou betekent | Voorbeeld |
|---|---|---|
| Deny | Je deployment wordt geblokkeerd. Pas je ontwerp aan. | Publieke endpoints op PaaS-services, publieke IP-adressen, deployment in een niet-goedgekeurde regio |
| DeployIfNotExists | Het platform voegt een instelling voor je toe | Private DNS zone group voor een private endpoint, diagnostic settings |
| Modify | Een eigenschap wordt gecorrigeerd | Tags |
| Audit | Verschijnt als niet-compliant, er wordt niets geblokkeerd | Security benchmark initiatives |
De set policies, initiatives en uitzonderingen van je platform wordt geconfigureerd in de configuratierepository en verschilt per klant. Vraag je platformteam om de lijst, of bekijk die in de portal onder Policy → Assignments. Voor operators: zie Policy-toewijzingen.
Een voorbeeld van een klantplatform
Een klantplatform wees het volgende toe: RDP vanaf internet weigeren, losse publieke IP's op landing zones weigeren, slechts drie Europese regio's toestaan, publieke PaaS-endpoints weigeren, private DNS zone groups deployen, diagnostic settings deployen, plus audit-initiatives voor de Microsoft cloud security benchmark, CIS en de Nederlandse BIO. Jouw platform kan anders zijn. Controleer altijd je toewijzingen.
Los problemen eerst op in dev en tst
Sommige platforms auditen de baseline-initiatives alleen in dev en tst, en dwingen ze af (met deny-effecten) in
acc en prd. Niet-compliance verschijnt dan in de portal zonder dat je wordt geblokkeerd, totdat dezelfde code naar
acc of prd wordt gedeployd en wordt geweigerd. Werkt jouw platform zo, controleer dan regelmatig de compliance van je
dev- en tst-subscriptions en los problemen daar op, voordat je naar acceptatie en productie gaat.
Compliance-problemen vinden¶
- Open in de Azure portal Policy en daarna Compliance.
- Filter op je subscription, resourcetype, policy definition en de status Non-compliant.
- Open een policy assignment, kies het tabblad Resource compliance en lees de Details voor de reden.
Het platform kan de niet-compliant policies per spoke ook per e-mail naar een teammailbox sturen. Vraag of dit voor jou aan staat.
Compliance-problemen oplossen¶
- Los het op in code (voorkeur). Pas je Terraform of Bicep aan zodat de resource aan de policy voldoet. Compliance wordt later opnieuw geëvalueerd, wat even kan duren.
- Remediation task. Alleen voor DeployIfNotExists-policies, of instellingen die je niet als code kunt beheren: kies in Policy → Compliance Remediate, selecteer de resources en maak de task aan. Volg de voortgang onder Remediation.
Je bent verantwoordelijk voor de compliance van de resources die je deployt (Verantwoordelijkheden).
Een policy-uitzondering aanvragen¶
Gebruik een uitzondering alleen als een resource niet kan voldoen en het risico is geaccepteerd of gemitigeerd.
| Informatie | Beschrijving |
|---|---|
| Policy | Exacte naam of ID van de policy of initiative |
| Scope | Je subscription, een resource group of specifieke resources |
| Categorie | Waiver (risico geaccepteerd) of Mitigated (op een andere manier afgehandeld) |
| Motivering | Waarom het niet kan voldoen |
| Alternatieve maatregelen | Welke andere beheersmaatregelen het risico verkleinen |
| Einddatum | Wanneer het opnieuw wordt beoordeeld. Kies een korte periode, normaal gesproken maximaal een jaar. |
| Goedkeuring | De goedkeuring van je security officer. Veel organisaties eisen dit en registreren de uitzondering in hun ticketsysteem. |
Een uitzondering op een subscription, een resource group of een resource wordt gespiegeld naar de assignment van de Microsoft cloud security benchmark in Defender for Cloud, zodat de resource ook niet meer meetelt voor de secure score. Houd rekening met maximaal 24 uur voordat de score verandert. Een uitzondering op een management group wordt niet gespiegeld. Het proces aan de operatorkant staat in Policy-uitzonderingen.
Proces:
- Bepaal de exacte policy (zie hierboven).
- Verzamel de informatie uit de tabel.
- Vraag goedkeuring aan je security officer.
- Stuur de aanvraag met de goedkeuringsreferentie naar je platformteam. Het platformteam voegt de uitzondering toe als JSON-bestand in de configuratierepository
(
policies/policy_exemptions/…), met eenexpires_on-datum, en beoordeelt aflopende uitzonderingen regelmatig.
Uitzonderingen zijn code en worden gereviewd: zie Policy-toewijzingen. Vraag je platformteam of het een lijst bijhoudt van de uitzonderingen die op platformniveau gelden, met de reden per uitzondering.