Azure Policy とは

一言でいえば、"Azure内に存在するリソースを、ビジネス上のルールに準拠するよう一括管理できるサービス" です。特定の操作を禁止/許可するといったような使い方ができます。
Azure Portal では検索窓で "Policy" から確認することができます。

Azure Policy の定義は json 形式で定義されています。

やりたいこと

特手の VM のみのデプロイを許可したい。
今回は例として、イメージのデプロイを拒否し、例外として MS SQL の入った Windows Server のイメージのみを許可するようにしてみます。
Azure Portal で見るとこれです。

手順

発行元ID の確認

まず、以下のように "使用状況情報とサポート" から発行元ID を確認します。

今回の例だと、[microsoftsqlserver] です。

ポリシーのデプロイ

ポリシーを作成する
ポリシー → 作成 → 定義 → "+ ポリシー定義" より、新規でポリシーを作成します。

今回は以下のように設定する

ポリシールールの詳細は後述。

ポリシールールの詳細

Azure Policy でイメージの発行元を制限

{
  "mode": "All",
  "policyRule": {
    "if": {
      "allOf": [
        {
          "field": "type",
          "in": [
            "Microsoft.Compute/virtualMachines",
            "Microsoft.Compute/VirtualMachineScaleSets"
          ]
        },
        {
          "not": {
            "field": "Microsoft.Compute/imagePublisher",
            "in": "[parameters('listOfAllowedimagePublishers')]"
          }
        }
      ]
    },
    "then": {
      "effect": "deny"
    }
  },
  "parameters": {
    "listOfAllowedimagePublishers": {
      "type": "Array",
      "metadata": {
        "displayName": "Allowed image publishers",
        "description": null
      }
    }
  }
}

以下簡単な解説。

ポリシーの構造:

mode: "All"
このポリシーは、リソースグループやサブスクリプションに関係なくすべてのリソースに適用されます。

policyRule:

if:
すべての条件が満たされている場合にポリシーが適用される条件部分です。

-- "field": "type": リソースの種類が仮想マシンか仮想マシンスケールセットであること。
-- "not": {"field": "Microsoft.Compute/imagePublisher", "in": "[parameters('listOfAllowedimagePublishers')]"}: イメージの発行元が許可されたリストに含まれていないこと。

then:
条件が満たされた場合に実行されるアクションを定義します。

-- "effect": "deny": リソースの作成や更新を拒否します。

parameters:

-- listOfAllowedimagePublishers:
許可されたイメージの発行元のリストをパラメータとして定義しています。

ポリシーの割り当て

ポリシーの割り当て
スコープを設定する
今回は以下の用に特定のリソースグループを選択する。
パラメータを設定する(許可する発行元を定義する)
メモしていた発行元の ”microsoftsqlserver” をここで利用する。
配列の形式で記載する必要があるので、["microsoftsqlserver"] で記入する。

その他の　"修復"、"非準拠メッセージ" はデフォルトのまま進める。

以下でデプロイ

挙動確認

許可していないイメージ

想定通り、ポリシーが効いてデプロイができなくなっています。

許可したイメージ

こちらはポリシーのメッセージが出ていません。

参考

Azure Policy とは

以上です🙌