Øvelse – Opdater og version af en skabelonspecifikation

  • 4 minutter

Specifikationen af din Azure Cosmos DB-skabelon bruges nu i hele organisationen til at klargøre mange nye Azure Cosmos DB-konti. Derfor er de alle konfigureret til at bruge kontinuerlig sikkerhedskopiering.

Dit sikkerhedsteam har for nylig gennemset sikkerhedsfunktionerne i Azure Cosmos DB. Den besluttede, at nye konti skal bruge Microsoft Entra-godkendelse og rollebaseret adgangskontrol i Azure Cosmos DB.

I denne øvelse skal du opdatere skabelonspecifikationen med en ny version, der indeholder den opdaterede godkendelseskonfiguration.

Under processen skal du:

  • Opdater skabelonen for at omkonfigurere sikkerhedskopipolitikken.
  • Publicer en ny version af skabelonspecifikationen.
  • Kontrollér, at skabelonspecifikationen er blevet opdateret.
  • Test den nye version af skabelonspecifikationen ved at installere en anden Azure Cosmos DB-konto.

Opdater skabelonen

  1. Åbn filen azuredeploy.json i Visual Studio Code.

  2. Opdater azuredeploy.json-filen, så den indeholder følgende ændringer:

    {
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "location": {
      "type": "string",
      "defaultValue": "[resourceGroup().location]",
      "metadata": {
        "description": "The Azure region into which the Cosmos DB resources should be deployed."
      }
    },
    "cosmosDBAccountName": {
      "type": "string",
      "defaultValue": "[concat('toy-', uniqueString(resourceGroup().id))]",
      "maxLength": 44,
      "minLength": 3,
      "metadata": {
        "description": "The name of the Cosmos DB account. This name must be globally unique, and it must only include lowercase letters, numbers, and hyphens."
      }
    },
    "roleDefinitionFriendlyName": {
      "type": "string",
      "defaultValue": "Read and Write",
      "metadata": {
        "description": "A descriptive name for the role definition."
      }
    },
    "roleDefinitionDataActions": {
      "type": "array",
      "defaultValue": [
        "Microsoft.DocumentDB/databaseAccounts/readMetadata",
        "Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*"
      ],
      "metadata": {
        "description": "The list of actions that the role definition permits."
      }
    },
    "roleAssignmentPrincipalId": {
      "type": "string",
      "metadata": {
        "description": "The object ID of the Azure AD principal that should be granted access using the role definition."
      }
    }
  },
  "variables": {
    "roleDefinitionName": "[guid('sql-role-definition', resourceId('Microsoft.DocumentDB/databaseAccounts', parameters('cosmosDBAccountName')))]",
    "roleAssignmentName": "[guid('sql-role-assignment', resourceId('Microsoft.DocumentDB/databaseAccounts', parameters('cosmosDBAccountName')))]"
  },
  "resources": [
    {
      "type": "Microsoft.DocumentDB/databaseAccounts",
      "apiVersion": "2021-04-15",
      "name": "[parameters('cosmosDBAccountName')]",
      "kind": "GlobalDocumentDB",
      "location": "[parameters('location')]",
      "properties": {
        "consistencyPolicy": {
          "defaultConsistencyLevel": "Session"
        },
        "locations": [
          {
            "locationName": "[parameters('location')]",
            "failoverPriority": 0,
            "isZoneRedundant": false
          }
        ],
        "databaseAccountOfferType": "Standard",
        "enableAutomaticFailover": false,
        "enableMultipleWriteLocations": false,
        "backupPolicy": {
          "type": "Continuous"
        }
      }
    },
    {
      "type": "Microsoft.DocumentDB/databaseAccounts/sqlRoleDefinitions",
      "apiVersion": "2021-04-15",
      "name": "[format('{0}/{1}', parameters('cosmosDBAccountName'), variables('roleDefinitionName'))]",
      "properties": {
        "roleName": "[parameters('roleDefinitionFriendlyName')]",
        "type": "CustomRole",
        "assignableScopes": [
          "[resourceId('Microsoft.DocumentDB/databaseAccounts', parameters('cosmosDBAccountName'))]"
        ],
        "permissions": [
          {
            "dataActions": "[parameters('roleDefinitionDataActions')]"
          }
        ]
      },
      "dependsOn": [
        "[resourceId('Microsoft.DocumentDB/databaseAccounts', parameters('cosmosDBAccountName'))]"
      ]
    },
    {
      "type": "Microsoft.DocumentDB/databaseAccounts/sqlRoleAssignments",
      "apiVersion": "2021-04-15",
      "name": "[format('{0}/{1}', parameters('cosmosDBAccountName'), variables('roleAssignmentName'))]",
      "properties": {
        "roleDefinitionId": "[resourceId('Microsoft.DocumentDB/databaseAccounts/sqlRoleDefinitions', parameters('cosmosDBAccountName'), variables('roleDefinitionName'))]",
        "principalId": "[parameters('roleAssignmentPrincipalId')]",
        "scope": "[resourceId('Microsoft.DocumentDB/databaseAccounts', parameters('cosmosDBAccountName'))]"
      },
      "dependsOn": [
        "[resourceId('Microsoft.DocumentDB/databaseAccounts', parameters('cosmosDBAccountName'))]",
        "[resourceId('Microsoft.DocumentDB/databaseAccounts/sqlRoleDefinitions', parameters('cosmosDBAccountName'), variables('roleDefinitionName'))]"
      ]
    }
  ]
}

  3. Gem filen.

  1. Åbn filen main.bicep i Visual Studio Code.

  2. Opdater filen main.bicep, så den indeholder følgende ændringer:

    @description('The Azure region into which the Cosmos DB resources should be deployed.')
param location string = resourceGroup().location

@description('The name of the Cosmos DB account. This name must be globally unique, and it must only include lowercase letters, numbers, and hyphens.')
@minLength(3)
@maxLength(44)
param cosmosDBAccountName string = 'toy-${uniqueString(resourceGroup().id)}'

@description('A descriptive name for the role definition.')
param roleDefinitionFriendlyName string = 'Read and Write'

@description('The list of actions that the role definition permits.')
param roleDefinitionDataActions array = [
  'Microsoft.DocumentDB/databaseAccounts/readMetadata'
  'Microsoft.DocumentDB/databaseAccounts/sqlDatabases/containers/items/*'
]

@description('The object ID of the Azure AD principal that should be granted access using the role definition.')
param roleAssignmentPrincipalId string

var roleDefinitionName = guid('sql-role-definition', cosmosDBAccount.id)
var roleAssignmentName = guid('sql-role-assignment', cosmosDBAccount.id)

resource cosmosDBAccount 'Microsoft.DocumentDB/databaseAccounts@2021-04-15' = {
  name: cosmosDBAccountName
  kind: 'GlobalDocumentDB'
  location: location
  properties: {
    consistencyPolicy: {
      defaultConsistencyLevel: 'Session'
    }
    locations: [
      {
        locationName: location
        failoverPriority: 0
        isZoneRedundant: false
      }
    ]
    databaseAccountOfferType: 'Standard'
    enableAutomaticFailover: false
    enableMultipleWriteLocations: false
  }
}

resource roleDefinition 'Microsoft.DocumentDB/databaseAccounts/sqlRoleDefinitions@2021-04-15' = {
  parent: cosmosDBAccount
  name: roleDefinitionName
  properties: {
    roleName: roleDefinitionFriendlyName
    type: 'CustomRole'
    assignableScopes: [
      cosmosDBAccount.id
    ]
    permissions: [
      {
        dataActions: roleDefinitionDataActions
      }
    ]
  }
}

resource roleAssignment 'Microsoft.DocumentDB/databaseAccounts/sqlRoleAssignments@2021-04-15' = {
  parent: cosmosDBAccount
  name: roleAssignmentName
  properties: {
    roleDefinitionId: roleDefinition.id
    principalId: roleAssignmentPrincipalId
    scope: cosmosDBAccount.id
  }
}

  3. Gem filen.

Udgiv en ny version af skabelonspecifikationen

Publicer skabelonspecifikationen ved hjælp af denne Azure PowerShell-cmdlet i Visual Studio Code-terminalen:

New-AzTemplateSpec `
  -ResourceGroupName <rgn>[sandbox resource group name]</rgn> `
  -Name ToyCosmosDBAccount `
  -Version '2.0' `
  -VersionDescription 'Adds Cosmos DB role-based access control.' `
  -TemplateFile main.bicep

New-AzTemplateSpec `
  -ResourceGroupName <rgn>[sandbox resource group name]</rgn> `
  -Name ToyCosmosDBAccount `
  -Version '2.0' `
  -VersionDescription 'Adds Cosmos DB role-based access control.' `
  -TemplateFile azuredeploy.json

Publicer skabelonspecifikationen ved hjælp af denne Kommandolinjegrænseflade i Azure i Visual Studio Code-terminalen:

az ts create \
  --name ToyCosmosDBAccount \
  --version 2.0 \
  --version-description "Adds Cosmos DB role-based access control." \
  --template-file main.bicep

az ts create \
  --name ToyCosmosDBAccount \
  --version 2.0 \
  --version-description "Adds Cosmos DB role-based access control." \
  --template-file azuredeploy.json

Kontrollér skabelonspecifikationen

  1. Gå tilbage til Azure Portal i din browser. Gå til din ressourcegruppe.

  2. Vælg skabelonspecifikationen. Bemærk, at den nyeste version nu er angivet som 2.0.

    Skærmbillede af Azure Portal-grænsefladen for skabelonspecifikationen, der viser den nyeste version som 2.0.

  3. Vælg menupunktet Versioner. Bemærk, at begge versioner nu er angivet.

    Skærmbillede af Azure Portal-grænsefladen for skabelonspecifikationen, der viser listen over versioner som 1.0 og 2.0.

    Med skabelonspecifikationer kan du gå tilbage til tidligere versioner af skabelonspecifikationen, hvis du har brug for det.

Udrul den nye skabelonspecifikation

  1. Hent ressource-id'et for den nye skabelonspecifikation ved at køre følgende Azure PowerShell-kommando:

    $templateSpecVersionResourceId = ( `
   Get-AzTemplateSpec `
      -ResourceGroupName <rgn>[sandbox resource group name]</rgn> `
      -Name ToyCosmosDBAccount `
      -Version 2.0 `
   ).Versions[0].Id

    Bemærk, at du bruger egenskaben Versions til at hente ressource-id'et for skabelonspecifikationen.

  2. Den nye skabelonspecifikation har en parameter for brugerens hoved-id. Brug følgende kommandoer til at hente hoved-id'et for din egen brugerkonto:

    $token = (Get-AzAccessToken -ResourceUrl "https://graph.windows.net/").Token
$userObjectId = (Invoke-RestMethod -Uri 'https://graph.windows.net/me?api-version=1.6' -Headers @{ 'Authorization' = "Bearer $token"}).objectID

    Kommandoerne bruger Microsoft Graph API til at forespørge din egen brugerprofil.

  3. Udrul skabelonspecifikationen ved hjælp af denne Azure PowerShell-kommando i Visual Studio Code-terminalen:

    New-AzResourceGroupDeployment `
  -TemplateSpecId $templateSpecVersionResourceId `
  -roleAssignmentPrincipalId $userObjectId

  1. Hent ressource-id'et for skabelonspecifikationen ved at køre følgende Azure CLI-kommando:

    id=$(az ts show \
 --name ToyCosmosDBAccount \
 --resource-group "<rgn>[sandbox resource group name]</rgn>" \
 --version "2.0" \
 --query "id")

  2. Udrul skabelonspecifikationen ved hjælp af denne Azure CLI-kommando i Visual Studio Code-terminalen:

    az deployment group create \
 --template-spec $id \
 --parameters roleAssignmentPrincipalId="d68d19b3-d7ef-4ae9-9ee4-90695a4e417d"

Udrulningen kan tage et minut eller to at fuldføre.

Kontrollér installationen

  1. Gå tilbage til Azure Portal i din browser. Gå til din ressourcegruppe.

  2. Ud for Installationerskal du vælge 2 Fuldført.

    Skærmbillede af Azure Portal-grænsefladen for ressourcegruppens oversigt, hvor afsnittet udrulninger viser, at to lykkedes.

  3. Vælg den nyeste installation.

    Skærmbillede af Azure Portal-grænsefladen for udrulningerne, hvor der er angivet to udrulninger.

  4. Vælg udrulningsoplysninger for at udvide den. Bekræft, at ressourcerne til rollebaseret adgangskontrol i Azure Cosmos DB er installeret.

    Skærmbillede af Azure Portal-grænsefladen for den specifikke udrulning, hvor Azure Cosmos DB-ressourcerne er angivet.