Azure Policy에서 적용 가능성이란 무엇인가요?

아티클
07/01/2024

정책 정의가 범위에 할당되면 Azure Policy는 규정 준수 평가를 위해 고려해야 하는 해당 범위의 리소스를 결정합니다. 리소스는 지정된 정책 할당에 적용 가능한 것으로 간주되는 경우에만 규정 준수를 평가합니다.

적용 가능성을 결정하는 몇 가지 요인은 다음과 같습니다.

정책 규칙의 if 블록에 있는 조건
정책 정의의 모드
할당에 지정된 제외된 범위
할당에 지정된 리소스 선택기.
리소스 또는 리소스 계층 구조의 예외

if 정책 규칙 블록의 조건은 효과에 따라 약간 다른 방식으로 적용 가능성에 대해 평가됩니다.

참고 항목

적용 가능성은 규정 준수와 다르며 각각을 확인하는 데 사용되는 논리는 다릅니다. 리소스가 적용 가능한 경우 정책과 관련이 있음을 의미합니다. 리소스가 규정을 준수하는 경우 정책을 준수하는 것입니다. 정책 규칙의 특정 조건만 적용 가능성에 영향을 주지만, 정책 규칙의 모든 조건이 규정 준수 상태에 영향을 주는 경우도 있습니다.

Resource Manager 모드

ifNotExists 정책 효과

AuditIfNotExists 및 DeployIfNotExists 정책의 적용 가능성은 정책 규칙의 전체 if 조건을 기준으로 합니다. if가 false로 평가되면 정책을 적용할 수 없습니다.

다른 모든 정책 효과

Azure Policy는 정책 규칙 if 식의 type, name 및 kind 조건만 평가하고 다른 조건을 true(또는 부정할 경우 false)로 처리합니다. 최종 평가 결과가 true이면 정책이 적용됩니다. 그렇지 않으면 적용할 수 없습니다.

다음은 이전에 설명한 적용 가능성 논리에 대한 특별한 경우입니다.

시나리오	결과
`if` 조건의 잘못된 별칭	정책을 적용할 수 없습니다.
`if` 조건이 `kind` 조건으로만 구성된 경우	정책이 모든 리소스에 적용될 수 있습니다.
`if` 조건이 `name` 조건으로만 구성된 경우	정책이 모든 리소스에 적용될 수 있습니다.
`if` 조건이 `type` 및 `kind` 조건으로만 구성된 경우	적용 가능성을 결정할 때 `type` 조건만 고려됩니다
`if` 조건이 `type` 및 `name` 조건으로만 구성된 경우	적용 가능성을 결정할 때 `type` 조건만 고려됩니다
`if` 조건이 `type`, `kind`, 기타 조건으로 구성된 경우	적용 가능성을 결정할 때 `type` 및 `kind` 조건이 모두 고려됩니다
`if` 조건이 `type`, `name`, 기타 조건으로 구성된 경우	적용 가능성을 결정할 때 `type` 및 `name` 조건이 모두 고려됩니다
모든 조건(배포 매개 변수 포함)에 `location` 조건이 포함된 경우	구독에 적용되지 않음

리소스 공급자 모드

Microsoft.Kubernetes.Data

Microsoft.Kubernetes.Data 정책의 적용 가능성은 정책 규칙의 전체 if 조건을 기준으로 합니다. if가 false로 평가되면 정책을 적용할 수 없습니다.

Microsoft.KeyVault.Data, Microsoft.ManagedHSM.Data, Microsoft.DataFactory.Data, Microsoft.MachineLearningServices.v2.Data

이러한 리소스 공급자 모드의 정책은 정책 규칙의 조건이 true로 평가되는 경우 type 적용됩니다. type은 다음과 같은 구성 요소 유형을 참조합니다.

Key Vault 구성 요소 유형:

Microsoft.KeyVault.Data/vaults/certificates
Microsoft.KeyVault.Data/vaults/keys
Microsoft.KeyVault.Data/vaults/secrets

관리형 HSM(하드웨어 보안 모듈) 구성 요소 유형:

Microsoft.ManagedHSM.Data/managedHsms/keys

Azure Data Factory 구성 요소 유형:

Microsoft.DataFactory.Data/factories/outboundTraffic

Azure Machine Learning 구성 요소 유형:

Microsoft.MachineLearningServices.v2.Data/workspaces/deployments

Microsoft.Network.Data

모드가 Microsoft.Network.Data인 정책은 정책 규칙의 type 및 name 조건이 true로 평가되는 경우 적용 가능합니다. type은 다음과 같은 구성 요소 유형을 참조합니다.

Microsoft.Network/virtualNetworks

해당되지 않는 리소스

조건 또는 범위에 따라 리소스를 할당에 적용할 수 있는 상황이 발생할 수 있지만 비즈니스상의 이유로는 적용할 수 없습니다. 이 경우 제외 또는 예외를 적용하는 것이 가장 이상적인 방법입니다. 둘 중 하나를 사용할 시점에 대해 자세히 알아보려면 범위 비교를 검토하세요