Publikation von Christoph Puppe
Sichere Cloud mit Azure Policies
Azure Policies sind derzeit das wirksamste Mittel zur Überwachung und Verbesserung der Sicherheit in Azure: Der Azure Resource Manager prüft jede Aktion vor der Ausführung gegen die Richtlinien, Verhindern statt Erkennen ist das Ziel. Das unterscheidet den Ansatz von CSPM-Werkzeugen, die erst hinterher auswerten, und hebt Azure von den anderen Hyperscalern ab, deren Policy-Implementierungen bei Weitem nicht so ausgereift sind. Der Artikel zerlegt eine Richtlinie in Definition, Zuweisung und Parameter und erklärt sämtliche Policy-Effekte von audit bis zum restriktiven deny, samt der Sonderfälle auditIfNotExists und deployIfNotExists, die Azure erst mit einigen Minuten Verzögerung auswerten kann. Wer nicht alles selbst schreiben will, greift auf die knapp 11.000 eingebauten Richtlinien zurück; eigene bieten mehr Flexibilität, kosten aber erheblichen Pflegeaufwand in Azures JSON-Syntax. Die Integration in CI/CD- und IaC-Umgebungen macht Richtlinien versionierbar, birgt aber eine Falle: Modifizierende Effekte wie modify ändern Ressourcen hinter dem Rücken des IaC-Codes, weshalb man dort üblicherweise auf sie verzichtet. Das Urteil: Wer die Integration nutzt, kann Governance weitgehend automatisieren, statt sie hinterher zu dokumentieren. Der schrittweise Weg über ein Testabonnement gehört dazu, denn ungetestete Richtlinien setzen ihre Fehler ebenso zuverlässig durch wie ihre Regeln.