azure - 企业规模登陆区 - CAF - 应用/创建策略

Question

我正在使用以下链接为我的管理组创建/分配标准 Azure 策略。问题是我的组织。已使用 Azure 门户手动创建管理组和订阅。我是否仍然可以使用 ESLZ TF 代码创建/应用策略并应用到这些使用 TF 代码手动创建的管理组:

https://github.com/Azure/terraform-azurerm-caf-enterprise-scale

当我看到代码原型(prototype)(策略)与 MG 创建紧密耦合时？

locals.management_groups.tf:

"${local.root_id}-landing-zones" = {
  archetype_id   = "es_landing_zones"
  parameters     = local.empty_map
  access_control = local.empty_map
}

archetype_id 是策略。

Answer 1

企业规模示例遵循他们所说的 "supermodule approach" .

您发布的 locals.management_groups.tf 中的示例只是模块的配置层。如果您希望 CAF 采用现有管理组而不是创建新管理组，则必须terraform import 它。这要求您知道资源地址，您可以从实际的资源定义中派生出该地址。

您正在寻找资源“azurerm_management_group”，该资源位于resources.management_groups.tf中。该文件声明了多个管理组资源 level_1 到 level_6，并且它们使用 for_each 从模块的配置模型生成资源。

因此，在您以某种方式跟踪了模块的配置模型并确定了您希望现有管理组在 CAF 模型中的最终位置后，您可以按照中所述运行导入terraform's docs和 azurerm provider's docs像这样:

terraform import azurerm_management_group.level_3["my-root-demo-corp"] providers/Microsoft.Management/managementGroups/group1

但是，尽管所有这些在技术上都是可行的，但我不确定这是一个好的方法。企业级 super 模块配置模型非常难以追踪——它的既定目标是用“基础设施即数据”取代“基础设施即代码”。您可能会找到 Azure Landing Zone for existing Azure infrastructure 中描述的方法之一更适合您的目的。