如何使用 Azure Bicep 将操作系统磁盘的网络设置为 AllowPrivate '私有端点通过磁盘访问

编程问答 2022-04-20

问题描述

我需要使用 Azure bicep 创建虚拟机，需要将 OS 磁盘的网络设置为私有

在 Bicep 中：它在磁盘资源下定义，属性“networkAccesspolicy”设置为“AllowPrivate”

在portal中：定义在磁盘资源页面->网络->私有端点（通过磁盘访问）

方法：

  1. 在虚拟机资源中创建 OS 磁盘，但是我没有设置 networkAccesPolicy 的选项

  2. 在磁盘资源中创建操作系统磁盘，然后附加到虚拟机资源，但是这样我就不能指定需要指定它们的特定“osProfile” 操作系统配置文件：{ 计算机名称：'字符串' 管理员用户名：'字符串' 管理员密码：'字符串' 窗口配置：{ 配置VMAgent：布尔 } }

解决方法

这可以实现，但对于Bicep来说这不是一个很好的解决方案，因为需要修补操作系统磁盘以关联diskAccess资源，而目前还没有这种关联可用 - afaik - 作为 ARM 或 Bicep 中的单独资源。因此，需要一些“Bicep 模块跳跃”方法来分阶段实现这种修补。

我为虚拟机扩展了现有的 vm.bicep 模板，并为磁盘添加了一个子网：

...
      {
        name: subnetDiskName
        properties: {
          addressPrefix: subnetDiskPrefix
          privateEndpointNetworkPolicies: 'Disabled'
        }
      }
...

在 vm.bicep 的末尾，我添加了对此子网的引用，以便我可以将其作为参数传递给下一阶段。补丁需要分成 2 个阶段/模块：

  1. 再次获取/获取操作系统磁盘作为对象
  2. PATCH / PUT OS 磁盘与现有对象数据 + 对 diskAccess 资源的引用
...
resource subnetDisk 'Microsoft.Network/virtualNetworks/subnets@2021-02-01' existing = {
  name: subnetDiskName
  parent: vnet
}

module patchDisk 'get-patch-disk.bicep' = {
  name: 'getPatchDisk'
  params: {
    virtualMachineName: virtualMachineName
    diskName: vm.properties.storageProfile.osDisk.name
    location: location
    subnetId: subnetDisk.id
  }
}

对于阶段 1 get-patch-disk.bicep 只需检索当前操作系统磁盘作为对象并将其传递：

param virtualMachineName string
param diskName string
param location string = resourceGroup().location
param subnetId string

resource vmDiskGet 'Microsoft.Compute/disks@2020-12-01' existing = {
  name: diskName
}

module vmDiskPatch 'patch-disk.bicep' = {
  name: 'patchDisk'
  params: {
    virtualMachineName: virtualMachineName
    diskName: diskName
    vmDiskGet: vmDiskGet
    location: location
    subnetId: subnetId
  }
}

然后在第 2 阶段 patch-disk.bicep 创建 diskAccess 资源和 privateEndpoint 并通过从刚刚检索的对象传输所有给定属性并添加所需属性将其修补到 OS 磁盘中用于私人磁盘访问。

param virtualMachineName string
param diskName string
param location string = resourceGroup().location
param vmDiskGet object
param subnetId string

var privateEndpointName = 'privateEndpoint${uniqueString(resourceGroup().name)}'
var privateLinkConnectionName = 'privateLink${uniqueString(resourceGroup().name)}'

var diskAccessName = 'diskAccess${uniqueString(resourceGroup().name)}'

resource diskAccess 'Microsoft.Compute/diskAccesses@2020-12-01' = {
  name: diskAccessName
  location: location
  tags: {
    vmName: virtualMachineName
  }
}

resource privateEndpoint 'Microsoft.Network/privateEndpoints@2020-06-01' = {
  name: privateEndpointName
  location: location
  tags: {
    vmName: virtualMachineName
  }
  properties: {
    subnet: {
      id: subnetId
    }
    privateLinkServiceConnections: [
      {
        name: privateLinkConnectionName
        properties: {
          privateLinkServiceId: diskAccess.id
          groupIds: [
            'disks'
          ]
        }
      }
    ]
  }
}

resource vmDiskPut 'Microsoft.Compute/disks@2020-12-01' = {
  name: diskName
  location: vmDiskGet.location
  properties: {
    diskAccessId: diskAccess.id
    networkAccessPolicy: 'AllowPrivate'
    creationData: vmDiskGet.properties.creationData
    diskSizeGB: vmDiskGet.properties.diskSizeGB
  }
}

免责声明

我想更聪明的解决方案是在一个 Bicep 模板中与 VM 一起创建 diskAccess 资源，然后返回 diskAccess.id 和 vm.properties.storageProfile.osDisk.name 作为输出参数。通过这些输出参数，使用简单的 az disk update -n "{diskName}" --network-access-policy AllowPrivate --disk-access "{diskAccessId}" 进行修补。

azureazureazureazure-bicep