Lab 02b: Gerenciar Governança via Azure Policy
📋 Visão Geral
Neste lab, você aprenderá a usar Azure Policy para impor governança em seus recursos, gerenciar tags e configurar resource locks.
- Criar e atribuir tags a recursos
- Impor tagging via Azure Policy
- Aplicar herança de tags
- Configurar resource locks
✅ Pré-requisitos
- Uma subscrição Azure ativa
- Permissões de Contributor ou superior
🏷️ Task 1: Criar e Atribuir Tags
Nesta tarefa, você criará tags para organizar seus recursos Azure.
No Portal Azure, pesquise Resource groups e crie o grupo az104-rg2 (se ainda não existir).
Selecione o resource group e clique em Tags no menu lateral.
Adicione a seguinte tag:
| Name | Value |
|---|---|
Cost Center | 000 |
Clique em Apply para salvar a tag.
📜 Task 2: Enforce Tagging via Azure Policy
Nesta tarefa, você atribuirá a política "Require a tag and its value on resources" para impor tagging obrigatória.
Pesquise e selecione Policy no Portal Azure.
Na seção Authoring, selecione Assignments → Assign policy.
Configure o Scope para o resource group az104-rg2.
Em Policy definition, pesquise "Require a tag and its value on resources".
| Configuração | Valor |
|---|---|
| Tag Name | Role |
| Tag Value | Infra |
Clique em Review + create e depois em Create.
Teste: Tente criar uma Storage account em az104-rg2 sem a tag Role — a criação deve falhar.
🔄 Task 3: Aplicar Herança de Tags via Policy
Nesta tarefa, você configurará a política para herdar automaticamente tags do resource group.
Em Policy → Assignments, clique em Assign policy.
Configure o Scope para az104-rg2.
Pesquise a política "Inherit a tag from the resource group if missing".
Configure Tag Name como Cost Center.
Na aba Remediation, marque Create a Managed Identity e selecione a região.
Clique em Review + create e Create.
Teste: Crie uma Storage account em az104-rg2 com a tag Role: Infra — verifique que a tag Cost Center foi herdada automaticamente.
🔒 Task 4: Configurar e Testar Resource Locks
Nesta tarefa, você configurará resource locks para proteger recursos contra exclusão acidental.
Navegue ao resource group az104-rg2 e selecione Settings → Locks.
Adicione um lock:
| Configuração | Valor |
|---|---|
| Lock name | rg-lock |
| Lock type | Delete |
Teste Delete: Tente deletar a storage account — deve falhar por causa do lock.
Altere o lock type para Read-only.
Teste Read-only: Tente criar outra storage account em az104-rg2 — deve falhar.
🎯 Tipos de Lock
Permite ler e modificar, mas impede exclusão
Permite apenas leitura — impede modificação e exclusão
🧹 Limpeza
Remova os recursos criados:
Remova o lock do resource group az104-rg2.
Remova as policy assignments criadas.
Delete o resource group az104-rg2.