Productor OSIRIS JSON per a Microsoft Azure

El productor OSIRIS JSON per a Azure es connecta a Microsoft Azure mitjançant Azure CLI (az) i genera snapshots OSIRIS JSON de la topologia de la teva subscripció. A partir de v0.5.0, el productor cobreix xarxes, computació, emmagatzematge, identitat, bases de dades, contenidors, integració, observabilitat, backup, automatització i nivells de grups de gestió, incloent-hi les seves arestes de dependència entre recursos (Private Endpoint cap a destinacions PaaS, App Service cap a App Insights, Log Analytics, RSV, Backup Vault cap a elements protegits, AKS cap a subxarxes i pools de nodes, etc.).

Requisits previs

1. Installeu el productor OSIRIS JSON. Consulteu la pàgina Installació per obtenir més opcions d’installació.
2. Autentica’t: az login
3. L’usuari autenticat ha de tenir el rol Reader (o un permís de lectura equivalent) a les subscripcions de destinació. Per a la recollida completa de dades, incloses les rutes efectives, l’usuari també necessita el permís Microsoft.Network/networkInterfaces/effectiveRouteTable/action (inclòs a Network Contributor i superiors). Si aquest permís no és present, el productor omet la recollida de rutes efectives amb un log INFO i continua normalment.

Pots executar el productor a la teva màquina local o invocar-lo mitjançant un job programat amb un compte de servei a la plataforma que prefereixis.

Ús de la CLI

osirisjson-producer azure [flags]
osirisjson-producer azure template --generate

Mode únic

Comença recollint una subscripció que es desarà automàticament com microsoft-azure-<timestamp>-<name>.json:

osirisjson-producer azure -S a1b2c3d4-e5f6-7890-abcd-ef1234567890

Mode interactiu

Executa sense flags per obtenir un selector interactiu de subscripcions:

osirisjson-producer azure

El productor descobreix totes les subscripcions accessibles i presenta una llista numerada. Selecciona amb números individuals (1,3,5), intervals (30-55), combinacions (1,3,30-55) o escriu all.

Mode multisubscripció

Recull diverses subscripcions en un directori de sortida:

# Specific subscriptions
osirisjson-producer azure -S sub-id-1,sub-id-2,sub-id-3 -o ./output

# All accessible subscriptions (auto-discover)
osirisjson-producer azure --all -o ./output

# All subscriptions in a specific tenant
osirisjson-producer azure --all --tenant f1e2d3c4-b5a6-9078-fedc-ba9876543210 -o ./output

Mode batch (CSV)

Genera una plantilla CSV:

osirisjson-producer azure template --generate

Recull des d’un fitxer CSV:

osirisjson-producer azure -s subscriptions.csv -o ./output

La plantilla CSV utilitza aquestes columnes:

Jerarquia de sortida

Mode únic: desa a microsoft-azure-<timestamp>-<name>.json al directori actual.

Modes multi/batch/all: organitzats per tenant i timestamp:

output/
  <TenantID>/
    <timestamp>/
      <SubscriptionName>.json

Cada subscripció produeix un document OSIRIS autocontingut. Les referències entre subscripcions (per exemple, peerings de VNet o connexions ExpressRoute cap a subscripcions remotes) s’emeten com a recursos stub amb provider.subscription establert a l’ID de la subscripció remota, de manera que l’aresta de topologia sobreviu al límit mentre el document continua sent vàlid.

Entorns multi-tenant

Executa el productor una vegada per tenant. Cada az login autentica en un tenant. Utilitza az login --tenant <tenant-id> per canviar. La jerarquia de sortida agrupa automàticament els documents per tenant.

Referència de flags

Propòsit

La flag --purpose implementa el capítol 13.1.3 de l’especificació OSIRIS JSON (minimització de dades). La recollida sempre és exhaustiva; l’emissió s’ajusta al propòsit declarat perquè la mateixa execució del productor pugui servir tant casos d’ús de visualització lleugera com casos d’ús d’auditoria / compliment.

El valor seleccionat es registra al document sota metadata.scope.purpose, perquè els consumidors puguin identificar quin grau de detall estan llegint.

[!IMPORTANT] Els secrets sempre es redacten independentment del propòsit. La projecció d’auditoria afegeix detalls (adreces IP, regles NSG, subcamps SKU, detalls BGP, etc.); no afegeix mai material d’autenticació. Les contrasenyes d’administrador de base de dades, les claus d’accés de Cosmos / Redis / Service Bus / Event Hubs, les claus d’instrumentació d’App Insights i les claus compartides de Log Analytics no es recopilen mai.

# Default: documentation (minimal projection)
osirisjson-producer azure -S a1b2c3d4-e5f6-7890-abcd-ef1234567890

# Audit: full ARM fidelity
osirisjson-producer azure -S a1b2c3d4-e5f6-7890-abcd-ef1234567890 --purpose audit

Què recopila el productor OSIRIS JSON per a Microsoft Azure

El productor OSIRIS JSON per a Microsoft Azure recopila a cada execució un inventari complet dels tipus de recurs compatibles mitjançant Azure CLI. Les taules següents agrupen allò que es consulta.

Xarxa

Computació

Emmagatzematge

App Service / capa web

Encaminament d’App Service: els llocs el kind dels quals conté functionapp s’emeten com osiris.azure.functionapp; tots els altres llocs s’emeten com osiris.azure.webapp.

Identitat i seguretat

Backup i recuperació davant desastres

Bases de dades

Contenidors

Integració i missatgeria

Automatització i workflows

Observabilitat

Els recursos Metric Alert i Action Group estan restringits a --purpose audit perquè són construccions de política d’observabilitat, no recursos de topologia; amb el propòsit predeterminat documentation no s’emeten.

Contenció

Què no es recopila intencionadament

OSIRIS JSON defineix un format JSON neutral respecte al proveïdor per descriure recursos d’infraestructura, les seves propietats i les seves relacions topològiques - no és un format Infrastructure-as-Code ni similar. Pots llegir-ne més aquí: Què és OSIRIS JSON. El següent queda intencionadament fora d’abast:

• Polítiques de backup / retenció sota Recovery Services Vault i Backup Vault (s’emeten els vaults i les arestes cap a elements protegits; els cossos de les polítiques no).
• Política de capa de base de dades: auditoria SQL, detecció d’amenaces, TDE, regles de firewall, security-alert-policy.
• Polítiques, productes, operacions i valors amb nom d’API Management.
• Rutes, rule sets, endpoints i associacions de polítiques WAF de Front Door (s’emet el perfil; l’encaminament no).
• Secrets de Container App i variables d’entorn d’ACI.
• Enumeració de diagnostic settings per recurs (afegiria una crida az per recurs).
• Azure Front Door clàssic (Microsoft.Network/frontDoors, obsolet).
• Microsoft.DBforPostgreSQL/servers heretat (single server, fi de vida al roadmap d’Azure).

Estructura de sortida OSIRIS JSON per a Microsoft Azure

{
  "$schema": "https://osirisjson.org/schema/v1.0/osiris.schema.json",
  "version": "1.0.0",
  "metadata": {
    "generator": {
      "name": "osirisjson-producer-azure",
      "version": "0.5.0",
      "url": "https://osirisjson.org/en/docs/producers/hyperscalers/microsoft-azure"
    },
    "scope": {
      "name": "<subscription-id> - <subscription-name>",
      "purpose": "documentation",
      "providers": ["azure"],
      "accounts": ["<tenant-id>"],
      "subscriptions": ["<subscription-id>"],
      "regions": ["westeurope", "eastus2"]
    }
  },
  "topology": {
    "resources": [ ... ],
    "connections": [ ... ],
    "groups": [ ... ]
  }
}

Tipus de connexió

Les arestes de connexió utilitzen subtipus estàndard d’OSIRIS JSON v1.0 segons el capítol 5.2.3 de l’especificació, perquè els consumidors puguin distingir les capes de topologia.

Tipus de grup

Tipus de recurs

Els tipus de recurs segueixen l’especificació OSIRIS JSON v1.0. S’utilitzen tipus estàndard on estan definits; els tipus específics d’Azure utilitzen el namespace osiris.azure.*.

Tipus estàndard:

• container.resourcegroup - Grups de recursos
• network.vpc - Xarxes virtuals
• network.subnet - Subxarxes
• network.interface - Interfícies de xarxa
• network.security.group - Network security groups
• network.loadbalancer - Load balancers (només L4; Application Gateways utilitza osiris.azure.applicationgateway)
• network.firewall - Azure Firewalls
• compute.vm - Màquines virtuals

Extensions (osiris.azure)

Les dades específiques d’Azure que no es mapegen a propietats portables d’OSIRIS JSON s’emeten sota el namespace d’extensió osiris.azure. Això segueix l’especificació OSIRIS JSON: properties conté dades comunes / portables, extensions conté dades detallades específiques del proveïdor. Les extensions només s’emeten amb --purpose audit.

Les extensions representatives inclouen:

[!NOTE] network.security.group security_rules[] (regles definides per l’usuari) s’emeten a properties, no a extensions, perquè són un senyal primari de topologia. Només default_security_rules[] (regles baseline administrades per Azure) van a extensions.

network.interface private_ip també s’emet a properties pel mateix motiu.

Metadades del provider

Cada recurs inclou provider.type amb el tipus de recurs ARM natiu (per exemple, Microsoft.Network/virtualNetworks, Microsoft.Compute/virtualMachines). Els stubs entre subscripcions inclouen provider.subscription amb l’ID de la subscripció remota. Tots els recursos inclouen provider.source establert a azure-cli.

IDs de recurs

Els IDs de recurs d’Azure segueixen el patró azure::<ARM-resource-id>, utilitzant l’ID de recurs ARM complet com a identificador natiu. Això garanteix IDs globalment únics i deterministes que sobreviuen a la correlació entre subscripcions.

Canonicalització de regions

provider.region i metadata.scope.regions es canonicalitzen a la forma slug d’Azure (minúscules, sense espais). La CLI az retorna location de manera inconsistent entre tipus de recurs: la majoria de recursos ARM utilitzen westeurope / eastus2, mentre que App Service Plans i Web Apps exposen la forma de visualització (West Europe). El productor normalitza al slug perquè una subscripció d’una sola regió no aparegui com dues regions a metadata.scope.regions.

Requisits RBAC

El productor prova el permís a la primera NIC i omet de manera controlada la recollida de rutes efectives si el permís és denegat. Totes les altres dades es recopilen igualment.

Exemples

Subscripció única

Explorarem una única subscripció al nostre tenant i generarem des de Microsoft Azure un document OSIRIS JSON.

osirisjson-producer azure -S a1b2c3d4-e5f6-7890-abcd-ef1234567890 --purpose audit

Document de sortida OSIRIS JSON (retallat, --purpose audit):

{
  "$schema": "https://osirisjson.org/schema/v1.0/osiris.schema.json",
  "version": "1.0.0",
  "metadata": {
    "generator": {
      "name": "osirisjson-producer-azure",
      "version": "0.5.0",
      "url": "https://osirisjson.org/en/docs/producers/hyperscalers/microsoft-azure"
    },
    "scope": {
      "name": "a1b2c3d4-e5f6-7890-abcd-ef1234567890 - my-nonprod-subscription",
      "purpose": "audit",
      "providers": ["azure"],
      "accounts": ["f1e2d3c4-b5a6-9078-fedc-ba9876543210"],
      "subscriptions": ["a1b2c3d4-e5f6-7890-abcd-ef1234567890"],
      "regions": ["westeurope"]
    }
  },
  "topology": {
    "resources": [
      {
        "id": "azure::/subscriptions/a1b2c3d4/resourceGroups/network-rg/providers/Microsoft.Network/virtualNetworks/hub-vnet",
        "type": "network.vpc",
        "name": "hub-vnet",
        "status": "active",
        "provider": {
          "name": "azure",
          "native_id": "/subscriptions/a1b2c3d4/resourceGroups/network-rg/providers/Microsoft.Network/virtualNetworks/hub-vnet",
          "type": "Microsoft.Network/virtualNetworks",
          "region": "westeurope",
          "source": "azure-cli",
          "subscription": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
          "tenant": "f1e2d3c4-b5a6-9078-fedc-ba9876543210"
        },
        "properties": {
          "resource_group": "network-rg",
          "address_space": ["10.0.0.0/16"],
          "dns_servers": ["10.0.0.4"],
          "subnet_count": 4,
          "enable_ddos_protection": false,
          "peerings": [
            {
              "name": "hub-to-spoke",
              "peering_state": "Connected",
              "remote_vnet_id": "/subscriptions/a1b2c3d4/.../spoke-vnet",
              "allow_gateway_transit": true,
              "allow_forwarded_traffic": true
            }
          ]
        }
      },
      {
        "id": "azure::/subscriptions/a1b2c3d4/resourceGroups/data-rg/providers/Microsoft.Storage/storageAccounts/mystg",
        "type": "osiris.azure.storage",
        "name": "mystg",
        "status": "active",
        "provider": {
          "name": "azure",
          "native_id": "/subscriptions/a1b2c3d4/resourceGroups/data-rg/providers/Microsoft.Storage/storageAccounts/mystg",
          "type": "Microsoft.Storage/storageAccounts",
          "region": "westeurope",
          "source": "azure-cli",
          "subscription": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
          "tenant": "f1e2d3c4-b5a6-9078-fedc-ba9876543210"
        },
        "properties": {
          "resource_group": "data-rg",
          "sku_tier": "Standard",
          "sku_name": "Standard_LRS",
          "kind": "StorageV2",
          "access_tier": "Hot",
          "https_only": true,
          "min_tls_version": "TLS1_2",
          "public_network_access": "Disabled",
          "allow_blob_public_access": false
        },
        "extensions": {
          "osiris.azure": {
            "private_endpoint_connection_ids": [
              "/subscriptions/a1b2c3d4/.../privateEndpoints/pe-mystg"
            ]
          }
        }
      }
    ],
    "connections": [
      {
        "source": "azure::/subscriptions/a1b2c3d4/.../subnets/default",
        "target": "azure::/subscriptions/a1b2c3d4/.../virtualNetworks/hub-vnet",
        "type": "contains",
        "direction": "forward"
      },
      {
        "source": "azure::/subscriptions/a1b2c3d4/.../privateEndpoints/pe-mystg",
        "target": "azure::/subscriptions/a1b2c3d4/.../storageAccounts/mystg",
        "type": "dependency.storage",
        "direction": "forward"
      }
    ],
    "groups": [
      {
        "id": "azure::subscription::a1b2c3d4-e5f6-7890-abcd-ef1234567890",
        "type": "logical.subscription",
        "name": "my-nonprod-subscription",
        "children": [
          "azure::resourcegroup::network-rg",
          "azure::resourcegroup::data-rg"
        ],
        "extensions": {
          "osiris.azure": {
            "management_group_path": ["Tenant Root Group", "Corp", "NonProd"]
          }
        }
      },
      {
        "id": "azure::managementgroup::NonProd",
        "type": "logical.managementgroup",
        "name": "NonProd",
        "children": [
          "azure::subscription::a1b2c3d4-e5f6-7890-abcd-ef1234567890"
        ]
      },
      {
        "id": "azure::region::a1b2c3d4-e5f6-7890-abcd-ef1234567890/westeurope",
        "type": "container.region",
        "name": "westeurope",
        "members": [
          "azure::/subscriptions/a1b2c3d4/.../virtualNetworks/hub-vnet",
          "azure::/subscriptions/a1b2c3d4/.../storageAccounts/mystg"
        ]
      }
    ]
  }
}

La mateixa execució amb el valor predeterminat --purpose documentation retorna el graf de recursos idèntic, però amb els mapes properties i extensions eliminats de cada recurs, connexió i grup, fet que el fa adequat per a vistes de topologia d’alt nivell i documentació.