Документация тут>>>.
Имеется шаблон для деплоя группы ресурсов – 2 VMSS, балансировщики, подсети и группы безопасности. Одна – для VMSS Docker Swarm-менеджеров, вторая – для Swarm-нод.
Задача – вынести описание групп безопасности в отдельные шаблоны, что бы подключать их в зависимости от окружения – для Dev свои, для Prod – свои и т.д.
Ресурс Network Security Group для нод выглядит так:
...
{
"apiVersion": "2015-06-15",
"type": "Microsoft.Network/networkSecurityGroups",
"name": "[variables('NodesNSGname')]",
"location": "[resourceGroup().location]",
"tags": {
"displayName": "NSG - Remote Access"
},
"properties": {
"securityRules": [
{
"name": "AllowSSHAll",
"properties": {
"description": "Allow SSH",
"protocol": "Tcp",
"sourcePortRange": "*",
"destinationPortRange": "22",
"sourceAddressPrefix": "*",
"destinationAddressPrefix": "*",
"access": "Allow",
"priority": 100,
"direction": "Inbound"
}
}
]
}
},
...
Пробуем вложенность.
Создаём отдельный шаблон, например jm-website-nsg-dev.json, копируем в него ресурс NSG:
{
"$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
"contentVersion": "1.0.0.0",
"parameters": {
},
"resources": [
{
"apiVersion": "2015-06-15",
"type": "Microsoft.Network/networkSecurityGroups",
"name": "[variables('NodesNSGname')]",
"location": "[resourceGroup().location]",
"tags": {
"displayName": "NSG - Remote Access"
},
"properties": {
"securityRules": [
{
"name": "AllowSSHAll",
"properties": {
"description": "Allow SSH",
"protocol": "Tcp",
"sourcePortRange": "*",
"destinationPortRange": "22",
"sourceAddressPrefix": "*",
"destinationAddressPrefix": "*",
"access": "Allow",
"priority": 100,
"direction": "Inbound"
}
}
]
}
}
]
}
Доступ к шаблонам – только по HTTP/S, поэтому – загружаем его в Storage Account:
Выполняем:
В главном шаблоне на место ресурса NSG вписываем ресурс деплоя:
...
{
"apiVersion": "2015-01-01",
"name": "linkedTemplate",
"type": "Microsoft.Resources/deployments",
"properties": {
"mode": "incremental",
"templateLink": {
"uri": "https://utils.blob.core.windows.net/templates/jm-website-nsg-dev.json",
"contentVersion": "1.0.0.0"
},
"parameters": {
"StorageAccountName":{"value": "[parameters('storageAccountName')]"}
}
}
},
...
Пробуем:
Странно – ARM при валидации не упал. Значит – в целом схема уже рабочая.
Авторизация.
Переходим в Portal > Storage accounts, генерируем SAS-токен:
Выносим его в параметр:
...
"parameters": {
"SAStoken": {
"type": "string",
"defaultValue": "?sv=2016-05-31&ss=bfqt&srt=sco&sp=ra&se=2018-03-17T20:31:25Z&st=2017-03-17T12:31:25Z&spr=https&sig=QWy2Sp***%3D"
},
...
Обновляем URI в главном шаблоне:
...
"templateLink": {
"uri": "[concat('https://utils.blob.core.windows.net/templates/jm-website-nsg-dev.json', parameters('SAStoken'))]",
"contentVersion": "1.0.0.0"
},
...
Пробуем:
... error: InvalidContentLink : Unable to download deployment content from 'https://utils.blob.core.windows.net/templates/jm-website-nsg-dev.json?sv=2016-05-31&ss=bfqt&srt=sco&sp=ra&se=2018-03-17T20:31:25Z&st=2017-03-17T12:31:25Z&spr=https&sig=QWy2***U%3D'. The tracking Id is '6bad400b-6e1e-43cd-98c4-45b324500be5'. Please see https://aka.ms/arm-deploy for usage details. ...
Ну, ок. Ничего удивительного. Сделаем авторизацию позже, а пока – устанавливаем на контейнер права доступа Blob (пубичный доступ на чтение).
Пробуем снова:
Отлично! Уже ругается на параметры – StorageAccountName, т.к. ресурс деплоя просто скопирован из документации.
В нашем шаблоне NSG мы используем переменную NodesNSGname:
...
"name": "[variables('NodesNSGname')]",
...
В файле шаблона – создаём параметр NodesNSGname:
{
"$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
"contentVersion": "1.0.0.0",
"parameters": {
"NodesNSGname": {
"type": "string"
}
},
"resources": [
{
"apiVersion": "2015-06-15",
"type": "Microsoft.Network/networkSecurityGroups",
"name": "[parameters('NodesNSGname')]",
...
Обновляем ресурс деплоя в основном шаблоне, передаём во вложенный шаблон переменную NodesNSGname из главного шаблона:
... "nodesNSGname": "[concat(resourceGroup().name,'-nodes-nsg')]", ...
В ресурсе деплоя указываем:
...
"parameters": {
"NodesNSGname":{"value": "[variables('NodesNSGname')]"}
...
Полностью он сейчас выглядит так:
...
{
"apiVersion": "2015-01-01",
"name": "linkedTemplate",
"type": "Microsoft.Resources/deployments",
"properties": {
"mode": "incremental",
"templateLink": {
"uri": "https://utils.blob.core.windows.net/templates/jm-website-nsg-dev.json",
"contentVersion": "1.0.0.0"
},
"parameters": {
"NodesNSGname":{"value": "[variables('NodesNSGname')]"}
}
}
},
...
Обновляем шаблон в Storage account-е:
Пробуем:
Проверяем:
В Portal-е, деплой главного шаблона:
Деплой вложенного шаблона:
Фиксим авторизацию.
Возвращаем права на контейнер – Private.
Пробуем curl-ом:
Пробуем с токеном:
$ curl "https://utils.blob.core.windows.net/templates/jm-website-nsg-dev.json/?sv=2016-05-31&ss=bfqt&srt=sco&sp=rwdlacup&se=2020-03-17T21:18:58Z&st=2017-03-17T13:18:58Z&spr=https,http&sig=QIN***%3D"
Ага, теперь видна ошибка:
Time:2017-03-17T11:23:58.3677617Z</Message><AuthenticationErrorDetail>Signature not valid in the specified time frame: Start [Fri, 17 Mar 2017 13:18:58 GMT] - Expiry [Tue, 17 Mar 2020 21:18:58 GMT] - Current [Fri, 17 Mar 2017 11:23:58 GMT]</AuthenticationErrorDetail></Error>
При деплое через ARM её не видел.
Вчитываемся в неё:
Time:2017-03-17T11:36:37.3456373Z</Message><AuthenticationErrorDetail>Signature not valid in the specified time frame: Start [Fri, 17 Mar 2017 13:33:28 GMT] – Expiry [Fri, 17 Mar 2017 21:33:28 GMT] – Current [Fri, 17 Mar 2017 11:36:37 GMT]</AuthenticationErrorDetail></Error>
Start 13:33:28
Expiry 21:33:28
Current 11:36:37
Current 11:36:37
Временная зона.
Генерируем токен заново, указываем зону UTC +2 (Киев):
Проверяем:
Теперь ошибка 404.
А через ARM – работает.
В основном шаблоне обновляем параметр SAStoken:
"parameters": {
"SAStoken": {
"type": "string",
"defaultValue": "?sv=2016-05-31&ss=bfqt&srt=sco&sp=rwdlacup&se=2020-03-17T19:37:37Z&st=2017-03-17T11:37:37Z&spr=https&sig=Ilr***k%3D"
},
...
И uri:
...
{
"apiVersion": "2015-01-01",
"name": "linkedTemplate",
"type": "Microsoft.Resources/deployments",
"properties": {
"mode": "incremental",
"templateLink": {
"uri": "[concat('https://utils.blob.core.windows.net/templates/jm-website-nsg-dev.json', parameters('SAStoken'))]",
"contentVersion": "1.0.0.0"
...
Выполняем, проверяем:
С этим разобрались.
Последнее, что хотелось бы слделать – это выбор шаблона в зависимости от того, на какое окружение выполняется развёртывание группы ресурсов.
Проще всего – через добавление нового параметра:
...
"environment": {
"type": "string",
"metadata": {
"description": "dev, qa, staging, prod"
},
"defaultValue": "dev",
"allowedValues": [
"dev",
"qa",
"staging",
"production"
]
},
...
И обновляем uri:
...
"uri": "[concat('https://utils.blob.core.windows.net/templates/jm-website-nsg-', parameters('environment'), '.json', parameters('SAStoken'))]",
...
Проверяем:
Готово.
