cirro-azcli-ext

Расширение Azure CLI, которое пассивно собирает данные ресурсов Azure в SQLite-базу данных, совместимую со схемой Cirro (https://github.com/bishopfox/cirro). Оно также записывает все вызовы CLI в файл формата JSON-lines.

Подключается к событиям knack:

• EVENT_INVOKER_POST_PARSE_ARGS — записывает аргументы команд
• EVENT_INVOKER_FILTER_RESULT — записывает данные ресурсов в SQLite

Установка

1. Установите расширение

az extension add --source dist/cirro_azcli_ext-*.whl

2. Отключите индекс команд

az config set core.use_command_index=false

Azure CLI подгружает расширения лениво по индексу команд. Его отключение гарантирует, что это расширение загрузится для всех команд, чтобы оно могло наблюдать за каждым вызовом.

Как это работает

Когда любая команда az возвращает данные из удалённой конечной точки Azure (ARM, Graph, Key Vault и т. д.), расширение классифицирует каждый элемент результата и записывает его в соответствующую таблицу SQLite:

Локальные команды (version, extension, config и т. д.) пропускаются.

Схема базы данных (совместимая с Cirro)

Ресурсы ARM

CREATE TABLE resources (
    id TEXT PRIMARY KEY, sub_id TEXT, rg_id TEXT, resource_type TEXT, data TEXT
);

Элементы Key Vault

CREATE TABLE keyVaultItems (
    id TEXT PRIMARY KEY, item_type TEXT, data TEXT
);

Общие таблицы (18 таблиц, каждая id TEXT PRIMARY KEY, data TEXT)

applications · administrativeUnits · conditionalAccessPolicies · devices · directoryRoles · eligibleArmRBAC · eligibleRoleAssignments · groups · managementGroupEntities · namedLocations · organization · oauth2PermissionGrants · policies · roleAssignments · servicePrincipals · subscriptions · tenants · users

Конфигурация

az config set cirro.db_path=/var/data/cirro_collect.db

Команды

az cirro status          # show log stats and per-table row counts
az cirro status --tail 5 # show last 5 argument log entries