Azure Policy 精细控制：禁止新建但允许修改资源-代码聚汇网

Azure Policy 精细控制：禁止新建但允许修改资源

香香甜甜圈·2026-08-17·阅读 26 GEO检测（免费）

Azure Policy云治理资源合规

|难度：普通|阅读约 26 分钟

1. Azure Policy 核心功能与应用场景解析

Azure Policy 作为微软云平台的核心治理工具，其核心价值在于通过策略定义和强制实施来确保云资源始终符合企业合规要求。在实际运维中，我们经常遇到这样的需求：允许团队修改现有资源配置（如调整虚拟机规格、更新存储账户参数），但禁止创建特定类型的新资源（如限制创建高成本SKU的虚拟机）。这种"允许修改但禁止新建"的控制模式，正是本文要深入探讨的技术方案。

传统权限控制（如RBAC）虽然能限制用户操作，但无法实现这种精细化的资源生命周期管理。Azure Policy的Deny规则配合豁免机制，恰好填补了这一空白。根据微软2023年云治理报告，超过67%的企业在资源管控中采用了类似策略，特别是在以下典型场景：

成本管控：禁止创建非标准SKU的虚拟机（如禁止D系列以上规格）
安全合规：阻止在非指定区域创建存储账户
架构规范：限制使用非托管磁盘的虚拟机部署

需要模型API调用？免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。

2. 策略定义设计与语法拆解

2.1 基础Deny策略构建

实现"禁止新建但允许修改"的核心在于策略规则的condition配置。以下是完整的策略定义示例：

json复制{
  "mode": "All",
  "policyRule": {
    "if": {
      "allOf": [
        {
          "field": "type",
          "equals": "Microsoft.Compute/virtualMachines"
        },
        {
          "field": "Microsoft.Compute/virtualMachines/imagePublisher",
          "notEquals": "Canonical"
        }
      ]
    },
    "then": {
      "effect": "deny"
    }
  },
  "parameters": {}
}

关键语法解析：

mode: "All" 表示策略适用于所有资源类型
if.allOf 中的条件组合决定了策略的触发逻辑
field: "type" 指定目标资源类型（示例中为虚拟机）
notEquals 条件实现白名单机制（允许Canonical发布的镜像）

重要提示：Deny策略会阻止所有匹配条件的创建操作，但不会影响已存在资源的修改。这是实现"禁止新建但允许修改"的基础机制。

2.2 条件运算符的进阶应用

通过组合不同的条件运算符，可以实现更精细的控制逻辑：

json复制"if": {
  "allOf": [
    {
      "field": "type",
      "equals": "Microsoft.Storage/storageAccounts"
    },
    {
      "anyOf": [
        {
          "field": "location",
          "notIn": ["eastus", "westus"]
        },
        {
          "field": "sku.name",
          "equals": "Standard_GRS"
        }
      ]
    }
  ]
}

此策略将：

针对存储账户资源
当创建位置不在美东/美西或 SKU为GRS时触发拒绝
允许现有存储账户修改为GRS SKU（不阻止修改操作）

3. 豁免机制与精细控制

3.1 豁免(Exemption)配置实战

有时我们需要为特定资源或资源组创建例外。Azure Policy的豁免功能通过以下方式实现：

powershell复制New-AzPolicyExemption -Name 'DevTestExemption' `
  -PolicyAssignment '/subscriptions/{subId}/providers/Microsoft.Authorization/policyAssignments/deny-vm-creation' `
  -Scope '/subscriptions/{subId}/resourceGroups/DevTest' `
  -ExemptionCategory 'Waiver' `
  -DisplayName 'Allow VM creation in DevTest environment'

豁免类型说明：

Waiver：永久性豁免（需定期评审）
Mitigated：临时豁免（自动过期）

3.2 豁免的范围控制最佳实践

建议采用分层豁免策略：

生产环境：严格限制豁免，必须经过变更管理流程
预生产环境：允许有限度的豁免
开发测试环境：放宽豁免但设置自动过期

通过标签实现自动化豁免管理：

json复制{
  "if": {
    "allOf": [
      { "field": "type", "equals": "Microsoft.Resources/subscriptions/resourceGroups" },
      { "field": "tags['EnvType']", "equals": "Dev" }
    ]
  },
  "then": {
    "effect": "modify",
    "details": {
      "roleDefinitionIds": [
        "/providers/Microsoft.Authorization/roleDefinitions/b24988ac-6180-42a0-ab88-20f7382dd24c"
      ],
      "operations": [
        {
          "operation": "addOrReplace",
          "field": "tags['PolicyExemption']",
          "value": "AutoGranted"
        }
      ]
    }
  }
}

4. 策略分配与管理架构

4.1 多层级策略分配模式

企业级部署建议采用继承式分配结构：

code复制Management Group
├── Production (Deny策略严格实施)
│   └── Subscription A
├── Non-Prod (Deny策略+宽松豁免)
│   └── Subscription B
└── Sandbox (仅审计模式)
    └── Subscription C

通过Azure CLI批量分配策略：

bash复制# 获取策略定义ID
policyDefId=$(az policy definition show --name 'deny-vm-creation' --query id -o tsv)

# 在管理组级别分配
az policy assignment create \
  --name 'deny-nonstd-vm' \
  --display-name 'Deny non-standard VM creation' \
  --scope '/providers/Microsoft.Management/managementGroups/ProdGroup' \
  --policy $policyDefId \
  --params '{"allowedSKUs": {"value": ["Standard_D2s_v3"]}}'

4.2 策略优先级与冲突解决

当多个策略作用于同一资源时，遵循以下优先级：

Deny效果优先于Audit
更具体scope的策略优先（资源组 > 订阅 > 管理组）
相同scope按创建时间（新策略优先）

冲突解决示例：

powershell复制# 查看策略冲突
Get-AzPolicyState -Filter "ResourceId eq '/subscriptions/{subId}/resourceGroups/{rgName}'" `
  | Where-Object { $_.ComplianceState -eq "NonCompliant" } `
  | Select-Object PolicyAssignmentName, PolicyDefinitionAction

5. 高级调试与问题排查

5.1 策略评估日志分析

通过Activity Log深入诊断策略行为：

kusto复制AzureActivity
| where OperationNameValue == "Microsoft.Authorization/policies/audit/action"
| project TimeGenerated, Caller, ResourceGroup, ResourceType, Properties
| extend policyDecision = parse_json(Properties).statusMessage
| where policyDecision contains "denied"
| order by TimeGenerated desc

常见拒绝原因分析：

资源属性不匹配（SKU/区域/标签等）
豁免未正确配置
策略评估延迟（最长30分钟）

5.2 策略测试沙盒环境

建议的测试流程：

创建测试订阅

bash复制az account create --offer-type MS-AZR-0148P --display-name "Policy Test"

启用What-If模式

powershell复制New-AzPolicyAssignment -Name 'test-deny' `
  -PolicyDefinition $policyDef `
  -Scope '/subscriptions/testSub' `
  -WhatIf

验证资源部署

bash复制az deployment group create --resource-group TestRG \
  --template-file vm-deploy.json \
  --parameters vm-params.json

6. 企业级实施建议

6.1 变更管理流程集成

建议将策略变更纳入标准ITSM流程：

在ServiceNow等平台创建策略变更工单
通过Azure DevOps实现策略即代码：

yaml复制- task: AzureCLI@2
  inputs:
    script: |
      az policy definition create \
        --name '$(policyName)' \
        --rules '$(Build.SourcesDirectory)/policies/deny-vm.json'

使用Azure Blueprints进行版本控制

6.2 合规性监控仪表板

构建Power BI监控看板的关键KPI：

策略合规率 = (合规资源数/总资源数)*100
豁免资源占比
策略评估延迟时间
最常见的拒绝原因TOP 5

示例Log Analytics查询：

kusto复制PolicyResources
| where type =~ 'Microsoft.PolicyInsights/PolicyStates'
| summarize count() by complianceState
| render piechart

7. 成本控制与优化实践

7.1 基于策略的预算保护

结合Azure Policy和Cost Management：

创建预算预警

bash复制az consumption budget create \
  --amount 1000 \
  --time-grain Monthly \
  --start-date 2023-01-01 \
  --end-date 2023-12-31 \
  --category Cost \
  --scope '/subscriptions/{subId}'

当预算超阈值时自动触发Deny策略

json复制{
  "triggers": {
    "azureBudget": {
      "type": "Microsoft.CostManagement/budgets",
      "conditions": {
        "threshold": 80,
        "operation": "GreaterThan"
      }
    }
  },
  "actions": {
    "enablePolicy": {
      "type": "Microsoft.Authorization/policyAssignments",
      "assignmentId": "/subscriptions/{subId}/providers/Microsoft.Authorization/policyAssignments/deny-nonessential"
    }
  }
}

7.2 资源清理自动化

通过策略标记待清理资源：

json复制{
  "if": {
    "allOf": [
      { "field": "type", "equals": "Microsoft.Compute/virtualMachines" },
      { "field": "properties.extended.instanceView.powerState.code", "equals": "PowerState/deallocated" },
      { "field": "tags['LastUsed']", "exists": false }
    ]
  },
  "then": {
    "effect": "modify",
    "details": {
      "roleDefinitionIds": [
        "/providers/Microsoft.Authorization/roleDefinitions/b24988ac-6180-42a0-ab88-20f7382dd24c"
      ],
      "operations": [
        {
          "operation": "addOrReplace",
          "field": "tags['CleanupCandidate']",
          "value": "[utcNow()]"
        }
      ]
    }
  }
}

8. 安全加固与权限控制

8.1 策略修改权限管理

建议的RBAC角色分配：

策略读者：读取权限
策略参与者：创建/分配策略
策略管理员：管理豁免+策略

自定义角色示例：

json复制{
  "Name": "Policy Contributor Limited",
  "Actions": [
    "Microsoft.Authorization/policydefinitions/write",
    "Microsoft.Authorization/policyassignments/write"
  ],
  "NotActions": [
    "Microsoft.Authorization/policyExemptions/write"
  ],
  "AssignableScopes": ["/subscriptions/{subId}"]
}

8.2 策略变更审计追踪

启用Azure Activity Log诊断设置：

bash复制az monitor diagnostic-settings create \
  --name 'PolicyAudit' \
  --resource '/subscriptions/{subId}' \
  --logs '[{"category": "Policy","enabled": true}]' \
  --workspace '/subscriptions/{subId}/resourceGroups/Logging/providers/Microsoft.OperationalInsights/workspaces/central-logs'

关键审计事件包括：

policyDefinitions/write
policyAssignments/write
policyExemptions/write
policySetDefinitions/write

9. 混合云与多云扩展

9.1 Azure Arc集成策略

管理本地资源的策略示例：

json复制{
  "if": {
    "allOf": [
      { "field": "type", "equals": "Microsoft.HybridCompute/machines" },
      { "field": "tags['OnPremises']", "equals": "true" }
    ]
  },
  "then": {
    "effect": "audit",
    "details": {
      "type": "Microsoft.GuestConfiguration/guestConfigurationAssignments",
      "existenceCondition": {
        "allOf": [
          { "field": "Microsoft.GuestConfiguration/guestConfigurationAssignments/complianceStatus", "equals": "Compliant" }
        ]
      }
    }
  }
}

9.2 多云策略统一管理

通过Azure Lighthouse管理跨云策略：

在AWS账户部署Azure Arc
创建跨云策略定义

json复制{
  "parameters": {
    "allowedRegions": {
      "type": "Array",
      "metadata": {
        "displayName": "Allowed Regions",
        "description": "List of permitted regions across all clouds"
      }
    }
  },
  "policyRule": {
    "if": {
      "not": {
        "field": "location",
        "in": "[parameters('allowedRegions')]"
      }
    },
    "then": {
      "effect": "deny"
    }
  }
}

10. 持续优化与演进

10.1 策略性能调优

评估策略影响的关键指标：

评估延迟：从资源创建到策略执行的时间
API调用次数：每个策略评估产生的API调用
计算资源消耗：策略引擎的CPU/内存占用

优化建议：

避免过于复杂的嵌套条件
限制策略评估范围（避免全订阅扫描）
使用缓存机制存储频繁访问的数据

10.2 策略即代码实践

推荐的技术栈组合：

定义存储：Azure Repos或GitHub
编排工具：Terraform或Bicep
CI/CD管道：Azure DevOps或GitHub Actions
测试框架：Pester或Terratest

示例GitHub Actions工作流：

yaml复制name: Policy Deployment
on:
  push:
    branches: [ main ]
    paths: [ 'policies/**' ]
jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
    - uses: actions/checkout@v2
    - uses: azure/login@v1
      with:
        creds: ${{ secrets.AZURE_CREDENTIALS }}
    - run: |
        az policy definition create \
          --name 'deny-nonprod-prod-resources' \
          --rules ./policies/deny-cross-env.json \
          --params ./policies/params.json