如何通过Custom Policy让资源批量继承Resource Group所有标签？现有策略失效

可以实现无需指定特定标签，一次性将资源组的所有标签同步到下属资源，你的原有策略未达预期主要是触发条件和逻辑存在问题，以下是修正方案和说明：

原策略的问题 #

• 触发条件过于严格：仅当资源完全没有标签时才执行同步，若资源已有部分标签，策略不会触发
• 同步逻辑局限性：直接替换整个标签集合的方式，仅在资源无标签时生效，无法覆盖已有标签的场景

方案1：强制同步所有资源组标签（覆盖资源原有标签） #

该策略会将资源的标签完全替换为资源组的标签，确保两者完全一致，适用于要求标签完全统一的场景：

{
  "properties": {
    "displayName": "Inherit all tags from the resource group",
    "policyType": "Custom",
    "mode": "Indexed",
    "description": "Automatically syncs all tags from the resource group to new or updated resources, overwriting existing tags.",
    "metadata": {
      "version": "1.1.0",
      "category": "Tags"
    },
    "policyRule": {
      "if": {
        "allOf": [
          {
            "field": "type",
            "notEquals": "Microsoft.Resources/subscriptions/resourceGroups"
          },
          {
            "field": "tags",
            "notEquals": "[resourceGroup().tags]"
          }
        ]
      },
      "then": {
        "effect": "modify",
        "details": {
          "roleDefinitionIds": [
            "/providers/Microsoft.Authorization/roleDefinitions/Contributor"
          ],
          "operations": [
            {
              "operation": "addOrReplace",
              "field": "tags",
              "value": "[resourceGroup().tags]"
            }
          ]
        }
      }
    }
  }
}

关键调整说明 #

• 触发条件：排除资源组本身，只要资源标签与资源组标签不一致就触发同步，覆盖资源已有标签的场景
• 操作逻辑：直接用资源组的标签集合替换资源的标签集合，确保标签完全同步

方案2：合并资源组标签到资源（保留资源原有标签） #

该策略会将资源组的所有标签合并到资源上，保留资源原有标签，同名标签会被资源组的标签覆盖，适用于需要保留资源个性化标签的场景：

{
  "properties": {
    "displayName": "Merge all tags from the resource group to resources",
    "policyType": "Custom",
    "mode": "Indexed",
    "description": "Merge all tags from the resource group to new or updated resources, keeping existing tags (resource group tags override same-named resource tags).",
    "metadata": {
      "version": "1.1.0",
      "category": "Tags"
    },
    "policyRule": {
      "if": {
        "field": "type",
        "notEquals": "Microsoft.Resources/subscriptions/resourceGroups"
      },
      "then": {
        "effect": "modify",
        "details": {
          "roleDefinitionIds": [
            "/providers/Microsoft.Authorization/roleDefinitions/Contributor"
          ],
          "operations": [
            {
              "operation": "addOrReplace",
              "field": "tags['{tagName}']",
              "value": "[resourceGroup().tags['{tagName}']]"
            }
          ],
          "foreach": "[keys(resourceGroup().tags)]",
          "foreachParameters": {
            "tagName": "[current()]"
          }
        }
      }
    }
  }
}

关键调整说明 #

• 使用foreach遍历资源组的所有标签键，逐个将资源组的标签键值对添加或替换到资源上
• 保留资源原有未重名的标签，仅覆盖与资源组同名的标签

注意事项 #

• 策略分配范围需包含目标资源组及下属资源
• mode: Indexed仅对支持标签的资源类型生效，若需覆盖所有资源类型，可改为mode: All（部分资源可能不支持modify操作）
• 策略生效后仅对新创建或更新的资源自动触发，若需同步现有资源，需手动触发策略的补救任务

内容的提问来源于stack exchange，提问作者GUNDRAJU KRUPA VANI