Azure Policy未在AKS中生效命名空间排除规则的问题排查

1. 策略累加执行逻辑：Azure Policy的分配是累加生效的，管理组级别的基准策略会自动继承到下属订阅的AKS资源。你在订阅/AKS上单独分配的同一定义策略，只是新增了排除规则，但管理组的原策略并没有排除这些命名空间，所以两个策略会同时评估，管理组的策略依然会标记这些命名空间为不合规。
2. 参数配置验证缺失：可能你在订阅级策略分配时，excludedNamespaces参数的配置存在问题，比如命名空间拼写错误、数组格式不正确（比如未正确包裹为数组或分隔符错误），导致排除规则未生效。
3. 评估周期延迟：虽然等待了4小时，但大规模资源或管理组级别的策略自动评估周期最长可能达24小时，未触发手动扫描的话，结果不会即时更新。

• 使用策略豁免绕过管理组策略：
  因为你无法修改管理组级别的基准策略，可针对目标AKS资源（或具体命名空间对应的资源）创建策略豁免，豁免管理组中那个禁用API凭证自动挂载的策略规则。操作时需要拥有Microsoft.Authorization/policyExemptions/write权限：
  1. 进入Azure Portal的AKS资源页面，切换到「策略」选项卡
  2. 在「不合规的策略」中找到管理组级别的目标策略，点击「创建豁免」
  3. 选择豁免范围（可限定为特定命名空间）、填写豁免理由，完成创建
• 验证订阅级策略参数配置：
  检查订阅级的策略分配，确认excludedNamespaces参数已正确添加ingress、cert-manager等命名空间，参数格式为标准数组（例如["kube-system", "ingress", "cert-manager"]），避免拼写错误或格式问题。
• 手动触发策略评估：
  通过Azure CLI或Portal手动触发AKS资源的策略评估，加速结果更新：
  • CLI命令：az policy state trigger-scan --resource-group <你的资源组名称> --name <AKS集群名称>
  • Portal操作：进入AKS资源的「策略」页面，点击顶部的「触发评估」按钮

内容的提问来源于stack exchange，提问作者One Developer