Azure Policy无法正确限制SQL数据库容量变更问题求助

问题根源 #

你遇到的核心问题是：针对Basic/Standard层级（DTU模型）的Azure SQL数据库，sku.capacity字段并不存储DTU容量值。该字段仅用于vCore模型的数据库，用来表示vCore数量。因此你的策略中检查sku.capacity notIn ["5","10"]时，所有DTU模型的数据库要么没有这个字段，要么值不在数组内，导致条件始终为true，触发deny规则，拦截所有操作并标记资源不合规。

解决方案 #

针对DTU模型的数据库，需要通过sku.name来识别对应容量的SKU：

• Basic层级对应5 DTU，sku.name为Basic
• Standard S0层级对应10 DTU，sku.name为S0

修改后的策略代码 #

{
  "mode": "All",
  "policyRule": {
    "if": {
      "allOf": [
        {
          "equals": "Microsoft.Sql/servers/databases",
          "field": "type"
        },
        {
          "field": "Microsoft.Sql/servers/databases/sku.name",
          "notIn": ["Basic", "S0"]
        }
      ]
    },
    "then": {
      "effect": "deny"
    }
  }
}

扩展方案（支持未来添加vCore模型） #

如果后续环境可能引入vCore模型的数据库，可添加条件区分两种模型，同时限制vCore容量为5或10：

{
  "mode": "All",
  "policyRule": {
    "if": {
      "allOf": [
        {
          "equals": "Microsoft.Sql/servers/databases",
          "field": "type"
        },
        {
          "anyOf": [
            // 针对DTU模型：仅允许Basic（5 DTU）和S0（10 DTU）
            {
              "allOf": [
                {
                  "field": "Microsoft.Sql/servers/databases/sku.tier",
                  "in": ["Basic", "Standard"]
                },
                {
                  "field": "Microsoft.Sql/servers/databases/sku.name",
                  "notIn": ["Basic", "S0"]
                }
              ]
            },
            // 针对vCore模型：限制vCore数量为5或10
            {
              "allOf": [
                {
                  "field": "Microsoft.Sql/servers/databases/sku.tier",
                  "notIn": ["Basic", "Standard"]
                },
                {
                  "field": "Microsoft.Sql/servers/databases/sku.capacity",
                  "notIn": [5, 10]
                }
              ]
            }
          ]
        }
      ]
    },
    "then": {
      "effect": "deny"
    }
  }
}

验证步骤 #

1. 检查现有数据库的SKU属性：
   使用Azure CLI命令查看目标数据库的SKU详情：

   az sql db show --resource-group <你的资源组名> --server <SQL服务器名> --name <数据库名> --query sku
   

   你会发现DTU模型的数据库capacity字段为null或不存在。
2. 部署修改后的策略，测试创建/缩放操作：
   • 尝试创建Basic或S0层级的数据库，确认操作被允许；
   • 尝试创建其他层级（如S1）的数据库，确认操作被拒绝。

内容的提问来源于stack exchange，提问作者Adam Dodman