如何编写Azure策略比较资源与资源组的特定标签值？

完全可以通过Azure策略实现特定标签键对应标签值的比较，你提到的内置标签继承策略实际就是在比较标签值，可能你误解了它的逻辑。

内置策略逻辑说明 #

你给出的内置策略if条件核心是对比标签值，而非标签键：

• field: "[concat('tags[', parameters('tagName'), ']')]" 定位到资源的指定标签键对应的标签值
• notEquals: "[resourceGroup().tags[parameters('tagName')]]" 将资源的标签值与资源组同标签键的标签值做对比
• 第二个条件value: "[resourceGroup().tags[parameters('tagName')]]", "notEquals": "" 是确保资源组的目标标签有值，避免对无标签的资源组做无效校验

完整自定义策略示例 #

以下是可以直接使用的自定义策略，包含校验逻辑和自动修正操作：

{
  "properties": {
    "displayName": "强制资源继承资源组的指定标签值",
    "policyType": "Custom",
    "mode": "Indexed",
    "description": "校验资源的指定标签值是否与所在资源组的同标签值一致，不一致则自动修正",
    "parameters": {
      "tagName": {
        "type": "String",
        "metadata": {
          "displayName": "标签名称",
          "description": "需要校验和继承的标签键名称，例如Application"
        }
      }
    },
    "policyRule": {
      "if": {
        "allOf": [
          {
            "field": "[concat('tags[', parameters('tagName'), ']')]",
            "notEquals": "[resourceGroup().tags[parameters('tagName')]]"
          },
          {
            "value": "[resourceGroup().tags[parameters('tagName')]]",
            "notEquals": ""
          }
        ]
      },
      "then": {
        "effect": "Modify",
        "details": {
          "roleDefinitionIds": [
            "/providers/Microsoft.Authorization/roleDefinitions/b24988ac-6180-42a0-ab88-20f7382dd24c"
          ],
          "operations": [
            {
              "operation": "addOrReplace",
              "field": "[concat('tags[', parameters('tagName'), ']')]",
              "value": "[resourceGroup().tags[parameters('tagName')]]"
            }
          ]
        }
      }
    }
  }
}

关键部分解释 #

• 参数tagName：用于指定需要校验的标签键（比如你示例中的Application），策略会动态适配该标签的校验逻辑
• if条件：仅当资源标签值与资源组标签值不一致，且资源组标签值不为空时，判定为不合规
• then操作：使用Modify效果自动将资源的标签值替换为资源组的对应值，其中roleDefinitionIds是Azure内置的"参与者"角色ID，确保策略拥有修改资源标签的权限

验证方法 #

1. 将该策略部署到你的Azure订阅或管理组
2. 创建或修改一个虚拟机，设置其Application标签值与所在资源组的Application值不同
3. 等待策略自动评估（或手动触发评估），策略会标记该资源为不合规，并自动修正标签值

内容的提问来源于stack exchange，提问作者SRoberts