Azure Policy（Modify效果）：如何让现有资源继承资源组标签？

一、触发无害资源更新以触发策略生效 #

对于像公网IP这类难以找到自然更新触发点的资源，可以通过执行无实际配置变更的更新操作触发策略的Modify逻辑，以下是具体命令：

Az CLI 示例（公网IP） #

# 获取目标公网IP的当前SKU（比如Basic或Standard）
ip_sku=$(az network public-ip show --name <公网IP名称> --resource-group <资源组名称> --query sku.name -o tsv)
# 重新设置相同的SKU，触发更新事件
az network public-ip update --name <公网IP名称> --resource-group <资源组名称> --sku $ip_sku

PowerShell 示例（公网IP） #

$publicIp = Get-AzPublicIpAddress -Name <公网IP名称> -ResourceGroupName <资源组名称>
# 重新设置相同的SKU参数，触发更新
Set-AzPublicIpAddress -PublicIpAddress $publicIp

这种操作不会改变资源的实际运行状态，但会触发Azure资源的更新事件，让你的Modify策略执行标签继承逻辑。不同资源类型的无害更新操作略有差异，比如存储账户可以重新设置相同的访问层级：

# Az CLI 存储账户无害更新
access_tier=$(az storage account show --name <存储账户名称> --resource-group <资源组名称> --query accessTier -o tsv)
az storage account update --name <存储账户名称> --resource-group <资源组名称> --access-tier $access_tier

二、更优的批量标签继承方案 #

依赖策略触发更新的方式略显繁琐，更直接的方案是通过脚本批量读取资源组标签，直接应用到现有资源，无需依赖策略的触发逻辑：

PowerShell 批量处理脚本 #

# 指定要继承的标签键
$targetTags = @("CreatedBy", "IT-Responsible")

# 获取目标资源组
$resourceGroup = Get-AzResourceGroup -Name <资源组名称>
# 筛选资源组中需要继承标签的资源（可根据资源类型过滤）
$resources = Get-AzResource -ResourceGroupName $resourceGroup.ResourceGroupName

foreach ($resource in $resources) {
    # 收集需要添加/更新的标签
    $tagsToApply = @{}
    foreach ($tagKey in $targetTags) {
        if ($resourceGroup.Tags.ContainsKey($tagKey)) {
            $tagsToApply[$tagKey] = $resourceGroup.Tags[$tagKey]
        }
    }

    # 仅当有需要更新的标签时执行操作
    if ($tagsToApply.Count -gt 0) {
        # 合并现有标签与要继承的标签（保留资源原有其他标签）
        $updatedTags = $resource.Tags
        foreach ($key in $tagsToApply.Keys) {
            $updatedTags[$key] = $tagsToApply[$key]
        }
        Set-AzResource -ResourceId $resource.ResourceId -Tag $updatedTags -Force
        Write-Host "已为资源 $($resource.Name) 应用标签：$($tagsToApply | ConvertTo-Json -Compress)"
    }
}

Az CLI 批量处理脚本 #

#!/bin/bash

# 指定目标资源组和要继承的标签键
RESOURCE_GROUP="<资源组名称>"
TARGET_TAGS=("CreatedBy" "IT-Responsible")

# 获取资源组的标签
RG_TAGS=$(az group show --name $RESOURCE_GROUP --query tags -o json)

# 遍历资源组内的所有资源
az resource list --resource-group $RESOURCE_GROUP --query "[].{id:id, tags:tags}" -o json | jq -c '.[]' | while read resource; do
    RESOURCE_ID=$(echo $resource | jq -r '.id')
    CURRENT_TAGS=$(echo $resource | jq '.tags // {}')

    # 构建要应用的标签
    TAGS_TO_APPLY=$(echo $RG_TAGS | jq --argjson targetTags "$(printf '%s\n' "${TARGET_TAGS[@]}" | jq -R . | jq -s .)" 'with_entries(select(.key | IN($targetTags[])))')

    # 合并现有标签与新标签
    UPDATED_TAGS=$(echo "$CURRENT_TAGS $TAGS_TO_APPLY" | jq -s 'add')

    # 仅当标签有变更时更新
    if [ "$CURRENT_TAGS" != "$UPDATED_TAGS" ]; then
        az resource update --ids $RESOURCE_ID --set tags="$UPDATED_TAGS"
        echo "已为资源 $RESOURCE_ID 应用标签：$TAGS_TO_APPLY"
    fi
done

这种方案的优势是：

• 直接对现有资源生效，无需等待策略触发
• 可以精确控制要继承的标签和目标资源范围
• 避免了触发资源更新可能带来的潜在风险（虽然无害更新风险极低）

另外，如果你仍想依赖Azure Policy处理后续资源，建议为现有资源手动触发策略修正任务：在Azure门户中找到你的psd-inherit-rg-tags计划，进入“合规性”页面，选择不合规的资源，点击“创建修正任务”，即可批量执行标签继承操作，无需手动触发资源更新。

内容的提问来源于stack exchange，提问作者TobiasK