Azure Policy失效排查：检查APIM Url是否为小写

你的Azure Policy无法检测到违规资源，核心问题是函数表达式被当作字符串字面量处理，而非被引擎解析执行，导致条件永远不成立。

具体错误点 #

• 你把[toLower(string(field('...')))]放在了双引号里，Azure Policy引擎会将其视为普通字符串，只会和字段值做字面匹配，不会执行小写转换逻辑。
• 另外string()转换是多余的，field()返回的本身就是字符串类型，无需额外转换。

修正后的Policy规则 #

"policyRule": {
  "if": {
    "allOf": [
      {
        "field": "type",
        "equals": "Microsoft.ApiManagement/service/apis"
      },
      {
        "anyOf": [
          {
            "not": {
              "field": "Microsoft.ApiManagement/service/apis/path",
              "equals": "[toLower(field('Microsoft.ApiManagement/service/apis/path'))]"
            }
          },
          {
            "not": {
              "field": "Microsoft.ApiManagement/service/apis/displayName",
              "equals": "[toLower(field('Microsoft.ApiManagement/service/apis/displayName'))]"
            }
          }
        ]
      }
    ]
  },
  "then": {
    "effect": "audit" // 可根据需求改为deny、modify等操作
  }
}

修正说明 #

1. 移除了函数表达式的外层引号，让引擎能正确解析执行toLower()转换逻辑
2. 使用not+equals的组合，明确表达“字段值不等于其小写形式”的判断逻辑，比直接用notEquals更直观，避免表达式嵌套问题
3. 补充了then节点，这是Policy规则的必要部分，用于指定检测到违规后的具体操作（比如audit仅记录违规，deny直接阻止资源创建/修改）

如果path字段可能存在空值场景，建议添加exists检查避免误判，示例如下：

{
  "allOf": [
    {
      "field": "Microsoft.ApiManagement/service/apis/path",
      "exists": true
    },
    {
      "not": {
        "field": "Microsoft.ApiManagement/service/apis/path",
        "equals": "[toLower(field('Microsoft.ApiManagement/service/apis/path'))]"
      }
    }
  ]
}

内容的提问来源于stack exchange，提问作者Edwin