Azure Policy标签继承与允许值验证配置报错求助

需求说明 #

需要创建一条Azure Policy，实现两个规则：

1. 资源的指定标签值必须在允许的取值列表内
2. 若资源未设置该标签，则从所属资源组继承该标签值

错误信息 #

分配策略时触发错误：

在'X'中创建策略分配'Ensure and Validate Tag Inheritance with Allowed Values - provisionType'失败。策略定义'Y'规则无效。'field'属性不能为空。

原策略代码 #

{
  "mode": "Indexed",
  "policyRule": {
    "if": {
      "anyOf": [
        {
          "allOf": [
            {
              "field": "[concat('tags[', parameters('tagName'), ']')]",
              "exists": "false"
            },
            {
              "field": "[resourceGroup().tags[parameters('tagName')]]",
              "notEquals": ""
            }
          ]
        },
        {
          "allOf": [
            {
              "field": "[concat('tags[', parameters('tagName'), ']')]",
              "exists": "true"
            },
            {
              "field": "[concat('tags[', parameters('tagName'), ']')]",
              "notIn": "[parameters('listofallowedtagValues')]"
            }
          ]
        }
      ]
    },
    "then": {
      "effect": "modify",
      "details": {
        "roleDefinitionIds": [
          "/providers/Microsoft.Authorization/roleDefinitions/4a9ae827-6dc8-4573-8ac7-8239d42aa03f"
        ],
        "operations": [
          {
            "operation": "add",
            "field": "[concat('tags[', parameters('tagName'), ']')]",
            "value": "[resourceGroup().tags[parameters('tagName')]]"
          }
        ]
      }
    }
  },
  "parameters": {
    "tagName": {
      "type": "String",
      "metadata": {
        "displayName": "Tag Name",
        "description": "The name of the tag, such as 'environment'."
      }
    },
    "listofallowedtagValues": {
      "type": "Array",
      "metadata": {
        "displayName": "Allowed Tag Values",
        "description": "The list of allowed values for the tag."
      }
    }
  }
}

问题根源 #

错误出现在第一个allOf块的第二个条件中："field": "[resourceGroup().tags[parameters('tagName')]]"。Azure Policy的field属性只能指向资源自身的字段路径，而resourceGroup().tags[...]属于外部资源组的上下文属性，不能作为field的值使用，这会导致解析时认为field为空或无效。

修正后的策略代码 #

{
  "mode": "Indexed",
  "policyRule": {
    "if": {
      "anyOf": [
        {
          "allOf": [
            {
              "field": "[concat('tags[', parameters('tagName'), ']')]",
              "exists": "false"
            },
            {
              "value": "[resourceGroup().tags[parameters('tagName')]]",
              "notEquals": ""
            },
            {
              "value": "[resourceGroup().tags[parameters('tagName')]]",
              "notIn": "[parameters('listofallowedtagValues')]"
            }
          ]
        },
        {
          "allOf": [
            {
              "field": "[concat('tags[', parameters('tagName'), ']')]",
              "exists": "true"
            },
            {
              "field": "[concat('tags[', parameters('tagName'), ']')]",
              "notIn": "[parameters('listofallowedtagValues')]"
            }
          ]
        }
      ]
    },
    "then": {
      "effect": "modify",
      "details": {
        "roleDefinitionIds": [
          "/providers/Microsoft.Authorization/roleDefinitions/4a9ae827-6dc8-4573-8ac7-8239d42aa03f"
        ],
        "operations": [
          {
            "operation": "addOrReplace",
            "field": "[concat('tags[', parameters('tagName'), ']')]",
            "value": "[resourceGroup().tags[parameters('tagName')]]"
          }
        ]
      }
    }
  },
  "parameters": {
    "tagName": {
      "type": "String",
      "metadata": {
        "displayName": "Tag Name",
        "description": "The name of the tag, such as 'environment'."
      }
    },
    "listofallowedtagValues": {
      "type": "Array",
      "metadata": {
        "displayName": "Allowed Tag Values",
        "description": "The list of allowed values for the tag."
      }
    }
  }
}

关键修改点 #

1. 将判断资源组标签的条件从field改为value：使用value表达式获取资源组的标签值，再进行notEquals和notIn判断，确保资源组的标签值本身也符合允许列表（避免继承无效值）
2. 将operation从add改为addOrReplace：既可以处理资源无标签的情况，也能覆盖资源已有但不符合规则的标签值
3. 补充资源组标签值的合法性校验：确保继承的标签值本身在允许列表内，避免继承无效值

额外说明 #

• 如果不需要校验资源组的标签值是否符合允许列表，可以移除第一个allOf中的第三个条件
• 确保策略分配时，指定的roleDefinitionIds对应的角色有足够权限修改资源标签（示例中使用的是内置的"资源策略参与者"角色）

内容的提问来源于stack exchange，提问作者objectclass