Azure Policy（Bicep部署）VM标签合规性异常排查求助

问题根源分析 #

原规则的逻辑错误导致无论标签是否正确都触发不合规：

• 原规则的anyOf中包含四个notEquals条件，只要其中一个成立就会返回true。比如当标签值是backup-week时，剩余三个notEquals条件均为true，anyOf整体判定为true，结合allOf的类型匹配条件，最终判定资源不合规。
• 如果虚拟机未设置BackupRetention标签，field: 'tags[\'BackupRetention\']'不存在，notEquals判断会默认返回true，同样触发不合规。

修正后的Policy规则 #

调整判断逻辑为：资源是虚拟机，并且（标签不存在 或者 标签值不在允许的列表中），才判定为不合规。对应的规则如下：

if: {
  allOf: [
    {
      field: 'type'
      equals: 'Microsoft.Compute/virtualMachines'
    }
    {
      anyOf: [
        {
          field: 'tags[\'BackupRetention\']'
          exists: false
        }
        {
          not: {
            field: 'tags[\'BackupRetention\']'
            in: [
              'backup-week'
              'backup-day'
              'backup-month'
              'backup-year'
            ]
          }
        }
      ]
    }
  ]
}
then: {
  effect: 'modify'
  details: {
    roleDefinitionIds: [
      '/providers/Microsoft.Authorization/roleDefinitions/b24988ac-6180-42a0-ab88-20f7382dd24c' // Contributor角色
    ]
    operations: [
      {
        operation: 'addOrReplace'
        field: 'tags[\'BackupRetention\']'
        value: 'None' // 可替换为你需要设置的默认值
      }
    ]
  }
}

规则说明 #

• 用exists: false检查标签是否存在，覆盖未设置标签的场景。
• 用in操作符判断标签值是否在允许的列表中，外层包裹not，表示当值不在列表中时触发条件。
• anyOf组合两个条件：要么标签不存在，要么值不符合要求，只要满足其一就判定为不合规，触发Modify操作。

原不合规提示解释 #

原提示的错误信息是逻辑判断混乱导致的：

• 第一条提示中type的当前值等于目标值，但系统显示“必须不等于”，是因为原逻辑的anyOf条件始终为true，导致整个allOf成立，系统误判了条件关系。
• 第二条提示把backup-day当成目标值，是因为原规则的anyOf多条件冲突，系统无法正确识别预期的标签值范围。

内容的提问来源于stack exchange，提问作者BGB