修改Azure Policy：排除微软托管资源，保留订阅标签管理功能

核心思路 #

当前Policy仅排除了订阅资源，导致所有非订阅资源（包括微软自动创建的托管资源）都被纳入合规检查。要解决这个问题，可通过白名单指定目标资源或黑名单排除托管资源两种方式精准控制作用范围，同时保留原Policy的标签继承/更新功能。

方式1：白名单指定需要管理的资源类型（推荐） #

直接列出你手动维护的资源类型（如存储账户、函数、虚拟机等），仅对这些资源执行标签检查和修改，从根源上排除托管资源干扰。

修改后的完整Policy代码：

{
  "mode": "All",
  "policyRule": {
    "if": {
      "allOf": [
        {
          "field": "type",
          "in": [
            "Microsoft.Storage/storageAccounts",
            "Microsoft.Web/sites",
            "Microsoft.Compute/virtualMachines",
            "Microsoft.Web/functions",
            "Microsoft.Compute/virtualMachineScaleSets"
            // 根据实际需求添加更多手动管理的资源类型
          ]
        },
        {
          "anyOf": [
            {
              "field": "[concat('tags[', parameters('tagName1'), ']')]",
              "exists": "false"
            },
            {
              "not": {
                "field": "[concat('tags[', parameters('tagName1'), ']')]",
                "equals": "[subscription().tags[parameters('tagName1')]]"
              }
            }
          ]
        }
      ]
    },
    "then": {
      "effect": "modify",
      "details": {
        "roleDefinitionIds": [
          "/providers/Microsoft.Authorization/roleDefinitions/b24988ac-6180-42a0-ab88-20f7382dd24c"
        ],
        "operations": [
          {
            "operation": "addOrReplace",
            "field": "[concat('tags[', parameters('tagName1'), ']')]",
            "value": "[subscription().tags[parameters('tagName1')]]"
          }
        ]
      }
    }
  },
  "parameters": {
    "tagName1": {
      "type": "String",
      "metadata": {
        "displayName": "First Tag Name",
        "description": "Name of the tag, such as 'environment'"
      }
    }
  }
}

方式2：黑名单排除托管资源类型 #

如果无法穷举所有目标资源，可列出需要排除的微软托管资源类型，避免它们出现在合规报告中。

修改后的if条件片段示例：

"if": {
  "allOf": [
    {
      "field": "type",
      "notEquals": "Microsoft.Resources/subscriptions"
    },
    {
      "not": {
        "field": "type",
        "in": [
          "Microsoft.DocumentDB/databaseAccounts/sqlRoleAssignments",
          "Microsoft.DBforPostgreSQL/servers",
          "Microsoft.KeyVault/vaults/accessPolicies",
          "Microsoft.Storage/storageAccounts/blobServices/containers/immutabilityPolicies"
          // 添加其他需要排除的托管资源类型
        ]
      }
    },
    {
      "anyOf": [
        // 原有的标签检查逻辑
        {
          "field": "[concat('tags[', parameters('tagName1'), ']')]",
          "exists": "false"
        },
        {
          "not": {
            "field": "[concat('tags[', parameters('tagName1'), ']')]",
            "equals": "[subscription().tags[parameters('tagName1')]]"
          }
        }
      ]
    }
  ]
}

关键说明 #

• 白名单模式更可靠，能确保仅处理你指定的资源，彻底避免托管资源干扰。
• 两种方案均保留原Policy的核心逻辑：资源无标签时继承订阅标签、标签不匹配时自动更新、标签匹配时不执行操作。
• 代码中使用的roleDefinitionIds是Azure内置的参与者角色ID，确保Policy拥有修改资源标签的权限。

内容的提问来源于stack exchange，提问作者michasaucer