Azure Policy咨询：阻止Terraform管理资源UI修改及问题排查

1. 使用Azure Policy是否是实现需求的正确方式？ #

是。Azure Policy是Azure原生的资源管控工具，能够基于资源属性（如标签）对资源的创建、更新、删除等操作进行细粒度控制，完全匹配“阻止非Terraform渠道修改指定标签资源”的需求。

2. 当前配置的Policy为何未生效？ #

你的Policy存在几个关键问题，同时可能有外部因素导致未生效：

• 规则逻辑冗余且未覆盖核心场景：anyOf中的两个条件（tags['source']存在和tags['source']等于terraform）存在冗余，且默认评估的是修改后的资源状态。比如当你修改带source:terraform标签的资源的标签值为其他内容时，修改后的资源状态不再符合条件，Policy不会阻止该操作；而如果修改资源的其他属性（如配置），修改后的资源仍带该标签，理论上应该被阻止，但可能还有其他问题。
• 未针对资源原始状态进行校验：若要阻止所有对已带有source:terraform标签资源的修改（包括修改标签本身），需要引用资源的原始状态，而非修改后的状态。正确的条件应使用old()函数获取操作前的标签值：

  "if": {
    "field": "old(tags['source'])",
    "equals": "terraform"
  }
  

• Policy未完全生效：Azure Policy分配后通常需要15-30分钟才能在全订阅范围内生效，若刚完成分配，可等待一段时间再测试。
• 账号权限豁免：若你的账号是订阅Owner、拥有Microsoft.Authorization/policyExemptions/write权限，或已被添加到该Policy的豁免列表中，会绕过Policy限制。

3. 若Policy生效后，是否会阻止Terraform自身修改资源？如何调整？ #

会阻止。因为Terraform修改资源时也是通过Azure API发送PUT/PATCH请求，会被Policy的deny规则拦截。可通过以下两种方式调整：

• 为Terraform服务主体添加Policy豁免：在订阅或资源组级别，为Terraform使用的服务主体（SP）创建Policy豁免，针对该管控Policy允许其修改资源。
• 修改Policy规则排除Terraform操作：在if条件中添加排除项，指定只有非Terraform SP发起的操作才会被阻止。示例如下（替换<Terraform-SP-App-ID>为你的Terraform SP的应用ID）：

  {
    "mode": "All",
    "policyRule": {
      "if": {
        "allOf": [
          {
            "field": "old(tags['source'])",
            "equals": "terraform"
          },
          {
            "field": "requestContext.clientApplicationId",
            "notEquals": "<Terraform-SP-App-ID>"
          }
        ]
      },
      "then": {
        "effect": "deny"
      }
    },
    "parameters": {}
  }
  

内容的提问来源于stack exchange，提问作者Marvin Core