Azure Modify类型策略未生效问题排查求助

核心问题 #

问题根源在于ARM模板apiVersion的默认行为与策略条件覆盖范围不足：

• 针对Microsoft.Web/sites资源的2021-02-01 apiVersion，部署时若未显式指定publicNetworkAccess属性，Azure会自动将其默认值设为Enabled，此时该属性是存在于资源中的。
• 你的策略仅设置了“属性不存在时执行修改”的规则，自然不会触发Modify操作。

修复步骤 #

调整策略的条件规则，覆盖两种需要修正的场景：

1. 资源不存在publicNetworkAccess属性
2. 资源的publicNetworkAccess属性值为Enabled

修改后的策略条件示例：

"if": {
  "anyOf": [
    {
      "field": "Microsoft.Web/sites/publicNetworkAccess",
      "exists": false
    },
    {
      "field": "Microsoft.Web/sites/publicNetworkAccess",
      "equals": "Enabled"
    }
  ]
},
"then": {
  "effect": "Modify",
  "details": {
    "roleDefinitionIds": [
      "/providers/Microsoft.Authorization/roleDefinitions/24f8edb6-1668-4659-b5e2-40bb5f3a7d7e" // 网站参与者角色ID，按需替换
    ],
    "operations": [
      {
        "operation": "addOrReplace",
        "field": "Microsoft.Web/sites/publicNetworkAccess",
        "value": "Disabled"
      }
    ]
  }
}

额外注意事项 #

• 确保策略分配的角色拥有修改publicNetworkAccess属性的权限，否则Modify操作会因权限不足失败。
• 对已部署的存量资源，需手动触发策略合规性扫描或等待系统自动扫描周期完成，才能完成属性修正。

内容的提问来源于stack exchange，提问作者moeman