无法通过Azure PowerShell/az命令删除Azure Policy分配

我已经被这个问题困扰2天了——用Azure PowerShell或az命令删除策略分配时，所有命令都显示执行成功，也能正常列出所有分配；az删除命令返回成功，但策略分配依然在Azure门户里显示。

我尝试的PowerShell脚本如下：

$ResourceGroup = "PoliciesTest"
$query = "assignment"

# List policy assignments and extract the name and id
$assignments = az policy assignment list --resource-group $ResourceGroup --output json --only-show-errors | ConvertFrom-Json | Where-Object { $_.name -like "*$query*" }

# Iterate through the assignments and display name and id
foreach ($assignment in $assignments) {
    Write-Host "Name: $($assignment.name)"
    Write-Host "ID: $($assignment.id)"
    Write-Host "--------------------"
    az policy assignment delete --name $assignment.name --scope $assignment.id  --debug
}

执行后命令返回成功，但门户里的分配并未消失。Stack Overflow上有同类问题提到指定scope即可解决，但这个方案对我无效。

问题排查与修复方案 #

1. 修正Scope参数 #

你的脚本里错误地将策略分配的完整ID作为--scope参数传入了。正确的scope应该是分配所在的父层级（比如资源组、订阅或管理组的ID），而非分配自身的ID。

修改删除命令，从分配ID中提取父scope：

foreach ($assignment in $assignments) {
    Write-Host "Name: $($assignment.name)"
    Write-Host "ID: $($assignment.id)"
    Write-Host "--------------------"
    # 提取父scope（移除ID末尾的policyAssignments/分配名称部分）
    $parentScope = $assignment.id -replace "/providers/Microsoft.Authorization/policyAssignments/[^/]+$", ""
    az policy assignment delete --name $assignment.name --scope $parentScope --debug
}

2. 直接使用分配ID删除 #

更简单的方式是跳过--name和--scope，直接用--ids参数传入分配ID：

foreach ($assignment in $assignments) {
    Write-Host "Name: $($assignment.name)"
    Write-Host "ID: $($assignment.id)"
    Write-Host "--------------------"
    az policy assignment delete --ids $assignment.id --debug
}

3. 排除权限与缓存问题 #

• 确认你的账号拥有Policy Assignment Contributor或更高权限（比如Owner），权限不足可能导致命令假成功。
• Azure门户存在缓存延迟，删除后等待5-10分钟，或按Ctrl+F5强制刷新页面再检查。
• 用az policy assignment list --resource-group PoliciesTest再次确认分配是否真的存在，避免被门户缓存误导。

4. 尝试Azure PowerShell原生命令 #

如果az命令始终无效，换用Azure PowerShell的原生命令试试：

# 先确保已连接Azure
Connect-AzAccount

$ResourceGroup = "PoliciesTest"
$query = "assignment"

$assignments = Get-AzPolicyAssignment -ResourceGroupName $ResourceGroup | Where-Object { $_.Name -like "*$query*" }

foreach ($assignment in $assignments) {
    Write-Host "Name: $($assignment.Name)"
    Write-Host "ID: $($assignment.Id)"
    Write-Host "--------------------"
    Remove-AzPolicyAssignment -Id $assignment.Id -Force
}

内容的提问来源于stack exchange，提问作者robtje