Azure Policy诊断设置强制配置问题：部分功能未生效求助

问题根源 #

你的existenceCondition使用了anyof逻辑，这意味着只要诊断设置的任意一项（日志启用状态、事件中心授权ID、事件中心名称、工作区ID）与参数匹配，策略就判定资源已合规。这直接导致：

• 手动修改诊断设置的某一项时，只要其他项仍匹配，策略不会触发修正
• 更新策略分配的配置参数后，原有诊断设置只要有一项匹配新参数，就不会被批量更新
• 若诊断设置被完全删除，若策略子资源匹配逻辑有误，也可能无法触发重建

修正方案 #

1. 修正existenceCondition逻辑 #

将anyof改为allof，确保诊断设置的所有指定属性都与参数完全匹配时，才判定为合规。示例配置如下：

"existenceCondition": {
    "allOf": [
        {
            "field": "Microsoft.Insights/diagnosticSettings/logs.enabled",
            "equals": "[parameters('logsEnabled')]"
        },
        {
            "field": "Microsoft.Insights/diagnosticSettings/eventHubAuthorizationRuleId",
            "equals": "[parameters('eventHubAuthorizationRuleId')]"
        },
        {
            "field": "Microsoft.Insights/diagnosticSettings/eventHubName",
            "equals": "[parameters('eventHubName')]"
        },
        {
            "field": "Microsoft.Insights/diagnosticSettings/workspaceId",
            "equals": "[parameters('workspaceId')]"
        }
    ]
}

如果部分参数是可选的（比如不需要配置事件中心），可给对应条件添加exists判断，示例：

"allOf": [
    {
        "field": "Microsoft.Insights/diagnosticSettings/logs.enabled",
        "equals": "[parameters('logsEnabled')]"
    },
    {
        "anyOf": [
            {
                "field": "Microsoft.Insights/diagnosticSettings/eventHubAuthorizationRuleId",
                "exists": false
            },
            {
                "field": "Microsoft.Insights/diagnosticSettings/eventHubAuthorizationRuleId",
                "equals": "[parameters('eventHubAuthorizationRuleId')]"
            }
        ]
    },
    {
        "field": "Microsoft.Insights/diagnosticSettings/workspaceId",
        "equals": "[parameters('workspaceId')]"
    }
]

2. 确保策略其他关键配置正确 #

• 策略的mode需设置为All，确保能检测子资源（诊断设置）的变更
• deployIfNotExists的resourceType必须是Microsoft.Insights/diagnosticSettings，且existenceScope设置为resourceGroup或对应匹配范围
• 部署模板中的诊断设置名称需固定，避免重复创建多份诊断设置

3. 触发批量修正 #

更新策略分配配置后，需手动触发合规扫描或创建修正任务：

• 在Azure门户的策略分配页面，点击创建修正任务，选择需要修正的资源范围
• 或使用Azure CLI命令触发扫描：

az policy state scan --resource-group <你的资源组名称>

内容的提问来源于stack exchange，提问作者Ifthikhar B Ahamed