Azure Policy多标签强制分配需求及现有代码问题排查

问题分析 #

原配置存在四个核心问题：

1. 条件逻辑错误：if语句的判断逻辑与需求不符，仅当两个标签至少存在一个时触发操作，但实际需要至少一个标签不存在时执行修正。
2. 参数重复定义：parameters里重复声明了tagValue，第二个标签的参数应为tagValue2。
3. 语法错误：exists字段值多了一个英文句号，不符合JSON语法规范。
4. 操作类型错误：使用addOrReplace会覆盖已存在的标签值，违背"已存在则忽略"的需求。

修正后的完整代码 #

{
  "mode": "Indexed",
  "policyRule": {
    "if": {
      "not": {
        "allOf": [
          {
            "field": "[concat('tags[', parameters('tagName'), ']')]",
            "exists": "true"
          },
          {
            "field": "[concat('tags[', parameters('tagName2'), ']')]",
            "exists": "true"
          }
        ]
      }
    },
    "then": {
      "effect": "modify",
      "details": {
        "roleDefinitionIds": [
          "/providers/Microsoft.Authorization/roleDefinitions/4a9ae827-6dc8-4573-8ac7-8239d42aa03f"
        ],
        "operations": [
          {
            "operation": "add",
            "field": "[concat('tags[', parameters('tagName'), ']')]",
            "value": "[parameters('tagValue')]"
          },
          {
            "operation": "add",
            "field": "[concat('tags[', parameters('tagName2'), ']')]",
            "value": "[parameters('tagValue2')]"
          }
        ]
      }
    }
  },
  "parameters": {
    "tagName": {
      "type": "String",
      "metadata": {
        "displayName": "app",
        "description": "必填标签名称：app"
      },
      "defaultValue": "app"
    },
    "tagValue": {
      "type": "String",
      "metadata": {
        "displayName": "app标签默认值",
        "description": "当app标签不存在时自动添加的默认值"
      },
      "defaultValue": "tbd"
    },
    "tagName2": {
      "type": "String",
      "metadata": {
        "displayName": "app_owner",
        "description": "必填标签名称：app_owner"
      },
      "defaultValue": "app_owner"
    },
    "tagValue2": {
      "type": "String",
      "metadata": {
        "displayName": "app_owner标签默认值",
        "description": "当app_owner标签不存在时自动添加的默认值"
      },
      "defaultValue": "tbd"
    }
  }
}

关键修改说明 #

• 条件逻辑调整：if语句判断"并非两个标签都存在"，只要有一个标签缺失就触发修正操作。
• 操作类型改为add：add仅在标签不存在时添加默认值，不会覆盖已有的标签内容，完全匹配需求。
• 参数优化：修复重复定义问题，添加defaultValue简化配置流程，无需手动输入固定的标签名和默认值。
• 语法修复：移除exists字段后的多余句号，保证Policy能正常生效。

验证场景 #

• 资源无任何标签：自动添加app:tbd和app_owner:tbd。
• 资源已有app:ABC：仅添加app_owner:tbd，不修改app的现有值。
• 资源已有app_owner:admin：仅添加app:tbd，不修改app_owner的现有值。

内容的提问来源于stack exchange，提问作者sasanklanka