Azure存储账户前缀标签检查及Policy配置：正则匹配咨询

1. 检查Azure存储账户是否存在名称以"ABC"开头的标签 #

你可以通过Azure CLI或PowerShell快速筛选出符合条件的存储账户：

Azure CLI方式 #

执行以下命令，会列出所有标签名称以"ABC"开头的存储账户：

az storage account list --query "[?tags.keys(@)[?starts_with(@, 'ABC')]]" --output table

Azure PowerShell方式 #

执行以下PowerShell命令，筛选目标存储账户：

Get-AzStorageAccount | Where-Object { $_.Tags.Keys | Where-Object { $_ -like 'ABC*' } }

2. Azure Policy匹配以"ABC"开头的标签名称 #

你当前的Policy规则写法有误，不能直接在field表达式中用*通配符匹配标签键。要实现阻止带有名称以"ABC"开头的标签的存储账户，需要使用match条件结合正则表达式，或者通过starts_with判断标签键前缀。

正确的Policy规则示例（固定前缀） #

{
    "parameters": {
        "tagname": {
            "type": "string",
            "defaultValue": "ABC"
        }
    },
    "policyRule": {
        "if": {
            "allOf": [
                {
                    "field": "type",
                    "equals": "Microsoft.Storage/storageAccounts"
                },
                {
                    "field": "tags",
                    "match": "^ABC.*"
                }
            ]
        },
        "then": {
            "effect": "deny"
        }
    }
}

参数化前缀的Policy规则（更灵活） #

如果需要支持自定义前缀，可以将正则表达式与参数拼接：

{
    "parameters": {
        "tagPrefix": {
            "type": "string",
            "defaultValue": "ABC",
            "metadata": {
                "description": "用于匹配标签名称开头的前缀"
            }
        }
    },
    "policyRule": {
        "if": {
            "allOf": [
                {
                    "field": "type",
                    "equals": "Microsoft.Storage/storageAccounts"
                },
                {
                    "field": "tags",
                    "match": "[concat('^', parameters('tagPrefix'), '.*')]"
                }
            ]
        },
        "then": {
            "effect": "deny"
        }
    }
}

说明：match条件中的正则^ABC.*表示匹配所有以"ABC"开头的标签键；参数化写法通过concat将前缀参数与正则模板拼接，适配不同前缀需求。

内容的提问来源于stack exchange，提问作者aagjk9799