自定义Azure策略：排除AzureDatabricks与MicrosoftWindowsDesktop虚拟机

核心修改位置 #

原策略（ID:13ce0167-8ca6-4048-8e6b-f996402e3c1b）的资源匹配逻辑在policyRule.if块中，需将排除镜像发布者的规则嵌入到该块的allOf数组内。

具体操作步骤 #

1. 克隆内置策略为自定义策略
   内置策略无法直接编辑，先在Azure门户的策略定义中找到该内置策略，选择“克隆”创建自定义版本。

2. 定位并修改if块
   在自定义策略的JSON编辑器中，找到policyRule.if下的allOf数组，添加以下排除规则片段：

   {
     "not": {
       "anyOf": [
         {
           "field": "Microsoft.Compute/imagePublisher",
           "equals": "AzureDatabricks"
         },
         {
           "field": "Microsoft.Compute/imagePublisher",
           "equals": "MicrosoftWindowsDesktop"
         }
       ]
     }
   }
   

3. 完整修改后的if块示例
   确保排除规则与原策略的其他条件共存，最终结构类似：

   "if": {
     "allOf": [
       {
         "field": "type",
         "equals": "Microsoft.Compute/virtualMachines"
       },
       // 保留原策略的其他内置条件（如操作系统类型判断等）
       {
         "not": {
           "anyOf": [
             {
               "field": "Microsoft.Compute/imagePublisher",
               "equals": "AzureDatabricks"
             },
             {
               "field": "Microsoft.Compute/imagePublisher",
               "equals": "MicrosoftWindowsDesktop"
             }
           ]
         }
       }
     ]
   }
   

4. 验证效果
   保存自定义策略后，重新分配该策略，检查Windows Desktop虚拟机不再被误部署，AzureDatabricks虚拟机的合规告警消失。

内容的提问来源于stack exchange，提问作者Bombbe