如何通过PowerShell修改Azure Front Door WAF特定托管规则动作？

问题分析 #

你遇到的两个核心问题：

1. 执行脚本时出现This rule set action value is not supported错误：直接新建ManagedRuleObject时未指定规则集的默认动作，且该操作会完全替换原有托管规则配置。
2. 添加-Action Log后其他规则集丢失：Update-AzFrontDoorWafPolicy的-ManagedRule参数会覆盖所有现有托管规则集，而非增量更新。

正确解决方案：基于现有策略增量修改 #

要仅更新单个特定规则的动作，需先获取现有WAF策略的完整配置，在原有基础上修改目标规则，再保存更新。

步骤1：获取现有WAF策略 #

# 替换为你的资源组和WAF策略名称
$resourceGroupName = "rg-name"
$wafPolicyName = "wafpolicyname"

$wafPolicy = Get-AzFrontDoorWafPolicy -ResourceGroupName $resourceGroupName -Name $wafPolicyName

步骤2：定位目标托管规则集 #

找到要修改的规则集（示例为Microsoft_DefaultRuleSet 2.0）：

$targetRuleSet = $wafPolicy.ManagedRuleSet | Where-Object { 
    $_.Type -eq "Microsoft_DefaultRuleSet" -and $_.Version -eq "2.0" 
}

步骤3：修改目标规则的动作 #

检查目标规则组（LFI）是否已存在覆盖配置，按需更新或添加规则覆盖：

$targetRuleGroup = $targetRuleSet.RuleGroupOverride | Where-Object { $_.RuleGroupName -eq "LFI" }

if ($targetRuleGroup) {
    # 检查目标规则是否已有覆盖，有则更新动作，无则新增
    $existingRuleOverride = $targetRuleGroup.ManagedRuleOverride | Where-Object { $_.RuleId -eq "930100" }
    if ($existingRuleOverride) {
        $existingRuleOverride.Action = "Log"
    } else {
        $newRuleOverride = New-AzFrontDoorWafManagedRuleOverrideObject -RuleId 930100 -Action Log
        $targetRuleGroup.ManagedRuleOverride += $newRuleOverride
    }
} else {
    # 规则组无覆盖配置，新建规则组覆盖及规则覆盖
    $newRuleOverride = New-AzFrontDoorWafManagedRuleOverrideObject -RuleId 930100 -Action Log
    $newRuleGroupOverride = New-AzFrontDoorWafRuleGroupOverrideObject -RuleGroupName "LFI" -ManagedRuleOverride $newRuleOverride
    $targetRuleSet.RuleGroupOverride += $newRuleGroupOverride
}

步骤4：保存更新后的WAF策略 #

使用Set-AzFrontDoorWafPolicy基于修改后的对象保存配置，避免覆盖原有规则：

Set-AzFrontDoorWafPolicy -InputObject $wafPolicy

关键说明 #

• 避免全量替换：直接通过New-AzFrontDoorWafManagedRuleObject创建规则集并传入Update-AzFrontDoorWafPolicy，会丢失所有未在新对象中定义的规则集配置。必须基于现有策略对象修改。
• 动作合法性：确保使用Azure支持的规则动作值：Allow、Block、Log、Redirect，拼写错误会触发验证失败。

内容的提问来源于stack exchange，提问作者Kosmich