如何在Bicep/ARM的policyRule中检测仅含空白的参数值

在ARM策略里，直接在field字段中使用trim()函数是不生效的——field仅能直接引用资源的原生属性，无法对属性值做即时转换。要检测标签值仅包含空白字符的情况，需通过value运算符处理标签值后，再判断结果是否为空字符串。

正确的ARM JSON策略规则示例 #

policyRule: {
  if: {
    or: [
      // 检测标签不存在
      {
        field: '[concat(\'tags[\', parameters(\'tagName\'), \']\')]'
        exists: false
      },
      // 检测标签值为空字符串
      {
        field: '[concat(\'tags[\', parameters(\'tagName\'), \']\')]'
        equals: ''
      },
      // 检测标签值仅为空白字符（trim后为空）
      {
        value: '[trim(concat(\'tags[\', parameters(\'tagName\'), \']\'))]'
        equals: ''
      }
    ]
  },
  then: {
    effect: 'deny' // 可替换为audit、modify等你需要的效果
  }
}

对应的Bicep版本示例 #

policyRule: {
  if: {
    or: [
      {
        field: concat('tags[', parameters('tagName'), ']')
        exists: false
      },
      {
        field: concat('tags[', parameters('tagName'), ']')
        equals: ''
      },
      {
        value: trim(concat('tags[', parameters('tagName'), ']'))
        equals: ''
      }
    ]
  }
  then: {
    effect: 'deny'
  }
}

关键说明 #

• value运算符支持对资源属性执行函数转换（如trim()），再将转换后的结果用于条件判断，这是它与field字段的核心区别。
• 将标签不存在、值为空字符串、值仅含空白字符三个条件放入or数组，可覆盖所有不符合要求的标签场景。

内容的提问来源于stack exchange，提问作者RhomburVernius