咨询：Azure订阅中是否存在可获取PCI合规资源的API及资源/资源类型级合规详情查询方案

我明白你正苦恼找不到直接获取Azure订阅里资源或资源类型PCI合规状态的API，官方文档这块的指引确实有点分散，我整理了几个经过验证的方案，应该能满足你的需求：

1. 使用Azure Security Center的合规性结果API #

Azure Security Center提供了专门的API来获取各资源对应不同合规标准的评估结果，其中就包含PCI DSS。你可以调用以下端点：
GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Security/complianceResults?api-version=2017-08-01-preview

这个API会返回订阅内所有资源的合规评估记录，你可以通过过滤properties.standardName字段为"PCI DSS 3.2.1"（或你需要的PCI版本）来筛选出相关结果。返回数据里会包含：

• resourceId：资源的唯一标识
• properties.status：合规状态（比如Pass、Fail、NotApplicable）
• properties.assessmentName：对应的PCI控制项要求
• properties.resourceType：资源类型

2. 用Azure Resource Graph做定向查询 #

如果你需要更灵活的筛选和聚合，Azure Resource Graph是个不错的选择。你可以用Kusto查询语言直接检索资源的PCI合规状态，示例查询如下：

securityresources
| where type == "microsoft.security/complianceresults"
| where properties.standardName == "PCI DSS 3.2.1"
| project 
    资源ID = resourceId,
    资源类型 = resourceType,
    合规状态 = properties.status,
    PCI要求 = properties.assessmentName

你可以通过Azure CLI命令az graph query -q "上述Kusto查询内容"，或者调用Resource Graph的API来执行这个查询，快速得到资源级别的PCI合规详情。

3. 结合Azure Policy的合规性数据 #

如果你的订阅已经启用了PCI DSS 3.2.1的Azure Policy Initiative，也可以通过Policy Insights API来获取资源的合规状态：
POST https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.PolicyInsights/policyStates/latest/query?api-version=2021-10-01

请求体里可以指定筛选条件，比如只返回属于PCI Initiative的合规结果：

{
    "query": "policyResources | where type == 'Microsoft.PolicyInsights/policyStates' | where properties.policySetDefinitionName == 'PCI-DSS-3.2.1' | project resourceId, resourceType, complianceState = properties.complianceState, policyName = properties.policyDefinitionName"
}

注意事项 #

• 确保你的Azure订阅已经启用了Azure Security Center的标准定价层，免费层无法提供完整的PCI合规评估数据。
• 部分资源可能需要等待一段时间才能完成首次合规扫描，如果你刚启用相关功能，建议等待1-2小时后再查询。

内容的提问来源于stack exchange，提问作者Tech Covai