如何忽略Azure自定义标签继承策略的不合规状态并实现100%合规？

我来帮你拆解下这个问题，以及对应的解决办法：

为什么标签已正确分配仍显示不合规？ #

核心问题出在你策略if条件里的跨类型比较逻辑：

{ "value": "[resourceGroup().tags]", "notEquals": "" }

resourceGroup().tags是一个对象类型，而你把它和空字符串""做比较——Azure策略的表达式引擎中，不同类型的值比较会导致不可预期的判断结果，这干扰了合规状态的计算。虽然这个条件看起来能筛选出有标签的资源组，但实际上它会让策略在评估合规性时出现异常，即使资源已经正确继承了标签，也会被误判为不合规。

另外，你可能对Modify策略的合规判断逻辑存在一点误解：

• 当资源匹配if条件时，Azure会检查资源当前状态是否已经符合then操作的目标状态：符合则标记为合规，不符合则标记为不合规（并触发修正）。
• 当资源不匹配if条件时，直接标记为合规。

你的原策略中，错误的比较逻辑让策略错误地认为资源匹配条件但未达到目标状态，从而显示不合规。

修正后的策略定义 #

移除那个多余且错误的notEquals条件，仅保留exists判断即可（exists: true已经足够确认资源组存在标签）：

{
  "properties": {
    "displayName": "inheritTags",
    "policyType": "Custom",
    "mode": "Indexed",
    "metadata": {
      "createdBy": "3332dc03-2402-46e3-9098-c7350b0bc8dd",
      "createdOn": "2019-11-25T14:49:57.8136557Z",
      "updatedBy": "3332dc03-2402-46e3-9098-c7350b0bc8dd",
      "updatedOn": "2019-11-26T19:43:48.752452Z"
    },
    "parameters": {},
    "policyRule": {
      "if": {
        "value": "[resourceGroup().tags]",
        "exists": "true"
      },
      "then": {
        "effect": "modify",
        "details": {
          "operations": [
            {
              "operation": "addOrReplace",
              "field": "tags",
              "value": "[resourceGroup().tags]"
            }
          ],
          "roleDefinitionIds": [
            "/providers/Microsoft.Authorization/roleDefinitions/b24988ac-6180-42a0-ab88-20f7382dd24c"
          ]
        }
      }
    },
    "id": "/subscriptions/78afced4-1c58-4e66-8242-c042890d34c3/providers/Microsoft.Authorization/policyDefinitions/9f2a0e94-5ada-47b0-8125-42464f93cf37",
    "type": "Microsoft.Authorization/policyDefinitions",
    "name": "9f2a0e94-5ada-47b0-8125-42464f93cf37"
  }
}

额外优化选项 #

如果你希望资源的标签完全和资源组一致（即删除资源上的自定义额外标签），可以将operation从addOrReplace改为replace，这样会直接覆盖资源的所有现有标签：

{
  "operation": "replace",
  "field": "tags",
  "value": "[resourceGroup().tags]"
}

实现资源合规的步骤 #

1. 用修正后的策略覆盖原自定义策略定义
2. 重新分配该策略到目标范围
3. 在Azure门户的策略页面手动触发合规扫描（或等待系统自动扫描，通常需要15-30分钟）

完成后，已经正确继承标签的资源会被标记为合规。

内容的提问来源于stack exchange，提问作者Gajush