如何检测Azure Key Vault创建并自动为其防火墙添加IP地址？

一、Azure Policy Append效果不生效的可能原因及修正方案 #

1. 字段路径错误 #

你当前指定的field路径Microsoft.KeyVault/vaults/networkAcls.ipRules[*].value不符合要求。ipRules本身是一个对象数组，每个元素包含value（IP地址）和action（允许/拒绝）两个属性。Append操作需要直接针对ipRules数组添加完整的规则对象，而非数组元素的某个子字段。

2. 未配置默认拒绝规则 #

要让IP规则生效，Key Vault的网络ACL必须将defaultAction设置为Deny（对应“Allow public access from specific virtual networks and IP addresses”模式）。如果资源创建时默认是允许所有网络访问，仅添加IP规则不会改变实际访问策略，Policy的Append效果也可能因目标资源状态不符合前置条件而不触发。

修正后的Policy Then部分代码 #

"then": {
    "effect": "append",
    "details": [
        {
            "field": "Microsoft.KeyVault/vaults/networkAcls.ipRules",
            "value": {
                "value": "x.x.x.x/32",
                "action": "Allow"
            }
        },
        {
            "field": "Microsoft.KeyVault/vaults/networkAcls.defaultAction",
            "value": "Deny"
        }
    ]
}

同时需要确保Policy的if条件包含对defaultAction和ipRules的检查，示例如下：

"if": {
    "allOf": [
        {
            "field": "type",
            "equals": "Microsoft.KeyVault/vaults"
        },
        {
            "anyOf": [
                {
                    "field": "Microsoft.KeyVault/vaults/networkAcls.defaultAction",
                    "notEquals": "Deny"
                },
                {
                    "not": {
                        "field": "Microsoft.KeyVault/vaults/networkAcls.ipRules[*].value",
                        "contains": "x.x.x.x/32"
                    }
                }
            ]
        }
    ]
}

二、其他适合的服务选项 #

1. Azure Event Grid + Azure Functions #

• 逻辑：当Key Vault创建完成时，Azure Event Grid会触发Microsoft.KeyVault.vaults.created事件，将事件推送到Azure Functions。
• 优势：逻辑灵活度高，可批量添加多个IP地址、处理复杂条件判断，还能整合其他Azure服务操作；实时响应资源创建事件，延迟低。
• 实现方式：在Function中使用Azure SDK（如Azure PowerShell、.NET或Python SDK）调用Key Vault管理API，更新网络ACL配置。

2. Azure Automation Runbooks #

• 逻辑：可通过Event Grid触发Runbook，或设置定期调度，扫描所有Key Vault资源，对未配置指定IP规则的实例进行修正。
• 优势：适合需要定期巡检、批量处理资源的场景，能与其他自动化流程（如成本管理、资源合规检查）整合；支持PowerShell和Python脚本，学习成本较低。

内容的提问来源于stack exchange，提问作者Nick981