使用Terraform创建Azure策略实现资源继承资源组标签

完整配置代码 #

variables.tf #

variable "resource_group_name" {
  type        = string
  description = "目标资源组名称"
}

variable "policy_assignment_name" {
  type        = string
  description = "策略分配名称"
  default     = "inherit-rg-tags"
}

variable "tags_to_inherit" {
  type        = list(string)
  description = "需要继承的标签键列表，留空则继承所有标签"
  default     = []
}

main.tf #

# 自定义策略定义：让资源自动继承资源组标签
resource "azurerm_policy_definition" "inherit_rg_tags" {
  name         = "inherit-resource-group-tags"
  policy_type  = "Custom"
  mode         = "Indexed"
  display_name = "继承资源组标签到子资源"
  description  = "强制资源自动继承所属资源组的标签，不用手动在每个资源里配置"

  policy_rule = <<POLICY_RULE
{
  "if": {
    "allOf": [
      {
        "field": "type",
        "notIn": [
          "Microsoft.Resources/subscriptions",
          "Microsoft.Resources/resourceGroups"
        ]
      },
      {
        "value": "[resourceGroup().tags]",
        "notEquals": ""
      }
    ]
  },
  "then": {
    "effect": "modify",
    "details": {
      "roleDefinitionIds": [
        "/providers/Microsoft.Authorization/roleDefinitions/b24988ac-6180-42a0-ab88-20f7382dd24c"
      ],
      "operations": [
        {
          "operation": "addOrReplace",
          "field": "tags",
          "value": "[union(field('tags'), resourceGroup().tags)]"
        }
      ]
    }
  }
}
POLICY_RULE
}

# 把策略分配到目标资源组（要分配到订阅的话，把scope改成订阅ID即可）
resource "azurerm_policy_assignment" "assign_inherit_tags" {
  name                 = var.policy_assignment_name
  scope                = data.azurerm_resource_group.target.id
  policy_definition_id = azurerm_policy_definition.inherit_rg_tags.id
  description          = "在指定资源组内强制资源继承资源组标签"

  # 传递参数：指定要继承的标签列表（如果策略定义里加了参数的话）
  parameter_values = jsonencode({
    "tagsToInherit" = var.tags_to_inherit
  })
}

# 读取已存在的目标资源组
data "azurerm_resource_group" "target" {
  name = var.resource_group_name
}

resource_group_name.tfvars #

resource_group_name = "your-rg-name"
tags_to_inherit     = ["Environment", "Department", "Project"] # 示例：只继承这三个标签

关键配置细节 #

• 策略效果选modify：这是实现自动分配标签的核心，addOrReplace会合并资源现有标签和资源组标签，已有的标签不会被覆盖——要是想直接覆盖资源标签，把union(field('tags'), resourceGroup().tags)改成resourceGroup().tags就行。
• 角色ID不能瞎填：必须指定有权限修改资源标签的角色ID，上面用的是内置的「参与者」角色ID，如果你有自定义的标签管理角色，直接替换成对应的ID。
• parameter_values的正确用法：
  1. 先给策略定义加参数：在policy_rule最外层加上参数块，这样就能指定只继承特定标签：

     "parameters": {
       "tagsToInherit": {
         "type": "Array",
         "metadata": {
           "displayName": "要继承的标签键",
           "description": "指定从资源组继承的标签键，留空则继承所有"
         }
       }
     },
     

     然后把operations里的value改成：

     "value": "[union(field('tags'), pick(resourceGroup().tags, parameters('tagsToInherit')))]"
     

  2. 分配策略时，用jsonencode把变量转成JSON格式，不然Terraform会报参数格式错误。

常见报错解决 #

1. InvalidPolicyParameterValue
   • 问题：parameter_values格式不对，要么没加jsonencode，要么参数名和策略定义里的不匹配。
   • 解决：检查参数名和策略定义的parameters键完全一致，并且用jsonencode包裹参数值。
2. 权限不足报错
   • 问题：策略里指定的角色没有修改资源标签的权限。
   • 解决：确认角色ID正确，或者用权限更精准的自定义角色（比如只允许修改标签的角色）。
3. 现有资源标签没更新
   • 问题：策略默认只对新创建的资源生效，旧资源需要手动触发修正。
   • 解决：在Azure门户里找到这个策略分配，执行「创建修正任务」，或者用Azure CLI跑这条命令：

     az policy remediation create --name inherit-tags-remediation --policy-assignment "/subscriptions/{你的订阅ID}/resourceGroups/{资源组名称}/providers/Microsoft.Authorization/policyAssignments/{策略分配名称}"
     

内容的提问来源于stack exchange，提问作者Leanne Kami