Azure Policy限制仅向组分配角色：已部署策略但未检测到角色分配求助

你的策略逻辑本身没问题，但没产生检测结果通常是以下几个原因，按优先级排查：

1. 策略模式（Mode）设置错误 #

你提供的只有policyRule部分，完整的策略定义必须指定mode为All——因为Microsoft.Authorization/roleAssignments属于子资源，默认的Indexed模式不会评估这类资源。

修正后的完整自定义策略：

{
  "properties": {
    "displayName": "禁止直接向用户分配资源权限（审计模式）",
    "policyType": "Custom",
    "mode": "All",
    "description": "审计直接分配给单个用户的角色权限，要求权限分配至安全组",
    "policyRule": {
      "if": {
        "allOf": [
          {
            "field": "type",
            "equals": "Microsoft.Authorization/roleAssignments"
          },
          {
            "field": "Microsoft.Authorization/roleAssignments/principalType",
            "equals": "User"
          }
        ]
      },
      "then": {
        "effect": "audit"
      }
    }
  }
}

2. 策略分配范围未覆盖目标角色分配 #

检查策略的分配范围：

• 如果角色分配在资源组或具体资源层级，而你只把策略分配到订阅但排除了这些资源组，就不会检测到。
• 确认策略分配时没有添加不必要的排除项。

3. 订阅内的角色分配并非User类型 #

登录Azure门户，进入订阅的访问控制(IAM) -> 角色分配，逐一检查每个分配的「主体类型」：

• 如果5个角色分配都是安全组、服务主体或其他类型，自然不会触发审计。
• 只有主体类型为「用户」的分配才会被你的策略检测到。

4. 策略评估延迟 #

Azure Policy的首次评估需要30分钟到2小时的时间，刚分配的策略不会立刻生成检测结果。如果是刚分配的策略，等待一段时间后再查看合规性结果。

额外验证技巧 #

如果怀疑字段路径问题，可以用以下条件替换原有的principalType检查，通过principalId反向验证主体类型：

{
  "value": "[reference(resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', parameters('principalId')), '2018-11-30').principalType]",
  "equals": "User"
}

不过这种方法需要额外权限，优先推荐确保mode设置正确。

内容的提问来源于stack exchange，提问作者Alimur Razi Rana