如何将Azure Backup自动创建的资源组排除在策略分配范围外？

当然可以将这类自动创建的资源组排除在策略范围外，下面是几种可行的解决办法：

方法一：策略分配时直接排除目标资源组 #

• Azure Backup自动生成的资源组命名一般是AzureBackupRG-<区域>-<数字>格式（比如AzureBackupRG-westus-02），你可以在策略分配的范围排除项里添加这些资源组。
• 操作：打开Azure Policy的目标策略分配页面，找到「范围」区域的「排除」选项，点击添加，选中对应的Backup资源组即可。如果要批量匹配，还能用通配符AzureBackupRG-*来覆盖所有同命名模式的资源组。

方法二：修改策略规则，自动豁免Backup资源组 #

• 要是不想手动逐个排除，直接修改拒绝策略的规则，加个判断条件跳过符合Backup命名规则的资源组就行。
• 示例策略规则片段：

"policyRule": {
  "if": {
    "allOf": [
      {
        "field": "type",
        "equals": "Microsoft.Resources/resourceGroups"
      },
      {
        "not": {
          "field": "name",
          "like": "AzureBackupRG-*"
        }
      },
      {
        "not": {
          "field": "tags['必填标签键名']",
          "exists": true
        }
      }
    ]
  },
  "then": {
    "effect": "deny"
  }
}

• 这段逻辑会只拒绝非Backup资源组且缺少必填标签的创建请求，自动放过Azure Backup生成的资源组。

方法三：给Backup资源组设置策略豁免 #

• 针对已存在或未来自动创建的Backup资源组，可单独为它们设置策略豁免，避免被拒绝策略限制。
• 操作：进入目标Backup资源组的「Policy」页面，选择「豁免」，添加对应的拒绝策略，按需设置豁免有效期，再备注原因即可。

内容的提问来源于stack exchange，提问作者Siddhi Morajkar