Azure Policy豁免未按预期生效的问题咨询

以下是导致豁免未按预期生效的几个常见原因：

• 豁免作用范围与策略分配不匹配
  检查豁免是否精准关联到目标资源和对应的策略分配：

  • 确认豁免的作用范围包含该存储账户，且绑定的是你分配给资源组的「应禁止存储账户公共访问」策略分配，避免选错了其他策略分配。
  • 查看豁免的目标资源ID是否与该存储账户的资源ID完全一致。

• 豁免未处于生效状态

  • 检查豁免的生效时间范围，若当前时间不在设置的生效区间内，豁免不会生效。
  • 确认豁免的状态为「已启用」，禁用状态的豁免无法发挥作用。

• 合规评估未刷新
  Azure Policy的合规扫描默认24小时执行一次，豁免创建后不会立即更新状态。可以手动触发评估：

  • 门户操作：进入对应策略分配页面，点击「触发评估」
  • CLI命令：az policy assignment evaluate --name <策略分配名称> --resource-group <资源组名称>

• 豁免类型配置错误
  确保豁免的exemptionCategory属性设置为Waiver或Mitigated，这两类才会在合规报告中标记为「已豁免」。如果配置错误，资源仍会显示为不合规。

• 权限不足导致豁免未正确应用
  创建豁免的账号需要拥有Microsoft.Authorization/policyExemptions/write权限（如「策略豁免参与者」角色），若权限不足，豁免可能创建成功但未实际应用到资源上。

文档说明：“处于此状态的资源在合规报告中显示为‘已豁免’，以便对其进行跟踪。”

内容的提问来源于stack exchange，提问作者user211245