Azure应用网关WAF托管规则排除项删除CLI命令未按预期生效

使用az network application-gateway waf-policy managed-rule exclusion rule-set remove命令返回执行成功，但托管规则排除项未实际移除的问题，可从以下方向排查解决：

1. 确保命令参数与目标排除项完全匹配 #

该命令要求精准匹配要删除的排除项所有属性，如果参数与现有排除项信息不一致，命令会返回成功但不会执行任何删除操作。

操作步骤： #

• 先列出当前WAF策略的所有托管规则排除项，获取精准参数：

  az network application-gateway waf-policy managed-rule exclusion list \
    --resource-group <你的资源组名称> \
    --policy-name <你的WAF策略名称>
  

• 根据输出的排除项信息，严格对应rule-set-type、rule-set-version、match-variable、operator和selector参数，重新执行删除命令：

  az network application-gateway waf-policy managed-rule exclusion rule-set remove \
    --resource-group <资源组名称> \
    --policy-name <WAF策略名称> \
    --rule-set-type <规则集类型，如OWASP_3.2> \
    --rule-set-version <规则集版本，如3.2> \
    --match-variable <匹配变量，如RequestHeaderNames> \
    --operator <运算符，如Equals> \
    --selector <匹配值，如"X-Custom-Header">
  

2. 验证WAF策略与应用网关的关联及同步状态 #

如果WAF策略未关联到目标应用网关，或者关联后未触发后台同步，删除操作的变更可能不会同步到应用网关的运行配置中：

• 检查WAF策略是否已关联到应用网关：在Azure门户的应用网关「Web应用程序防火墙」设置中确认关联的策略。
• 若已关联，可尝试对WAF策略做微小变更（比如临时添加一个排除项再删除），触发Azure后台的配置同步。

3. 更新Azure CLI到最新版本 #

旧版本Azure CLI可能存在该命令的已知bug，导致删除操作未正确生效。执行以下命令更新CLI：

az upgrade

验证删除结果 #

除了用CLI命令查询，建议直接在Azure门户的WAF策略「托管规则」->「排除项」中查看，避免CLI缓存导致的误判。

内容的提问来源于stack exchange，提问作者Rajakumar Babu