如何通过CLI/PowerShell自动更新Azure Policy的allowedValues列表？

一、Azure CLI（az policy definition update）的正确用法 #

更新策略的allowedValues时，必须传入完整的参数定义JSON结构，不能只单独传allowedValues字段——因为CLI的update操作会覆盖原有参数配置，遗漏的字段会被清空。

假设你的策略参数名为allowedResourceGroupIds，要更新允许的ID列表为["rg-prod-01", "rg-test-02", "rg-dev-03"]，命令示例如下：

az policy definition update --name "你的策略名称" --params '{
  "allowedResourceGroupIds": {
    "type": "Array",
    "metadata": {
      "displayName": "Allowed Resource Group IDs",
      "description": "List of permitted resource group IDs"
    },
    "allowedValues": ["rg-prod-01", "rg-test-02", "rg-dev-03"]
  }
}'

如果策略包含多个参数，需要把所有参数的完整定义都写入--params的JSON中，仅修改目标参数的allowedValues即可。

二、PowerShell（Set-AzPolicyDefinition）的正确用法 #

PowerShell同样需要传入完整的参数结构，可以先将参数配置转为JSON字符串再传入：

# 构造包含更新后allowedValues的参数结构
$policyParams = @{
  allowedResourceGroupIds = @{
    type = "Array"
    metadata = @{
      displayName = "Allowed Resource Group IDs"
      description = "List of permitted resource group IDs"
    }
    allowedValues = @("rg-prod-01", "rg-test-02", "rg-dev-03")
  }
} | ConvertTo-Json -Depth 10

# 执行更新
Set-AzPolicyDefinition -Name "你的策略名称" -Parameter $policyParams

如果策略是管理组级别的，记得加上-Scope "/providers/Microsoft.Management/managementGroups/你的管理组ID"参数。

三、脚本实现 vs API调用的选择 #

• 优先用脚本方案：CLI和PowerShell的脚本已经足够稳定，无需手动处理身份验证、请求头等细节，只需要把更新逻辑封装成脚本，用Azure Automation、GitHub Actions或Windows任务计划每周触发即可，完全满足你的自动更新需求。
• API调用仅适合复杂场景：如果你的工作流需要和其他系统深度集成，才考虑直接调用Azure REST API的PUT /subscriptions/{subscriptionId}/providers/Microsoft.Authorization/policyDefinitions/{policyDefinitionName}接口，请求体中传入完整的策略定义JSON。但日常自动更新场景，脚本方案更高效。

额外提示 #

更新前建议先执行az policy definition show --name "你的策略名称"或Get-AzPolicyDefinition -Name "你的策略名称"，导出当前的参数结构，在此基础上修改allowedValues，避免误删原有配置。

内容的提问来源于stack exchange，提问作者lubierzca