Azure Policy限制资源组environment标签仅允许dev/test/prod值不生效如何解决

核心问题定位 #

你遇到的策略不生效问题主要由两个常见配置错误导致：

• 策略模式配置错误：当前使用的Indexed模式仅针对常规带location或tag属性的资源做评估，资源组属于订阅级资源，必须使用All模式才能被正确识别校验
• 规则逻辑存在遗漏：现有规则仅覆盖了environment标签已存在但值不符合要求的场景，若创建资源组时未携带该标签，规则不会触发拦截

修正后的策略代码 #

{
    "properties": {
        "displayName": "Allowed tag values for Resource Groups",
        "description": "This policy enables you to restrict the tag values for Resource Groups.",
        "policyType": "Custom",
        "mode": "All",
        "metadata": {
            "version": "1.0.0",
            "category": "Tags"
        },
        "parameters": {
            "allowedTagValues": {
                "type": "array",
                "metadata": {
                    "description": "The list of tag values that can be specified when deploying resource groups",
                    "displayName": "Allowed tag values"
                },
                "defaultValue": [
                    "dev","test","prod"
                ]
            }
        },
        "policyRule": {
            "if": {
                "allOf": [
                    {
                        "field": "type",
                        "equals": "Microsoft.Resources/subscriptions/resourceGroups"
                    },
                    {
                        "anyOf": [
                            {
                                "field": "tags[environment]",
                                "exists": false
                            },
                            {
                                "field": "tags[environment]",
                                "notIn": "[parameters('allowedTagValues')]"
                            }
                        ]
                    }
                ]
            },
            "then": {
                "effect": "deny"
            }
        }
    },
    "id": "/providers/Microsoft.Authorization/policyDefinitions/xxxxxxx-xxxxxxx-xxxxxxxxxx-xxxxxxx",
    "name": "xxxxxxx-xxxxxxx-xxxxxxxxxx-xxxxxxx"
}

如果你仅需要校验「标签存在时取值符合规范，允许不打标签」，可以移除anyOf中tags[environment]不存在的判断条件，仅保留notIn的校验规则即可。

后续验证步骤 #

• 保存修改后的策略定义，确认策略分配范围覆盖了你需要管控的订阅/管理组，没有配置排除范围或豁免规则
• Azure Policy默认有最长15分钟的缓存周期，你可以通过门户的策略合规性页面点击「扫描」触发立即评估
• 测试创建不带environment标签、或标签值为staging等非允许值的资源组，确认策略会触发拒绝拦截

内容的提问来源于stack exchange，提问作者MoonHorse