如何在Azure Policy中统计带特定标签的存储账户数量以限制创建

核心限制：Azure Policy 原生的声明式校验逻辑仅针对当前正在操作的单个资源生效，没有内置能力直接统计同订阅下其他同类资源的总数量，因此无法通过纯Policy规则直接实现需求，需要搭配其他Azure服务实现，以下是两种常用落地方案：

方案1：事件驱动实时校验（生产级可用，可实现实时拒绝） #

• 提前部署一个Azure Function，逻辑实现以下能力：接收存储账户创建事件的上下文参数，调用Azure Resource Graph接口查询当前订阅下带有env:dev标签的存储账户总数量，返回是否超过10的阈值
• 配置Event Grid订阅当前订阅下存储账户的创建前置事件，绑定上述Azure Function作为触发处理端
• 编写自定义Azure Policy用于兜底：若Function校验发现数量超过阈值，直接调用ARM接口终止本次存储账户创建请求，同时触发Policy的deny效果拦截请求

方案2：轻量化预校验+不合规扫描（适合低敏感场景） #

• 先通过内部流程做前置校验：用户申请创建带env:dev标签的存储账户时，先通过自动化脚本调用Resource Graph统计当前总量，超过阈值直接驳回申请
• 配置兜底扫描Policy：定时扫描订阅下所有带env:dev标签的存储账户，若总数超过10，将超出部分的存储账户标记为不合规，可配置自动触发删除或告警通知
• 对应扫描类Policy的核心规则示例：

{
  "mode": "All",
  "policyRule": {
    "if": {
      "allOf": [
        {
          "field": "type",
          "equals": "Microsoft.Storage/storageAccounts"
        },
        {
          "field": "tags.env",
          "equals": "dev"
        }
      ]
    },
    "then": {
      "effect": "Audit"
    }
  }
}

注意：该兜底Policy仅做不合规标记，无法在创建时实时拦截，需要搭配后续的自动化处理任务使用。

内容的提问来源于stack exchange，提问作者MoonHorse