如何通过Azure Policy限制SQL防火墙规则的IP地址？

我来帮你排查这个Azure Policy的问题，看起来你的策略有几个关键问题导致了不符合预期的行为，下面逐一分析并给出修正方案：

问题分析 #

1. 字段名大小写不匹配
   Azure Policy的字段名称严格区分大小写。你的策略中type字段使用了Microsoft.SQL/servers/firewallRules（大写SQL），但后续引用startIpAddress和endIpAddress时用了Microsoft.Sql/servers/firewallRules/...（小写Sql），这会导致Policy无法正确匹配字段值，条件判断逻辑完全失效。

2. 参数类型错误
   你使用分号分隔的字符串（比如"0.0.0.0;8.8.8.8"）作为参数值，但in操作符要求参数是数组类型而非字符串。当传入字符串时，in会将整个字符串当作单个元素匹配，只有当IP地址和这个字符串完全一致时才会通过，这显然不符合你允许多个独立IP的需求。

3. 逻辑判断倒置
   你当前的策略逻辑是Not(anyOf(startIp在列表中, endIp在列表中))，也就是仅当startIp和endIp都不在允许列表时才拒绝。但你的实际需求应该是：只要startIp或endIp不在允许列表中，就拒绝该防火墙规则的创建/更新。

修正后的Azure Policy #

下面是调整后的完整策略，解决了上述所有问题：

{
  "mode": "Indexed",
  "policyRule": {
    "if": {
      "allOf": [
        {
          "field": "type",
          "equals": "Microsoft.SQL/servers/firewallRules"
        },
        {
          "anyOf": [
            {
              "field": "Microsoft.SQL/servers/firewallRules/startIpAddress",
              "notIn": "[parameters('allowedIpAddresses')]"
            },
            {
              "field": "Microsoft.SQL/servers/firewallRules/endIpAddress",
              "notIn": "[parameters('allowedIpAddresses')]"
            }
          ]
        }
      ]
    },
    "then": {
      "effect": "Deny"
    }
  },
  "parameters": {
    "allowedIpAddresses": {
      "type": "array",
      "metadata": {
        "displayName": "Allowed IP Addresses",
        "description": "List of IP addresses that are permitted in SQL firewall rules (include 0.0.0.0 to allow Azure service access)"
      }
    }
  }
}

配置与验证步骤 #

1. 参数配置：在分配Policy时，将allowedIpAddresses参数设置为数组格式，比如：

   ["0.0.0.0", "8.8.8.8"]
   

   这样就能允许0.0.0.0（对应Azure服务访问规则）和8.8.8.8的防火墙规则。

2. 验证规则：

   • 尝试创建/更新包含8.8.8.8的防火墙规则（start和end都设为8.8.8.8），此时应该能成功通过Policy校验。
   • 尝试创建包含未授权IP（比如1.1.1.1）的规则，此时Policy会触发Deny，符合预期。

补充说明 #

如果你的需求是允许特定的IP范围（而非单个IP），可以将策略中的notIn替换为notIpRangeContains或其他IP范围相关的操作符，同时调整参数格式为IP范围字符串（比如"192.168.1.0/24"）。

内容的提问来源于stack exchange，提问作者thediddlebandit