如何通过策略将公共 IP 限制为所有 Azure 开发测试实验室

Question

我们目前有一个内置策略来禁止在管理组级别范围内的公共 ip，这在我们的环境中创建常规 VM 时有效。此策略不会阻止在开发测试实验室中创建具有公共 IP 的 VM，即使它们是在具有阻止 IP 的策略的管理组中创建的。有人遇到过这种情况吗？

Answer 1

在Microsoft.Network/networkInterfaces 级别有内置策略可以阻止 NIC 具有公共 IP，但开发测试实验室中的 VM 具有与常规 VM 不同类型的资源。

例如，您可以通过以下策略限制 Azure 开发测试实验室中 VM 上的公共 IP：

    "policyRule": {
      "if": {
        "allOf": [
          {
            "field": "type",
            "equals": "Microsoft.DevTestLab/labs/virtualmachines"
          },
          {
            "not": {
              "field": "Microsoft.DevTestLab/labs/virtualmachines/disallowPublicIpAddress",
              "equals": true
            }
          }
        ]
      },
      "then": {
        "effect": "deny"
      }
    }
  },