Azure 自定义策略：资源不能有未知标记 - 如何？

Question

对于这个例子，一个资源有两个允许的标签名称。

• 环境
• 客户

我想创建一个策略，如果给定的标签不是上述任何一种，则将资源评估为不合规。 （请注意，我想避免使用参数，希望允许的标签名称在定义中被“烧录”。）

我尝试了以下代码，但是当资源具有上述以外的标签时，它会将资源标记为合规。

  "mode": "Indexed",
  "policyRule": {
    "if": {
      "allOf": [
        {
          "field": "tags",
          "exists": "true"
        },
        {
          "field": "tags",
          "notContainsKey": "Environment"
        },
        {
          "field": "tags",
          "notContainsKey": "Client"
        }
      ]
    },
    "then": {
      "effect": "deny"
    }
  },
  "parameters": {}
}

谁能看出我哪里出错了？

Answer 1

如果我理解正确，可以使用以下方式创建资源：

• 没有标签
• 仅限“客户”标签
• 仅限“环境”标签
• 仅限“客户端”和“环境”标签

必须阻止所有其他情况。

{
  "mode": "All",
  "policyRule": {
    "if": {
      "not": {
        "value": "[if(equals(length(field('tags')),0),'noTags',if(and(equals(length(field('tags')),1),or(contains(field('tags'),'Environment'),contains(field('tags'),'Client'))),'environmentOrClientTagOnlyExists',                                if(and(equals(length(field('tags')),2),and(contains(field('tags'),'Environment'),contains(field('tags'),'Client'))),'environmentAndClientTagsExist','atLeastOneNotAllowedTagExists' )  )  )]",
        "in": [
          "noTags",
          "environmentOrClientTagOnlyExists",
          "environmentAndClientTagsExist"
        ]
      }
    },
    "then": {
      "effect": "deny"
    }
  },
  "parameters": {}
}