Блог

Да, вы правильно прочитали, ЧТО AuditIfExists НЕТ AuditIfNotExists .

Мой вариант использования заключается в том, что я хочу провести аудит всех моих SQL-серверов Azure на наличие правил брандмауэра с определенным IP-адресом, и я хочу, чтобы все показатели панели мониторинга политики относились к серверам SQL, А НЕ к правилам брандмауэра. (т. Е. 2 сервера SQL, каждый из которых содержит 3 правила брандмауэра, должны идентифицировать 2 ресурса, а не 6 какбудет сообщено прямым Audit из Microsoft.SQL/servers/firewallRules ).

Многие другие мои пользовательские политики проверяют связанные ресурсы и сообщают об этих показателях от имени родительского элемента при использовании AuditIfNotExists или DeployIfNotExists . Однако фундаментальной основой этих проверок является то, что несуществование подтипа создает несоответствующее состояние независимо от результата оценки условия существования. Итак, в моем случае, если SQL Server имеет 0 правил брандмауэра (что для меня было бы совместимым состоянием), тогда политика оценивает его как несоответствующее. Если я попытаюсь снова проверить наличие в моем условии существования, как предложено @mentat9 в этом потоке проблем с политикой (https://github.com/Azure/azure-policy/issues/374 ) после нескольких попыток становится очевидным, что механизм политики даже не оценивает условие существования, если не существует объектов желаемого типа.

Ниже приведено мое правило политики из одной из моих последних попыток.

 "policyRule": {
                "if": {
                    "allOf": [
                        {
                            "field": "type",
                            "equals": "Microsoft.Sql/servers"
                        }
                    ]
                },
                "then": {
                    "effect": "[parameters('effect')]",
                    "details": {
                        "type": "Microsoft.Sql/servers/firewallRules",
                        "roleDefinitionIds": [
                            "/providers/Microsoft.Authorization/roleDefinitions/b24988ac-6180-42a0-ab88-20f7382dd24c"
                        ],
                        "existenceCondition": {
                            "anyOf": [
                                {
                                    "field": "Microsoft.Sql/servers/firewallRules/startIpAddress",
                                    "exists": false
                                },
                                {
                                    "allOf": [
                                        {
                                            "field": "Microsoft.Sql/servers/firewallRules/startIpAddress",
                                            "notequals": "0.0.0.0"
                                        },
                                        {
                                            "field": "Microsoft.Sql/servers/firewallRules/endIpAddress",
                                            "notequals": "0.0.0.0"
                                        }
                                    ]
                                }
                            ]
                        }
                    }
                }
            }
  

Как насчет выражения Count?

 {
    "count": {
        "field": "Microsoft.Sql/servers/firewallRules[*]",
        "where": {
            "field": "Microsoft.Sql/servers/firewallRules[*].startIpAddress",
            "equals": "0.0.0.0"
        }
    },
    "equals": 0
}