Azure 策略附加 ipSecurityRestriction答案

【问题标题】：Azure policy append ipSecurityRestrictionAzure 策略附加 ipSecurityRestriction
【发布时间】：2020-06-19 08:01:32
【问题描述】：

我正在尝试将限制附加到应用服务网络 IP 访问限制：

这是我的政策效果：

"then": {
  "effect": "append",
  "details": [
    {
      "field": "Microsoft.Web/sites/siteConfig.ipSecurityRestrictions[*]",
      "value": 
        {
          "IpAddress": "0.0.0.0/0",
          "action": "Deny",
          "tag": "Default",
          "priority": 9999,
          "name": "Test Rule"
        }
    }
  ]
}

但不是附加到现有的限制数组，而是用这个单一规则覆盖它。这是为什么呢？

【问题讨论】：

能否添加完整的模板/策略，让我试一试！
pastebin.com/PCgWDJUx 这是我现在的策略，但只要触发了“if”，它就无关紧要 - 不会发生附加效果，而是有替换效果。
什么时候发生覆盖？是在您第一次创建网站时，还是在您更新网站上的其他属性时？我的猜测是，Azure 门户在更新其他属性时不包含现有的 ipSecurityRestrictions 数组（您可以在开发工具中检查这一点），因此 Policy 正在附加并因此覆盖现有规则。
是的，覆盖仅在从门户修改其他属性时发生 - 当我通过 azure cli 修改它们时，它可以正常工作。开发工具是指resources.azure.com？如果这是它的工作方式，这是一个错误，还是我应该在政策中修复一些东西？

标签： azure azure-policy

【解决方案1】：

据我所知，Azure RM API 实际上确实将数组中的对象视为不同的值。因此，当它看到 ipSecurityRestrictions 数组来而不是进行增量更新时，它只是替换它们。这也不仅仅影响 App Services，发现 KV 访问策略也受到相同条件的影响...

我知道这是一个老问题，但希望能提供一些解决方案。

编辑：在 GitHub 上找到 Azure Policy Issue 682，它对正在利用的 api 操作起作用。

【讨论】：