Azure 禁止创建存储帐户的策略

Question

我是 Azure 管理员，似乎有些用户可以在未经我同意的情况下创建 Azure 存储帐户。 我想看看如何执行一项策略，使我是唯一可以创建它们的用户，而其他用户将无法这样做。 我知道有多种方法可以做到这一点，但是我对 Azure 中的自定义策略最感兴趣。 我在网上真的找不到任何例子。 请注意，我将使用此策略，以便它可以覆盖任何现有的 RBAC 角色等。不能使用下面的 JSON 代码进一步使用 go。

{
    "policyRule": {
        "if": {
            "allOf": [{
                    "field": "type",
                    "equals": "Microsoft.Storage/storageAccounts"
                },
                {
                    "field": "Microsoft.Storage/storageAccounts",
                    "like": "*"
                }
            ]
        },
        "then": {
            "effect": "deny"
        }
    }

Answer 1

你几乎做到了，但犯了一个小错误。 这是工作示例

创建策略

{
  "mode": "All",
  "policyRule": {
    "if": {
      "field": "type",
      "equals": "Microsoft.Storage/storageAccounts"
    },
    "then": {
      "effect": "deny"
    }
  },
  "parameters": {}
}

然后在分配期间设置不合规消息

所以现在任何想要创建的人都会看到这个

Answer 2

有一个内置的强类型 Azure 策略定义。 使用它将允许您通过更改分配参数轻松地阻止未来的下一个服务。

（/providers/Microsoft.Authorization/policyDefinitions/6c112d4e-5bc7-47ae-a041-ea2d9dccd749）。