Azure 禁止創建存儲帳戶的策略

Question

我是 Azure 管理員，似乎有些用戶可以在未經我同意的情況下創建 Azure 存儲帳戶。 我想看看如何執行一項策略，使我是唯一可以創建它們的用戶，而其他用戶將無法這樣做。 我知道有多種方法可以做到這一點，但是我對 Azure 中的自定義策略最感興趣。 我在網上真的找不到任何例子。 請注意，我將使用此策略，以便它可以覆蓋任何現有的 RBAC 角色等。不能使用下面的 JSON 代碼進一步使用 go。

{
    "policyRule": {
        "if": {
            "allOf": [{
                    "field": "type",
                    "equals": "Microsoft.Storage/storageAccounts"
                },
                {
                    "field": "Microsoft.Storage/storageAccounts",
                    "like": "*"
                }
            ]
        },
        "then": {
            "effect": "deny"
        }
    }

Answer 1

你幾乎做到了，但犯了一個小錯誤。 這是工作示例

創建策略

{
  "mode": "All",
  "policyRule": {
    "if": {
      "field": "type",
      "equals": "Microsoft.Storage/storageAccounts"
    },
    "then": {
      "effect": "deny"
    }
  },
  "parameters": {}
}

然后在分配期間設置不合規消息

所以現在任何想要創建的人都會看到這個

Answer 2

有一個內置的強類型 Azure 策略定義。 使用它將允許您通過更改分配參數輕松地阻止未來的下一個服務。

（/providers/Microsoft.Authorization/policyDefinitions/6c112d4e-5bc7-47ae-a041-ea2d9dccd749）。