如何創建 Azure 策略？

Question

我已經編寫了一些為我們創建虛擬機的自動化程序（使用 az 命令行）。
但是，由於用戶對各種訂閱具有貢獻者訪問權限，因此他們登錄到門戶並手動創建虛擬機。
我想阻止用戶通過登錄門戶創建虛擬機。
我如何利用 Azure 策略來執行此操作？

Answer 1

我試圖在我這邊重現這個場景，並且能夠限制具有貢獻者角色的用戶通過門戶創建 VM。

我創建了一個如下所示的策略定義：-

"parameters": {},
"policyRule": 
{
"if": {
"anyOf": [
{
"field": "type",
"equals": "Microsoft.Compute/virtualMachines"
},
{
"field": "Microsoft.Authorization/roleAssignments/roleDefinitionId",
"contains": "a8f97275-2685-41ce-a61d-dc550cd090f8"
}
]
},
"then": 
{
"effect": "deny"
}
}

並在訂閱級別分配此策略：-

我有一個具有如下貢獻者角色的用戶：

現在，當具有Contributor角色的用戶嘗試創建虛擬機時，虛擬機創建被如下策略禁止：