了解 Azure 策略中的作用域

有許多設(shè)置可確定哪些資源可以被評(píng)估，哪些資源由Azure策略評(píng)估。這些控件的主要概念是范圍。有關(guān)高級(jí)概述，請(qǐng)參閱Azure資源管理器中的作用域。本文介紹了在Azure策略中的作用域及其相關(guān)對(duì)象和屬性的影響。

定義位置

Azure策略使用的第一個(gè)實(shí)例范圍是在創(chuàng)建策略定義時(shí)。定義可以保存在管理組或訂閱中。位置確定可向其分配方案或策略的范圍。資源必須在定義位置的資源層次結(jié)構(gòu)內(nèi)，才能分配到目標(biāo)。

如果定義位置是：

只能為訂閱中的資源分配策略定義。

僅限管理組-可以為子管理組和子訂閱中的資源分配策略定義。如果計(jì)劃將策略定義應(yīng)用于多個(gè)訂閱，則該位置必須是包含每個(gè)訂閱的管理組。

此位置應(yīng)為你要在其上使用策略定義的所有資源所共享的資源容器。此資源容器通常是根管理組附近的管理組。

分配范圍

賦值具有幾個(gè)設(shè)置作用域的屬性。使用這些屬性可確定要評(píng)估的Azure策略的資源以及哪些資源會(huì)達(dá)到符合性。這些屬性映射到以下概念：

·包含-應(yīng)通過(guò)定義評(píng)估資源層次結(jié)構(gòu)或單個(gè)資源的符合性。properties.scope賦值對(duì)象上的屬性確定要包含的內(nèi)容并評(píng)估其符合性。有關(guān)詳細(xì)信息，請(qǐng)參閱分配定義。

·排除-不應(yīng)根據(jù)定義評(píng)估資源層次結(jié)構(gòu)或單個(gè)資源的符合性。properties.notScopes賦值對(duì)象的_數(shù)組_屬性確定要排除的內(nèi)容。不會(huì)在符合性計(jì)數(shù)中評(píng)估或包含這些范圍內(nèi)的資源。有關(guān)詳細(xì)信息，請(qǐng)參閱分配定義-排除的作用域。

除了策略分配上的屬性，還是策略例外對(duì)象。免除通過(guò)提供一種方法來(lái)識(shí)別不計(jì)算的賦值部分，從而增強(qiáng)范圍。

·豁免(預(yù)覽版功能)-資源層次結(jié)構(gòu)或單個(gè)資源應(yīng)該按定義評(píng)估符合性，但不會(huì)因某個(gè)原因（例如，通過(guò)另一種方法進(jìn)行棄權(quán)或通過(guò)其他方法緩解）進(jìn)行評(píng)估。處于此狀態(tài)的資源顯示為在相容性報(bào)告中免除，以便可以對(duì)其進(jìn)行跟蹤?；砻鈱?duì)象在資源層次結(jié)構(gòu)或單個(gè)資源上創(chuàng)建為子對(duì)象，該對(duì)象確定免除的范圍。資源層次結(jié)構(gòu)或單個(gè)資源可以免除多個(gè)分配?？梢酝ㄟ^(guò)使用屬性將豁免配置為按計(jì)劃過(guò)期expiresOn。有關(guān)詳細(xì)信息，請(qǐng)參閱例外定義。

備注

由于免除為資源層次結(jié)構(gòu)或單個(gè)資源授予豁免的影響，例外情況還具有其他安全措施。除了要求對(duì)Microsoft.Authorization/policyExemptions/write資源層次結(jié)構(gòu)或單個(gè)資源進(jìn)行操作外，例外的創(chuàng)建者還必須在exempt/Action目標(biāo)分配上具有謂詞。

范圍比較

下表比較了作用域選項(xiàng)：