了解 Azure 策略中的作用域

有許多設(shè)置可確定哪些資源可以被評估，哪些資源由Azure策略評估。這些控件的主要概念是范圍。有關(guān)高級概述，請參閱Azure資源管理器中的作用域。本文介紹了在Azure策略中的作用域及其相關(guān)對象和屬性的影響。

定義位置

Azure策略使用的第一個實例范圍是在創(chuàng)建策略定義時。定義可以保存在管理組或訂閱中。位置確定可向其分配方案或策略的范圍。資源必須在定義位置的資源層次結(jié)構(gòu)內(nèi)，才能分配到目標(biāo)。

如果定義位置是：

只能為訂閱中的資源分配策略定義。

僅限管理組-可以為子管理組和子訂閱中的資源分配策略定義。如果計劃將策略定義應(yīng)用于多個訂閱，則該位置必須是包含每個訂閱的管理組。

此位置應(yīng)為你要在其上使用策略定義的所有資源所共享的資源容器。此資源容器通常是根管理組附近的管理組。

分配范圍

賦值具有幾個設(shè)置作用域的屬性。使用這些屬性可確定要評估的Azure策略的資源以及哪些資源會達到符合性。這些屬性映射到以下概念：

·包含-應(yīng)通過定義評估資源層次結(jié)構(gòu)或單個資源的符合性。properties.scope賦值對象上的屬性確定要包含的內(nèi)容并評估其符合性。有關(guān)詳細信息，請參閱分配定義。

·排除-不應(yīng)根據(jù)定義評估資源層次結(jié)構(gòu)或單個資源的符合性。properties.notScopes賦值對象的_數(shù)組_屬性確定要排除的內(nèi)容。不會在符合性計數(shù)中評估或包含這些范圍內(nèi)的資源。有關(guān)詳細信息，請參閱分配定義-排除的作用域。

除了策略分配上的屬性，還是策略例外對象。免除通過提供一種方法來識別不計算的賦值部分，從而增強范圍。

·豁免(預(yù)覽版功能)-資源層次結(jié)構(gòu)或單個資源應(yīng)該按定義評估符合性，但不會因某個原因（例如，通過另一種方法進行棄權(quán)或通過其他方法緩解）進行評估。處于此狀態(tài)的資源顯示為在相容性報告中免除，以便可以對其進行跟蹤。豁免對象在資源層次結(jié)構(gòu)或單個資源上創(chuàng)建為子對象，該對象確定免除的范圍。資源層次結(jié)構(gòu)或單個資源可以免除多個分配。可以通過使用屬性將豁免配置為按計劃過期expiresOn。有關(guān)詳細信息，請參閱例外定義。

備注

由于免除為資源層次結(jié)構(gòu)或單個資源授予豁免的影響，例外情況還具有其他安全措施。除了要求對Microsoft.Authorization/policyExemptions/write資源層次結(jié)構(gòu)或單個資源進行操作外，例外的創(chuàng)建者還必須在exempt/Action目標(biāo)分配上具有謂詞。

范圍比較

下表比較了作用域選項：