Azure Policy 不拒绝自定义角色创建

Question

我目前正在帮助调查在我的组织的公共(public)云中采用 Azure。我分配的任务之一是锁定帐户，以防止用户在订阅中提升其权限。

我特别感兴趣的一件事是拒绝创建自定义角色，因为我们不希望人们在安全部门审查角色需求之前开始创建自己的角色。

我一直在尝试通过具有以下定义的 Azure 策略来执行此操作

{
  "if": {
    "allOf": [
      {
        "field": "type",
        "equals": "Microsoft.Authorization/roleDefinitions"
      },
      {
        "field": "Microsoft.Authorization/roleDefinitions/type",
        "equals": "CustomRole"
      }
    ]
  },
  "then": {
    "effect": "Deny"
  }
}

这实际上只是复制了内置的“审核自定义角色”策略，并将效果从“审核”更改为“拒绝”

但是，我已将此策略应用于包含我正在测试的订阅的管理组，但当我登录 CLI 并尝试创建新的自定义角色时，它会继续创建该角色。

我已确保该策略存在于订阅中，并且我已确认我在 CLI 中处于正确的订阅中(使用 az account show)，但我仍然可以创建自定义角色。

这只是 Azure 不支持的功能吗，还是我还缺少其他功能？任何帮助或指导将不胜感激，因为 Microsoft 文档和网上提供的大量示例似乎没有任何有关使用策略控制角色的信息。

附注我知道您可以通过策略在某种程度上控制角色，因为我们有另一个策略可以防止发生特定角色集的分配，并且确实有效。

Answer 1

看起来 Azure CLI 创建了角色定义，但没有填充“类型”字段。以下策略将处理此问题:

{
  "if": {
    "allOf": [
      {
        "field": "type",
        "equals": "Microsoft.Authorization/roleDefinitions"
      },
      {
        "anyOf": [
          {
            "field": "Microsoft.Authorization/roleDefinitions/type",
            "equals": "CustomRole"
          },
          {
            "field": "Microsoft.Authorization/roleDefinitions/type",
            "exists": "false"
          }
        ]
      }
    ]
  },
  "then": {
    "effect": "Deny"
  }
}