Azure SQL PaaS 和 Azure Policy 交互

Question

有谁知道如何通过策略限制添加到 SQL 防火墙规则的 IP 地址？

我已经尝试了一段时间了，我的政策如下所示...我已经尝试了一切 - 有什么我忽略的吗？ :

    {
  "if": {
    "allOf": [
      {
        "field": "type",
        "equals": "Microsoft.SQL/servers/firewallRules"
      },
      {
        "Not": {
          "anyOf": [
            {
              "field": "Microsoft.Sql/servers/firewallRules/startIpAddress",
              "in": "[parameters('StartIP')]"
            },
            {
              "field": "Microsoft.Sql/servers/firewallRules/endIpAddress",
              "in": "[parameters('EndIP')]"
            }
          ]
        }
      }
    ]
  },
  "then": {
    "effect": "Deny"
  }
}

但当我更新防火墙规则时，无论策略分配中提供了什么，它总是会抛出策略错误。

例如，如果我的参数都是“0.0.0.0;8.8.8.8”，我会认为我可以访问已启用的 Azure 服务和 8.8.8.8，但事实并非如此 - 我只是得到了同样的旧拒绝政策错误。

如果我只使用 0.0.0.0 作为分配的参数，我可以配置新的 SQL 服务器，但删除它后我不能，这让我相信在某种程度上，该策略正在发挥作用。

我知道我可以完成整个 vnet 路由并使用 NSGS 来完成几乎相同的事情；但是，我的组织不想走这条路，而是希望在政策中完成。

Answer 1

我没有足够的声誉来评论您的问题。但是，请确保在门户中输入分配参数时要小心。它按原样获取字符串，因此如果您输入“0.0.0.0;8.8.8.8 ”作为您指定的前导和尾随空格，则会弄乱比较。

您可以使用 Get-AzureRmPolicyAssignment 检查分配中的确切参数值。 powershell cmdlet(或类似的 Azure CLI 命令)。为了更轻松地使用 cmdlet，分配的完整 ID 将在门户中的分配合规性 View 中公开。