Azure 策略 - 设置 key / secret 的过期时间

Question

我正在尝试编写一个 Azure 策略来检查 Azure key 是否有到期日期，如果没有，那么我想执行 DeployIfNotExists 效果来设置到期日期。但是我收到“ResourceNotFound”错误。

注意:没有“then”语句的“if”语句工作正常，当我运行此策略时，它会显示哪些 key 没有到期日期。当我添加deployifnotexist效果时遇到问题。

{
  "mode": "All",
  "policyRule": {
    "if": {
      "allOf": [
        {
          "field": "type",
          "equals": "Microsoft.KeyVault/vaults/keys"
        },
        {
          "field": "Microsoft.KeyVault/vaults/keys/attributes.exp",
          "exists": false
        }
      ]
    },
    "then": {
      "effect": "deployIfNotExists",
      "details": {
        "type": "Microsoft.KeyVault/vaults/keys",
        "roleDefinitionIds": [
          "/providers/Microsoft.Authorization/roleDefinitions/8e3af657-a8ff-443c-a75c-2fe8c4bcb635"
        ],
        "deployment": {
          "properties": {
            "mode": "incremental",
            "template": {
              "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
              "contentVersion": "1.0.0.0",
              "resources": [
                {
                  "type": "Microsoft.KeyVault/vaults/keys",
                  "apiVersion": "2021-06-01-preview",
                  "properties": {
                    "exp": "10000"
                  }
                }
              ]
            }
          }
        }
      }
    }
  },
  "parameters": {}
}

Answer 1

在这里，您正在处理 Key Vault 的数据层，了解其中的内容( key 、 secret 、证书)。

在这种情况下，当它与基础设施本身(Key Vault 本身的配置)无关时，您必须为自定义策略使用 Microsoft.KeyVault.Data 模式，而不是全部。

也就是说，尚不支持 DeployIfNotExist 策略 - 请参阅 official documentation about Azure Policy for Key Vault 。您只能审核或拒绝。