Azure 策略 - 如果管理组级别的任何 vnet 源中已存在新的 vnet CIDR，则拒绝创建新的 vnet

Question

我正在尝试创建一个 Azure 策略，如果新 VNet 的 CIDR 与管理组级别的任何现有 VNet 资源匹配，该策略将拒绝创建新 VNet。这是为了确保我们没有任何重叠的 IP 地址，否则可能会导致资源之间的通信出现问题。

我已考虑创建自定义策略，但不确定如何获取正在创建的新 VNet 的 CIDR 并将其与管理组级别的现有 VNet 资源进行比较。任何指导或示例将不胜感激。

"if": {
      "allOf": [
        {
          "field": "type",
          "equals": "Microsoft.Network/virtualNetworks"
        },
        {
          "not": {
            "field": "Microsoft.Network/virtualNetworks/addressSpace.addressPrefixes[*]",
            "notIn": "[subscription().virtualNetworks[*].addressSpace.addressPrefixes[*]]"
          }
        }
      ]
    },
"then": {
      "effect": "deny"
    }

Answer 1

Azure Policy - Deny creation of new vnets if the new vnets CIDR exist already in any vnet rource in management group level.

如果IP 地址前缀匹配，我已使用下面的策略来限制 Venet 的创建。

{
"mode": "All",
"policyRule": {
"if": {
"allOf": [
{
"field": "type",
"equals": "Microsoft.Network/virtualNetworks"
},
{
"anyOf": [
{
"field": "Microsoft.Network/virtualNetworks/addressSpace.addressPrefixes[*]",
"contains": "[parameters('addressPrefix')]"
}
]
}
]
},
"then": {
"effect": "deny"
}
},
"parameters": {
"addressPrefix": {
"type": "String",
"metadata": {
"displayName": "addressPrefix",
"description": "The address prefix to check for"
}
}
}
}

如果我尝试创建具有相同IP 地址前缀的Vnet，策略将拒绝创建Vnet