问题描述在企业的Azure环境治理中为了满足审计与合规的要求通常会使用 Azure Policy 来统一管理各类资源的诊断日志配置。具体做法是在 Policy 定义中通过AuditIfNotExists或DeployIfNotExists效果检查 Azure 资源如公网 IP、网络安全组等是否已经配置了诊断日志Diagnostic Settings。如果没有配置则由修正任务Remediation Task自动触发一个内嵌的 ARM 模板为对应资源添加诊断日志设置。但是在修正任务的实际执行过程中部署却始终失败并出现如下报错Deployment creation for policy definition /providers/microsoft.management/managementgroups/xxxxxxxxxxxx/providers/Microsoft.Authorization/policyDefinitions/xxxxxxx and assignment /providers/microsoft.management/managementgroups/xxxxxxxxx/providers/Microsoft.Authorization/policyAssignments/xxxxxxxxx and deployment /subscriptions/xxxxxxxxxxxxxxxxx/resourceGroups/xxxxx/providers/Microsoft.Resources/deployments/xxxxxxxxxxxxxxxxxxxxxxxxxxxxx was unsuccessful.错误截图从报错信息可以看到修正任务已经成功创建了部署Deployment但该部署在校验或执行阶段失败了。Policy 分配、定义本身都没有问题问题出在修正任务所提交的部署内容上。那么这究竟是什么原因导致的呢又应该如何来解决这个问题呢问题解答在对 Policy 中定义的、用于修改 Azure 资源诊断日志配置的内嵌 ARM 模板进行逐项调查并反复试验后最终定位到问题的根本原因是Policy 定义中内嵌的 ARM 模板语法不符合诊断设置Diagnostic Settings作为“扩展资源Extension Resource”的标准写法导致后台在创建部署时的模板校验validation失败。关键概念诊断设置是扩展资源Microsoft.Insights/diagnosticSettings 并不是一个独立存在的资源而是一种“扩展资源”——它必须依附attach在某个目标资源如公网 IP、NSG、存储账户等之上。因此在 ARM 模板中需要通过 scope 属性来明确指定这个诊断设置要附加到哪个父资源上而不能把父资源的路径塞进 name 里。错误的写法下面这种写法沿用了旧版“子资源”的命名方式把父资源名和诊断设置名用 concat 拼接进 name 字段缺少 scope 属性{ type: Microsoft.Insights/diagnosticSettings, apiVersion: 2021-05-01-preview, name: [concat(parameters(fullResourceName), /Microsoft.Insights/xxxx-xxxx-xxxx)], properties: { ... } }这种写法在部署时无法被正确解析为“扩展资源”从而导致校验异常、部署失败。正确的写法正确的做法是name 只填诊断设置本身的名称并通过 scope 属性显式指定要附加的目标资源{ type: Microsoft.Insights/diagnosticSettings, apiVersion: 2021-05-01-preview, name: xxxx-xxxx-xxxx, scope: [concat(Microsoft.Network/publicIPAddresses/, parameters(fullResourceName))], properties: { ... } }解决方法小结只要在 Policy 定义的 resources 部分做到以下两点问题即可得到解决将诊断日志资源的名称name单独设置为诊断设置自身的名字不要再和父资源路径拼接通过 scope 属性指定正确的目标资源父资源类型 资源名。调整后重新运行修正任务部署即可正常创建并成功执行诊断日志也被顺利添加到目标资源上。参考资料诊断设置 - Azure Monitor在 ARM 模板中设置扩展资源的作用域scope使用 Azure Policy 部署诊断设置DeployIfNotExists教程修正不合规的资源当在复杂的环境中面临问题格物之道需浊而静之徐清安以动之徐生。 云中恰是如此!
