【Azure Policy】Policy修正任务为Azure资源添加诊断日志报错问题的调查

问题描述

在企业的Azure环境治理中，为了满足审计与合规的要求，通常会使用 Azure Policy 来统一管理各类资源的诊断日志配置。具体做法是：在 Policy 定义中通过 AuditIfNotExists 或 DeployIfNotExists 效果，检查 Azure 资源（如公网 IP、网络安全组等）是否已经配置了诊断日志（Diagnostic Settings）。如果没有配置，则由修正任务（Remediation Task）自动触发一个内嵌的 ARM 模板，为对应资源添加诊断日志设置。

但是，在修正任务的实际执行过程中，部署却始终失败，并出现如下报错：

复制代码

Deployment creation for policy definition '/providers/microsoft.management/managementgroups/xxxxxxxxxxxx/providers/Microsoft.Authorization/policyDefinitions/xxxxxxx'

and assignment '/providers/microsoft.management/managementgroups/xxxxxxxxx/providers/Microsoft.Authorization/policyAssignments/xxxxxxxxx' 

and deployment '/subscriptions/xxxxxxxxxxxxxxxxx/resourceGroups/xxxxx/providers/Microsoft.Resources/deployments/xxxxxxxxxxxxxxxxxxxxxxxxxxxxx'

was unsuccessful.

错误截图：

从报错信息可以看到，修正任务已经成功创建了部署（Deployment），但该部署在校验或执行阶段失败了。Policy 分配、定义本身都没有问题，问题出在修正任务所提交的部署内容上。

那么，这究竟是什么原因导致的呢？又应该如何来解决这个问题呢？

问题解答

在对 Policy 中定义的、用于修改 Azure 资源诊断日志配置的内嵌 ARM 模板进行逐项调查并反复试验后，最终定位到问题的根本原因是：Policy 定义中内嵌的 ARM 模板语法，不符合诊断设置（Diagnostic Settings）作为"扩展资源（Extension Resource）"的标准写法，导致后台在创建部署时的模板校验（validation）失败。

关键概念：诊断设置是扩展资源

Microsoft.Insights/diagnosticSettings 并不是一个独立存在的资源，而是一种"扩展资源"------它必须依附（attach）在某个目标资源（如公网 IP、NSG、存储账户等）之上。因此在 ARM 模板中，需要通过 scope 属性来明确指定这个诊断设置要附加到哪个父资源上，而不能把父资源的路径塞进 name 里。

错误的写法

下面这种写法沿用了旧版"子资源"的命名方式，把父资源名和诊断设置名用 concat 拼接进 name 字段，缺少 scope 属性：

复制代码

{
    "type": "Microsoft.Insights/diagnosticSettings",
    "apiVersion": "2021-05-01-preview",
    "name": "[concat(parameters('fullResourceName'), '/Microsoft.Insights/xxxx-xxxx-xxxx')]",
    "properties": { ... }
}

这种写法在部署时无法被正确解析为"扩展资源"，从而导致校验异常、部署失败。

正确的写法

正确的做法是：name 只填诊断设置本身的名称，并通过 scope 属性显式指定要附加的目标资源：

复制代码

{
    "type": "Microsoft.Insights/diagnosticSettings",
    "apiVersion": "2021-05-01-preview",
    "name": "xxxx-xxxx-xxxx",
    "scope": "[concat('Microsoft.Network/publicIPAddresses/', parameters('fullResourceName'))]",
    "properties": { ... }
}

解决方法小结

只要在 Policy 定义的 resources 部分，做到以下两点，问题即可得到解决：

将诊断日志资源的名称（name）单独设置为诊断设置自身的名字，不要再和父资源路径拼接；
通过 scope 属性指定正确的目标资源（父资源类型 + 资源名）。

调整后重新运行修正任务，部署即可正常创建并成功执行，诊断日志也被顺利添加到目标资源上。

参考资料

当在复杂的环境中面临问题，格物之道需：浊而静之徐清，安以动之徐生。云中，恰是如此!