Was bedeutet Anwendbarkeit in Azure Policy?

Artikel
12/15/2023

Wenn einer Richtliniendefinition ein Bereich zugewiesen wird, bestimmt Azure Policy, welche Ressourcen in diesem Bereich für die Compliancebewertung berücksichtigt werden sollen. Eine Ressource wird nur dann hinsichtlich Compliance bewertet, wenn sie für die angegebene Richtlinienzuweisung als anwendbar gilt.

Die Anwendbarkeit wird durch mehrere Faktoren bestimmt:

Bedingungen im if-Block der Richtlinienregel
Modus der Richtliniendefinition
Ausgeschlossene Bereiche, die in der Zuordnung angegeben sind
In der Zuweisung angegebene Ressourcenselektoren.
Ausnahmen von Ressourcen oder Ressourcenhierarchien

Bedingung(en) im if-Block der Richtlinienregel werden basierend auf den Auswirkungen auf geringfügig unterschiedliche Weise auf Anwendbarkeit bewertet.

Hinweis

Die Anwendbarkeit unterscheidet sich von der Compliance, und die zum Bestimmen verwendete Logik ist ebenfalls eine andere. Wenn eine Ressource anwendbar ist, bedeutet dies, dass sie für die Richtlinie relevant ist. Wenn eine Ressource konform ist, bedeutet dies, dass sie der Richtlinie entspricht. Manchmal wirken sich nur bestimmte Bedingungen der Richtlinienregel auf die Anwendbarkeit aus, jedoch alle auf den Compliancestatus.

Ressourcen-Manager-Modi

-IfNotExists-Richtlinienauswirkungen

Die Anwendbarkeit der Richtlinien AuditIfNotExists und DeployIfNotExists basiert auf der gesamten if-Bedingung der Richtlinienregel. Wenn if als FALSE ausgewertet wird, ist die Richtlinie nicht anwendbar.

Alle anderen Richtlinienauswirkungen

Azure Policy wertet nur die Bedingungen type, name und kind im Ausdruck if der Richtlinienregel aus und behandelt andere Bedingungen als „true“ – bzw. „false“, wenn negiert. Wenn das endgültige Auswertungsergebnis „true“ lautet, ist die Richtlinie anwendbar. Andernfalls ist sie nicht anwendbar.

Nachfolgend finden Sie spezielle Fälle für die zuvor beschriebene Anwendbarkeitslogik:

Szenario	Ergebnis
Ungültige Aliasse in den `if`-Bedingungen	Die Richtlinie ist nicht anwendbar.
Wenn die `if`-Bedingungen nur aus `kind`-Bedingungen bestehen	Die Richtlinie ist für alle Ressourcen anwendbar.
Wenn die `if`-Bedingungen nur aus `name`-Bedingungen bestehen	Die Richtlinie ist für alle Ressourcen anwendbar.
Wenn die `if`-Bedingungen nur aus `type`- und `kind`-Bedingungen bestehen	Nur `type`-Bedingungen werden bei der Entscheidung über die Anwendbarkeit berücksichtigt.
Wenn die `if`-Bedingungen nur aus `type`- und `name`-Bedingungen bestehen	Nur `type`-Bedingungen werden bei der Entscheidung über die Anwendbarkeit berücksichtigt.
Wenn die `if`-Bedingungen aus `type`- und `kind`-Bedingungen und anderen Bedingungen bestehen	`type`- und `kind`-Bedingungen werden bei der Entscheidung über die Anwendbarkeit berücksichtigt.
Wenn die `if`-Bedingungen aus `type`- und `name`-Bedingungen und anderen Bedingungen bestehen	`type`- und `name`-Bedingungen werden bei der Entscheidung über die Anwendbarkeit berücksichtigt.
Wenn Bedingungen – einschließlich Bereitstellungsparameter – eine `location`-Bedingung enthalten	Ist nicht auf Abonnements anwendbar

Ressourcenanbietermodi

Microsoft.Kubernetes.Data

Die Anwendbarkeit der Microsoft.Kubernetes.Data-Richtlinien basiert auf der gesamten if-Bedingung der Richtlinienregel. Wenn if als FALSE ausgewertet wird, ist die Richtlinie nicht anwendbar.

Microsoft.KeyVault.Data, Microsoft.ManagedHSM.Data, Microsoft.DataFactory.Data, und Microsoft.MachineLearningServices.v2.Data

Richtlinien mit diesen RP-Modi gelten, wenn die type -Bedingung der Richtlinienregel als „Wahr“ ausgewertet wird. Der type bezieht sich auf den Komponententyp.

Key Vault-Komponententypen:

Microsoft.KeyVault.Data/vaults/certificates
Microsoft.KeyVault.Data/vaults/keys
Microsoft.KeyVault.Data/vaults/secrets

Verwalteter HSM-Komponententyp:

Microsoft.ManagedHSM.Data/managedHsms/keys

Azure Data Factory-Komponententyp:

Microsoft.DataFactory.Data/factories/outboundTraffic

Azure Machine Learning-Komponententyp:

Microsoft.MachineLearningServices.v2.Data/workspaces/deployments

Microsoft.Network.Data

Richtlinien im Modus Microsoft.Network.Data sind anwendbar, wenn die Bedingung type und name der Richtlinienregel als TRUE ausgewertet werden. type bezieht sich auf den Komponententyp:

Microsoft.Network/virtualNetworks

Ressourcen für „Nicht zutreffend“

Es kann Situationen geben, in denen Ressourcen auf Basis von Bedingungen oder Umfang für eine Zuordnung gültig sind, obwohl sie aus geschäftlichen Gründe nicht anwendbar sein sollten. In diesem Fall empfiehlt es sich, Ausschlüsse oder Ausnahmenanzuwenden. Weitere Informationen zur Verwendung dieser Funktionen finden Sie unter Bereichsvergleich