Azure Policy: 適用条件と自動修復の動作について — ポリシー適用と再評価の仕組み この Azure サポート案件の場合

Question

問題の説明

Azure Policyのカスタム定義（deployIfNotExists効果）を使用し、プライベートエンドポイント作成・更新時に対応するDNSレコードを自動的に作成する設定について質問があります。具体的には、プライベートエンドポイントのIPアドレス更新後にPowerShellを使ってコンプライアンスの再評価（Start-AzPolicyComplianceScan）を行い、その後にRemediationタスクを実行した場合、ステップ①の再評価だけで自動的にステップ②の修復（ARMテンプレートのデプロイ）が走るのかどうか、動作条件を確認したいです。

環境

Azure Policy、プライベートエンドポイントとDNSレコード、リソースのリージョンは不特定です。

既に試したこと

コンプライアンス再評価（Start-AzPolicyComplianceScan）をPowerShellで実行し、その後にRemediationタスクを手動で作成・実行した。再評価後に自動修復が行われるかは未検証です。

現在の状態

自動修復の動作条件と、再評価のみで修復が自動的に行われるかどうかを確認したい。

Answer 1

ご質問ありがとうございます。

結論としましては、Start-AzPolicyComplianceScan による再評価のみでは、自動修復（ARM テンプレートのデプロイ）は実行されません。

Azure Policy の DeployIfNotExists では、

• リソースの新規作成・更新時は、条件に一致した場合に自動的にデプロイが実行されます。
• 一方、既存リソースに対するコンプライアンス再評価（Start-AzPolicyComplianceScan）は、準拠／非準拠の状態を更新するのみで、修復処理は実行されません。
• 既存リソースを修復するには、Remediation Task（修復タスク）を別途実行する必要がありそうです。

そのため、ご質問のシナリオである**「プライベート エンドポイントの IP アドレス更新 → Compliance Scan 実行」** のみでは DNS レコード作成用テンプレートは実行されず、修復を行う場合は Remediation Task の実行が必要と考えられます。

参考資料

• https://learn.microsoft.com/ja-jp/azure/governance/policy/concepts/effect-deploy-if-not-exists
• https://learn.microsoft.com/ja-jp/azure/governance/policy/how-to/remediate-resources?tabs=azure-portal

なお、個別のカスタム ポリシー定義に依存する動作については公開情報のみでは判断できないため、詳細確認が必要となる場合は Azure 技術サポートへお問い合わせいただければ幸いです。