你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

确定导致非符合性的原因

项目
09/30/2024

当 Azure 资源被确定为不符合策略规则时，了解该资源的哪一部分不符合规则很有用。这也有助于了解哪项更改改变了以前合规的资源，导致它现在不合规。可通过两种方法查找此信息：

符合性详细系信息
更改历史记录（预览）

符合性详细信息

当资源不符合时，“策略符合性”页中将提供该资源的符合性详细信息。符合性详细信息窗格包含以下信息：

名称、类型、位置和资源 ID 等资源详细信息。
上次评估当前策略分配时的合规性状态和时间戳。
资源不合规的原因列表。

重要

由于不符合资源的符合性详细信息显示该资源属性的当前值，因此用户必须对资源类型进行读取操作。例如，如果不合规资源是 Microsoft.Compute/virtualMachines，则用户必须具有 Microsoft.Compute/virtualMachines/read 操作。如果用户没有进行所需操作，则会显示访问错误。

若要查看符合性详细信息，请执行以下步骤：

在 Azure 门户中选择“所有服务”，然后搜索并选择“策略”，启动 Azure Policy 服务。
在“概览”或“符合性”页，选择“符合性状态”为“不符合”的策略。
在“策略合规性”页的“资源合规性”选项卡中，选择并按住（或右键单击）或直接选择“合规性状态”为“不合规”的资源的省略号。然后选择“查看符合性详细信息”。
“符合性详细信息”窗格显示对当前策略分配最近进行的计算得出的信息。在此示例中，发现字段“Microsoft.Sql/servers/version”为“12.0”，而策略定义预期为“14.0”。如果资源不符合有多种原因，则此窗格将列出每个原因。

对于“auditIfNotExists”或“deployIfNotExists”策略定义，详细信息包括“details.type”属性和任何可选属性。有关列表，请参阅 auditIfNotExists 属性和 deployIfNotExists 属性。 “上一个计算资源”为定义的“详细信息”部分中的相关资源。

部分 deployIfNotExists 定义示例：
```
{
  "if": {
    "field": "type",
    "equals": "[parameters('resourceType')]"
  },
  "then": {
    "effect": "deployIfNotExists",
    "details": {
      "type": "Microsoft.Insights/metricAlerts",
      "existenceCondition": {
        "field": "name",
        "equals": "[concat(parameters('alertNamePrefix'), '-', resourcegroup().name, '-', field('name'))]"
      },
      "existenceScope": "subscription",
      "deployment": {
        ...
      }
    }
  }
}
```

注意

为保护数据，当属性值为“secret”时，当前值显示星号。

这些详细信息将解释资源当前不合规的原因，但不显示何时对该资源做出了更改，导致它不合规。有关该信息，请参阅更改历史记录（预览版）。

符合性原因

资源管理器模式和资源提供程序模式不合规的原因各有不同。

常规资源管理器模式合规性原因

下表将每个资源管理器模式原因映射到策略定义中的负责条件：

原因	条件
当前值必须包含目标值作为关键值。	containsKey 或不为 notContainsKey
当前值必须包含目标值。	contains 或不为 notContains
当前值必须等于目标值。	equals 或不为 notEquals
当前值必须小于目标值。	less 或不为 greaterOrEquals
当前值必须大于或等于目标值。	greaterOrEquals 或不为 less
当前值必须大于目标值。	greater 或不为 lessOrEquals
当前值必须小于或等于目标值。	lessOrEquals 或不为 greater
当前值必须存在。	exists
当前值必须在目标值中。	in 或不为 notIn
当前值必须与目标值类似。	like 或不为 notLike
当前值必须与目标值匹配（区分大小写）。	match 或不为 notMatch
当前值必须与目标值匹配（不区分大小写）。	matchInsensitively 或不为 notMatchInsensitively
当前值不得包含目标值作为关键值。	notContainsKey 或不为 containsKey
当前值不得包含目标值。	notContains 或不为 contains
当前值不得等于目标值。	notEquals 或不为 equals
不能存在当前值。	不能为 exists
当前值不得存在于目标值中。	notIn 或不为 in
当前值不得与目标值类似。	notLike 或不为 like
当前值不得与目标值匹配（区分大小写）。	notMatch 或不为 match
当前值不得与目标值匹配（不区分大小写）。	notMatchInsensitively 或不为 matchInsensitively
没有与策略定义中的效果详细信息匹配的相关资源。	类型在 `then.details.type` 中定义，且与策略规则“if”部分定义的资源相关的资源不存在。

Azure Policy 资源提供程序模式合规性原因

下表将每个Microsoft.PolicyInsights资源提供程序模式原因代码映射到其相应的说明：

合规性原因代码	错误消息和说明
NonModifiablePolicyAlias	NonModifiableAliasConflict：在使用 API 版本“{apiVersion}”的请求中，别名“{alias}”不可修改。如果在请求使用的 API 版本中，别名不支持“修改”效果或只支持不同令牌类型的“修改”效果，就会发生此错误。
AppendPoliciesNotApplicable	AppendPoliciesUnableToAppend：在使用 API 版本“{ apiVersion }”的请求中，别名“{ aliases }”不可修改。如果在请求使用的 API 版本中，别名不支持“修改”效果或只支持不同令牌类型的“修改”效果，就会发生这种情况。
ConflictingAppendPolicies	ConflictingAppendPolicies：发现修改“{notApplicableFields}”字段的策略分配发生冲突。策略标识符：“{policy}”。请联系订阅管理员更新策略分配。
AppendPoliciesFieldsExist	AppendPoliciesFieldsExistWithDifferentValues：策略分配尝试追加已存在于请求中且含不同值的字段。字段：“{existingFields}”。策略标识符：“{policy}”。请联系订阅管理员更新策略。
AppendPoliciesUndefinedFields	AppendPoliciesUndefinedFields：发现策略定义引用 API 版本“{apiVersion}”的未定义字段属性。字段：“{nonExistingFields}”。策略标识符：“{policy}”。请联系订阅管理员更新策略。
MissingRegistrationForType	MissingRegistrationForResourceType：未针对资源类型“{ResourceType}”注册订阅。请检查该资源类型是否存在，以及是否注册了该资源类型。
AmbiguousPolicyEvaluationPaths	请求内容有一个或多个不明确的路径：策略“{1}”需要“{0}”。
InvalidResourceNameWildcardPosition	无法评估与策略定义“{1}”相关的策略分配“{0}”。 ifNotExists 条件中的资源名称“{2}”在无效位置包含通配符“?”。通配符只能独自位于段中名称的末尾，（例如 TopLevelResourceName/?）。请修复策略或移除策略分配以取消阻止。
TooManyResourceNameSegments	无法评估与策略定义“{1}”相关的策略分配“{0}”。 ifNotExists 条件中的资源名称“{2}”包含过多的名称段。名称段数必须等于或小于类型段数（不包括资源提供程序命名空间）。请修复策略定义，或移除策略分配以取消阻止。
InvalidPolicyFieldPath	策略定义中的字段路径“{0}”无效。字段路径不得包含空段。它们只能包含字母数字字符，但用于拆分段的“.”字符和用于访问数组属性的“[*]”字符序列除外。

AKS 资源提供程序模式合规性原因

下表将每个Microsoft.Kubernetes.Data资源提供程序模式原因映射到策略定义中约束模板的负责状态：

原因	约束模板原因说明
Constraint/TemplateCreateFailed	无法为策略定义创建资源，该策略定义的约束/模板与群集上现有约束/模板的资源元数据名称不匹配。
Constraint/TemplateUpdateFailed	无法为策略定义创建资源，该策略定义的约束/模板与群集上现有约束/模板的资源元数据名称不匹配。
Constraint/TemplateInstallFailed	约束/模板未能生成，并且无法安装在群集上以进行创建或更新操作。
ConstraintTemplateConflicts	模板与一个或多个使用不同源的相同模板名称的策略定义存在冲突。
ConstraintStatusStale	存在现有的“审核”状态，但 Gatekeeper 在过去一小时内未执行审核。
ConstraintNotProcessed	没有状态，并且 Gatekeeper 在过去一小时内未执行审核。
InvalidConstraint/Template	由于以下原因之一，资源被拒绝：约束模板 Rego 内容无效、YAML 无效或约束与约束模板之间的参数类型不匹配（在需要整数时提供字符串值）。