你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

快速入门：使用 Azure 门户创建策略分配以识别不合规的资源

若要了解 Azure 中的符合性，第一步是确定资源的状态。本快速入门介绍如何使用 Azure 门户创建策略分配，以识别不合规的资源。策略分配给资源组，并对不使用托管磁盘的虚拟机进行审核。创建策略分配后，可以识别不合规的虚拟机。

分配内置策略或计划定义时，可根据需要引用版本。内置定义的策略分配默认为最新版本，并将自动继承次要版本更改，除非另有指定。

先决条件

在本快速入门中，你将使用内置策略定义“审核未使用托管磁盘的 VM”创建策略分配。

在“分配策略”窗格的“基本”选项卡中配置以下选项：

字段	操作
范围	使用省略号 (`...`)，然后选择订阅和资源组。然后选择“选择”以应用相应范围。
排除项	可选，在此示例中未使用。
资源选择器	跳过此示例的资源选择器。使用资源选择器可以优化受策略分配影响的资源。
策略定义	选择省略号 (`...`) 以打开可用定义列表。
可用定义	在策略定义列表中搜索“审核未使用托管磁盘的 VM”定义，选择该策略，然后选择“添加”。有一列显示最新版本的定义。
版本(预览版)	接受采用 `1..` 格式的版本，引入主要版本、次要版本和修补程序版本。选择省略号 (`...`) 以查看可用版本，以及用于在次要版本更新或预览版本中注册的选项。必须选择版本才能更改选项。有关详细信息，请转到分配中的定义版本。
分配名称	默认使用所选策略的名称。你可以更改它，但对于此示例，请使用默认名称。
描述	可选，用于提供有关此策略分配的详细信息。
策略实施	默认为“已启用”。有关详细信息，请转到强制模式。

选择“下一步”，查看“参数”和“修正”对应的每一个选项卡。在此示例中，不需要做任何更改。

选项卡名称	选项
Parameters	如果在“基本信息”选项卡上选择的策略定义包含参数，则需要在“参数”选项卡上配置它们。此示例不使用参数。
修正	你可以创建托管标识。在此示例中，未选中“创建托管标识”。当策略或计划包含具有 deployIfNotExists 或 modify 效果的策略时，必须勾选此框。有关详细信息，请转到托管标识和修正访问控制的工作原理。

选择“下一步”，然后在“非合规消息”选项卡上创建非合规消息，例如“虚拟机应使用托管磁盘”。

当拒绝某个资源时或在常规评估期间针对不合规资源会显示此自定义消息。
选择“下一步”，然后在“查看 + 创建”选项卡上查看策略分配详细信息。
选择“创建”以创建策略分配。

在“策略”窗格中，选择“符合性”，找到“审核未使用托管磁盘的 VM”策略分配。新策略分配的“符合性状态”需要几分钟才会变为活动状态并提供关于策略状态的结果。

策略分配会显示不合规的资源（“符合性状态”为“不符合”）。若要获取更多详细信息，请选择策略分配名称以查看“资源符合性”。

针对现有资源评估某条件时，如果结果为 true，则会将这些资源标记为与策略不符。下表显示了对于生成的符合性状态，不同的策略效果是如何与条件评估配合使用的。尽管在 Azure 门户中看不到评估逻辑，但会显示符合性状态结果。符合性状态结果为符合或不符合。

资源状态	效果	策略评估	符合性状态
新功能或更新功能	Audit、Modify、AuditIfNotExist	True	不合规
新功能或更新功能	Audit、Modify、AuditIfNotExist	False	符合
Exists	Deny、Audit、Append、Modify、DeployIfNotExist、AuditIfNotExist	True	不合规
Exists	Deny、Audit、Append、Modify、DeployIfNotExist、AuditIfNotExist	False	符合

DeployIfNotExist 和 AuditIfNotExist 效果需要 IF 语句为 TRUE，且存在条件为 FALSE 才会不合规。当为 TRUE 时，IF 条件会触发对相关资源的存在条件的评估。

你可以从“符合性”或“分配”中删除策略分配。

若要移除本文中创建的策略分配，请执行以下步骤：

本快速入门已分配一个策略定义用于识别 Azure 环境中的不合规资源。

若要详细了解如何分配验证资源合规性的策略，请继续学习以下教程。