问题描述
在之前的博文 “ 【Azure Policy】添加策略用于审计Azure 网络安全组(NSG)规则 -- 只能特定的IP地址允许3389/22端口访问 ” 中，介绍了对固定IP地址，端口的审计规则。
只是在实际使用中，发现端口和IP都可以输入多个值，并且以“,”号分割，最终在Azure的NSG资源中，显示为数组格式值，如下：
为了实现数组队对应数组的验证，需要重新编写Policy Rule， 如何来实现如下 两个要求呢？
要求一：输入的IP地址只能是 192.168.1.1 和167.220.0.0/16， 可以是其中的一个，但是不能有这两个值之外的其它值。
要求二：端口输入中，只要包含了22，3389的输入，都需要进行判断
问题解答
要求一 ： “输入的IP地址只能是 192.168.1.1 和167.220.0.0/16， 可以是其中的一个，但是不能有这两个值之外的其它值。”
根据要求，做出了下表中的示例：
所以，最开始考虑的是使用 In 或者是 notIn 来进行判断，根据Copilot的回答：
问：Azure Policy中的，如果policy rule中field是array ， 同另一个array 进行notin 判断， 它在什么情况下是true， 什么情况下是false呢？
答：在Azure Policy中，如果policy rule中的field是一个array，并且需要与另一个array进行
notIn判断，以下是判断条件为true或false的情况：True：当field中的所有元素都不在另一个array中时，
notIn判断为true。例如，如果field是["A", "B", "C"]，而另一个array是["D", "E", "F"]，则判断为true，因为field中的所有元素都不在另一个array中。False：当field中的任何一个元素存在于另一个array中时，
notIn判断为false。例如，如果field是["A", "B", "C"]，而另一个array是["B", "E", "F"]，则判断为false，因为field中的元素B存在于另一个array中。
继续追问：
问：Azure Policy中的，如果policy rule中field是array ， 同另一个array 进行in 判断， 它在什么情况下是true， 什么情况下是false呢？
答：在Azure Policy中，如果policy rule中的field是一个array，并且需要与另一个array进行
in判断，以下是判断条件为true或false的情况：True：当field中的任何一个元素存在于另一个array中时，
in判断为true。例如，如果field是["A", "B", "C"]，而另一个array是["B", "E", "F"]，则判断为true，因为field中的元素B存在于另一个array中[1][2].False：当field中的所有元素都不在另一个array中时，
in判断为false。例如，如果field是["A", "B", "C"]，而另一个array是["D", "E", "F"]，则判断为false，因为field中的所有元素都不在另一个array中[1][2].希望这个解释对你有帮助！如果你有其他问题，欢迎随时提问。
References
[1] Details of the policy definition structure policy rules - Azure Policy | Microsoft Learn
[2] Details of Azure Policy definition structure basics - Azure Policy | Microsoft Learn
但是在实际的多次验证后，发现使用 In / notIn 在 Policy Deny的策略中，并没有达到理想的效果。最后，在 in的基础上进行了count操作，才能正常判断输入2个及2个以上的值是否满足条件：
而关于条件二，则要简单一些，因为输入的值，只要包含 22， 3389 ，则这条语句就返回 True， 当值只有一个时，使用equals，当有多个时，用not + notIn来进行判断。
PS: notIn 的判断规则时，只要全部输入值都不包含22，3389的时候，才返回True， 然后通过Not 反转为 False，表示只要输入值没有22，3389，就不用审计。
{
"anyOf": [
{
"field": "Microsoft.Network/networkSecurityGroups/securityRules/destinationPortRange",
"equals": "3389"
},
{
"field": "Microsoft.Network/networkSecurityGroups/securityRules/destinationPortRange",
"equals": "22"
},
{
"not": {
"field": "Microsoft.Network/networkSecurityGroups/securityRules/destinationPortRanges[*]",
"notIn": [
"3389",
"22"
]
}
}
]
}以上两个条件的执行效果如下：
完整的Policy参考如下：
{
"mode": "All",
"policyRule": {
"if": {
"allOf": [
{
"field": "type",
"equals": "Microsoft.Network/networkSecurityGroups/securityRules"
},
{
"field": "Microsoft.Network/networkSecurityGroups/securityRules/direction",
"equals": "Inbound"
},
{
"anyOf": [
{
"field": "Microsoft.Network/networkSecurityGroups/securityRules/destinationPortRange",
"equals": "3389"
},
{
"field": "Microsoft.Network/networkSecurityGroups/securityRules/destinationPortRange",
"equals": "22"
},
{
"not": {
"field": "Microsoft.Network/networkSecurityGroups/securityRules/destinationPortRanges[*]",
"notIn": [
"3389",
"22"
]
}
}
]
},
{
"anyOf": [
{
"allOf": [
{
"count": {
"field": "Microsoft.Network/networkSecurityGroups/securityRules/sourceAddressPrefixes[*]"
},
"greater": 1
},
{
"not": {
"allOf": [
{
"count": {
"field": "Microsoft.Network/networkSecurityGroups/securityRules/sourceAddressPrefixes[*]",
"where": {
"field": "Microsoft.Network/networkSecurityGroups/securityRules/sourceAddressPrefixes[*]",
"In": "[parameters('allowedIPs')]"
}
},
"equals": 2
},
{
"count": {
"field": "Microsoft.Network/networkSecurityGroups/securityRules/sourceAddressPrefixes[*]"
},
"equals": 2
}
]
}
}
]
},
{
"allOf": [
{
"count": {
"field": "Microsoft.Network/networkSecurityGroups/securityRules/sourceAddressPrefixes[*]"
},
"equals": 0
},
{
"field": "Microsoft.Network/networkSecurityGroups/securityRules/sourceAddressPrefix",
"notIn": "[parameters('allowedIPs')]"
}
]
}
]
}
]
},
"then": {
"effect": "deny"
}
},
"parameters": {
"allowedIPs": {
"type": "Array",
"metadata": {
"displayName": "Allowed IPs",
"description": "The list of allowed IPs for resources."
},
"defaultValue": [
"192.168.1.1"
]
}
}
}
[END]
当在复杂的环境中面临问题，格物之道需：浊而静之徐清，安以动之徐生。 云中，恰是如此!
