使用 Azure Policy 在 Azure 虚拟网络 Manager 中定义动态网络组成员身份

你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

本文介绍如何使用Azure Policy条件语句创建具有动态成员身份的网络组。 通过从下拉菜单选择参数和运算符，使用基本编辑器创建这些条件语句。 你还将了解如何使用高级编辑器更新现有网络组的条件语句。

Azure Policy 是一项支持大规模强制实施按资源治理的服务。 它可用于指定定义组成员身份的条件表达式，而不是虚拟网络的显式列表。 此条件继续动态为网络组供电，允许虚拟网络在满足条件更改时自动加入和离开组，无需网络管理器操作。

重要

Azure Virtual Network Manager 现已正式发布，可用于 Virtual Network Manager 和中心辐射型连接配置。

网格连接配置和安全管理规则仍处于公共预览状态。 此预览版在提供时没有附带服务级别协议，不建议将其用于生产工作负荷。 某些功能可能不受支持或者受限。 有关详细信息，请参阅 Microsoft Azure 预览版补充使用条款。

使用条件语句选择具有动态成员资格的虚拟网络。 对于需要进一步缩小所选虚拟网络范围的情况，可以使用 AND 和 OR 等逻辑运算符来定义多个条件语句 。

支持的参数列表：

支持的运算符列表：

注意

Exists 和 Does not exist 运算符只能与 Tags 参数一起使用 。

假设订阅中具有以下虚拟网络。 每个虚拟网络都有一个名为 environment 的关联标记，相应的标记值为 Production 或 Test。

你只想选择名称中包含 VNet-A 的虚拟网络。 若要开始使用基本编辑器创建条件语句，需要创建新的网络组。

重要

“基本编辑器”仅在创建 Azure 策略期间可用。 创建策略后，将使用 Virtual Network Manager 的“策略”部分中的 JSON 或通过 Azure Policy 完成所有编辑。

使用基本编辑器时，条件选项通过门户体验受到限制。 对于复杂情况（例如基于 客户定义的标记为 VNet 创建网络组），必须使用高级编辑器。 详细了解 Azure Policy 定义结构。

高级编辑器可用于在创建网络组或更新现有网络组期间选择虚拟网络。 基于 JSON 的高级编辑器对于有经验的用户创建和更新复杂的 Azure Policy 条件语句很有用。

转到 Azure Virtual Network Manager 实例，在“设置”下选择“网络组”。 然后选择“+ 创建”以创建新的网络组。

为网络组输入“名称”和可选的“说明”，然后选择“添加”。

从列表中选择网络组，然后选择“创建 Azure 策略”。

输入“策略名称”并保留“范围”选择（除非需要更改）。

在“条件”下，选择“高级(JSON)编辑器”打开编辑器。

在文本框中输入以下 JSON 代码，然后选择“保存”：

几分钟后，选择网络组，然后在“设置”下选择“组成员”。 应该只会看到 myVNet01-WestUS 和 myVNet01-EastUS。

选择在上一部分创建的网络组。 然后选择“策略”选项卡。

选择在上一部分创建的策略。

可以在高级编辑器视图中看到网络组的条件语句，如下所示：

若要为不包含 WestUS 的 Name 字段添加其他条件语句，请在高级编辑器中输入以下内容：

"allOf" 参数包含由 AND 逻辑运算符分隔的条件语句。

选择“保存”。

几分钟后，选择网络组，然后在“设置”下选择“组成员”。 应该只会看到 myVNet01-EastUS。

有关可在高级编辑器中使用的参数和运算符的完整列表，请参阅参数和运算符。

下面是高级编辑器中条件语句的更多示例。

此示例使用 OR逻辑运算符分隔两个条件语句。

基本编辑器：

高级运算符：

"anyOf" 参数包含由 OR 逻辑运算符分隔的条件语句。

基本编辑器：

高级编辑器：

代码中同时使用 "allOf" 和 "anyOf"。 由于 AND 运算符位于列表末尾，因此它处于包含具有 OR 运算符的两个条件语句的代码外部 。

此示例创建了一个条件语句，用于查找名称包含 myVNet 且 environment 标记等于 production 的虚拟网络。

高级编辑器：

注意

条件应按资源类型 Microsoft.Network/virtualNetwork 进行筛选，以提高效率。 自动为通过门户指定的任何条件追加此条件。