问题描述
在企业的Azure环境治理中，为了满足审计与合规的要求，通常会使用 Azure Policy 来统一管理各类资源的诊断日志配置。具体做法是：在 Policy 定义中通过 AuditIfNotExists 或 DeployIfNotExists 效果，检查 Azure 资源（如公网 IP、网络安全组等）是否已经配置了诊断日志（Diagnostic Settings）。如果没有配置，则由修正任务（Remediation Task）自动触发一个内嵌的 ARM 模板，为对应资源添加诊断日志设置。
但是，在修正任务的实际执行过程中，部署却始终失败，并出现如下报错：
Deployment creation for policy definition '/providers/microsoft.management/managementgroups/xxxxxxxxxxxx/providers/Microsoft.Authorization/policyDefinitions/xxxxxxx'
and assignment '/providers/microsoft.management/managementgroups/xxxxxxxxx/providers/Microsoft.Authorization/policyAssignments/xxxxxxxxx'
and deployment '/subscriptions/xxxxxxxxxxxxxxxxx/resourceGroups/xxxxx/providers/Microsoft.Resources/deployments/xxxxxxxxxxxxxxxxxxxxxxxxxxxxx'
was unsuccessful.
错误截图：
从报错信息可以看到，修正任务已经成功创建了部署（Deployment），但该部署在校验或执行阶段失败了。Policy 分配、定义本身都没有问题，问题出在修正任务所提交的部署内容上。
那么，这究竟是什么原因导致的呢？又应该如何来解决这个问题呢？
问题解答
在对 Policy 中定义的、用于修改 Azure 资源诊断日志配置的内嵌 ARM 模板进行逐项调查并反复试验后，最终定位到问题的根本原因是：Policy 定义中内嵌的 ARM 模板语法，不符合诊断设置（Diagnostic Settings）作为“扩展资源（Extension Resource）”的标准写法，导致后台在创建部署时的模板校验（validation）失败。
关键概念：诊断设置是扩展资源
Microsoft.Insights/diagnosticSettings 并不是一个独立存在的资源，而是一种“扩展资源”——它必须依附（attach）在某个目标资源（如公网 IP、NSG、存储账户等）之上。因此在 ARM 模板中，需要通过 scope 属性来明确指定这个诊断设置要附加到哪个父资源上，而不能把父资源的路径塞进 name 里。
错误的写法
下面这种写法沿用了旧版“子资源”的命名方式，把父资源名和诊断设置名用 concat 拼接进 name 字段，缺少 scope 属性：
{
"type": "Microsoft.Insights/diagnosticSettings",
"apiVersion": "2021-05-01-preview",
"name": "[concat(parameters('fullResourceName'), '/Microsoft.Insights/xxxx-xxxx-xxxx')]",
"properties": { ... }
}
这种写法在部署时无法被正确解析为“扩展资源”，从而导致校验异常、部署失败。
正确的写法
正确的做法是：name 只填诊断设置本身的名称，并通过 scope 属性显式指定要附加的目标资源：
{
"type": "Microsoft.Insights/diagnosticSettings",
"apiVersion": "2021-05-01-preview",
"name": "xxxx-xxxx-xxxx",
"scope": "[concat('Microsoft.Network/publicIPAddresses/', parameters('fullResourceName'))]",
"properties": { ... }
}
解决方法小结
只要在 Policy 定义的 resources 部分，做到以下两点，问题即可得到解决：
- 将诊断日志资源的名称（name）单独设置为诊断设置自身的名字，不要再和父资源路径拼接；
- 通过 scope 属性指定正确的目标资源（父资源类型 + 资源名）。
调整后重新运行修正任务，部署即可正常创建并成功执行，诊断日志也被顺利添加到目标资源上。
参考资料
- 诊断设置 - Azure Monitor
- 在 ARM 模板中设置扩展资源的作用域（scope）
- 使用 Azure Policy 部署诊断设置（DeployIfNotExists）
- 教程：修正不合规的资源
当在复杂的环境中面临问题，格物之道需：浊而静之徐清，安以动之徐生。 云中，恰是如此!
