Azure Policy 未反映 Azure Kubernetes 集群中的命名空间排除

Question

我在管理组级别分配了 Azure 安全基准。

Azure 安全基准有一项策略 (

/providers/Microsoft.Authorization/policyDefinitions/423dd1ba-798e-40e4-9c4d-b6902674b423

)，要求 Kubernetes 集群禁用自动挂载 API 凭据。

我的订阅中有一个 Azure Kubernetes 集群，它是应用了 Azure 安全基准的上述管理组的一部分，并且我正在尝试覆盖命名空间排除以包含默认命名空间排除列表之外的其他命名空间。

我的排除命名空间列表如下：

[
  "kube-system",
  "gatekeeper-system",
  "azure-arc",
  "azuredefender",
  "mdc",
  "azure-extensions-usage-system",
  "ingress",
  "cert-manager",
  "external-dns",
  "external-secrets"
]

这与默认排除命名空间列表进行比较：

[
  "kube-system",
  "gatekeeper-system",
  "azure-arc",
  "azuredefender",
  "mdc",
  "azure-extensions-usage-system"
]

为了实现这一目标，我应用了以下政策分配：

resource "azurerm_resource_policy_assignment" "automounting_allowed_namespaces" {
  name                 = "automounting-allowed-namespaces"
  display_name         = "List of the allowed namespaces for automounting API credentials"
  policy_definition_id = "/providers/Microsoft.Authorization/policyDefinitions/423dd1ba-798e-40e4-9c4d-b6902674b423"
  resource_id          = var.k8s_cluster_id

  parameters = jsonencode({
    excludedNamespaces = {
      value = [
        "kube-system",
        "gatekeeper-system",
        "azure-arc",
        "azuredefender",
        "mdc",
        "azure-extensions-usage-system",
        "ingress",
        "cert-manager",
        "external-dns",
        "external-secrets"
      ]
    }
  })
}