Устранение неполадок Azure Load Balancer, которые не могут быть удалены

Сводка

В этой статье показано, почему вы не можете удалить Azure Load Balancer или группу ресурсов, содержащую ее.

Обычно не удается удалить Azure Load Balancer или группу ресурсов, содержащую ее по одной из следующих причин:

• Зависимые ресурсы по-прежнему ссылаться на Load Balancer, поэтому сначала их необходимо удалить. К этим ресурсам относятся служба Приватный канал Azure, сопоставление сетевой карты (NIC) с внутренним пулом, правила исходящего трафика, правила балансировки нагрузки или входящего преобразования сетевых адресов (NAT), а также проверки работоспособности.
• Запрещающее назначение блокирует удаление, поскольку балансировщик нагрузки управляется платформой (создан Azure Kubernetes Service (AKS), Контейнеры приложений Azure или другой управляемой службой) либо остался после неудачного перемещения ресурса.
• Блокировка ресурсов Azure или Политика Azure с эффектом запрета, который предотвращает удаление.

Симптомы

Вы можете столкнуться с одним или несколькими из следующих симптомов:

• При удалении балансировщика нагрузки в портале Azure, с помощью средства командной строки (CLI) или при удалении группы ресурсов возникает ошибка, и ресурс не удаляется.
• CLI возвращает ошибку, например Cannot delete resource ... because it is in use или InUseLoadBalancerCannotBeDeleted.
• CLI возвращает сообщение CannotDeleteLoadBalancerWithPrivateLinkService , например ...since it is referenced by private link service ... Please delete private link service prior to deleting load balancer.
• CLI возвращает сообщение ScopeLocked , например The scope '...' cannot perform delete operation because following scope(s) are locked.
• CLI возвращает RequestDisallowedByPolicy — имя назначения политики Azure.
• CLI возвращает ошибку авторизации с указанием, что действие заблокировано из-за запрещающего назначения.
• Удаление группы ресурсов завершается сбоем, и единственный ресурс, который не будет удален, является Load Balancer.
• Load Balancer находится в группе ресурсов узла с именем MC_* AKS или принадлежит другой управляемой службе.

Необходимые условия

Чтобы устранить эту проблему, вам потребуется следующее:

• Необходимые разрешения:Network Contributor роль для группы ресурсов балансировщика нагрузки, чтобы удалить зависимости и сам балансировщик нагрузки, User Access Administrator или Owner разрешение на снятие блокировки ресурса или создание исключения из политики, либо доступ на чтение к журналу активности для проверки назначений запрета.
• Средства: Azure CLI 2.x или агент ИИ с доступом Azure MCP или CLI
• Обязательные переменные и примеры этих переменных, как показано в следующей таблице

СОВЕТ: Каждый скрипт, предоставленный в следующих разделах, запрашивает необходимые значения в интерактивном режиме. Чтобы открыть Cloud Shell и ответить на запросы, нажмите кнопку "Попробовать". Значения кэшируются для этого сеанса. Поэтому вы вводите их только один раз.

Этапы диагностики

Проблема выявляется путем запуска четырех независимых проверок в режиме только чтения в следующем порядке приоритета: блокировка ресурсов, затем Политика Azure, затем назначение запрета, затем зависимые ресурсы. Блокировщики уровня управления (например, блокировка, политика, запрет назначения) предотвращают удаление независимо от зависимостей, поэтому процесс сначала проверяет их. Попробуйте исправить первый найденный блокировщик.

Шаг 1

Проверьте точный код ошибки, возвращенный неудавшейся операцией удаления. Код ошибки — это главный признак, по которому можно понять, с каким препятствием вы столкнулись. Если у вас уже есть текст ошибки на портале Azure или предыдущем запуске CLI или Terraform, используйте его здесь. В противном случае проверка только для чтения на шаге 2-шага 5 подтверждает блокировку без повторного выполнения операции удаления.

Выполните следующие команды в Azure CLI:

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG
[ -z "$RESOURCE_NAME" ] && read -rp "Load Balancer Name: " RESOURCE_NAME

# Read-only: confirm the Load Balancer still exists and capture its ID for later steps.
az network lb show \
  --name "$RESOURCE_NAME" \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION" \
  --query "{id:id, provisioningState:provisioningState}" \
  --output json

Интерпретация результатов

Шаг 2

Проверьте, существует ли блокировка управления (CanNotDeleteилиReadOnly) в Load Balancer, ее группе ресурсов или наследуемой родительской области. Блокировки наследуются вниз, поэтому блокировка группы ресурсов или подписки может блокировать удаление.

Выполните следующие команды в Azure CLI:

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG
[ -z "$RESOURCE_NAME" ] && read -rp "Load Balancer Name: " RESOURCE_NAME

echo "── Locks on the Load Balancer resource ──"
az lock list \
  --resource "$RESOURCE_NAME" \
  --resource-type "Microsoft.Network/loadBalancers" \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION" \
  --query "[].{name:name, level:level, notes:notes}" \
  --output json

echo "── Locks inherited from the resource group ──"
az lock list \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION" \
  --query "[].{name:name, level:level, notes:notes}" \
  --output json

echo "── Locks inherited from the subscription ──"
az lock list \
  --subscription "$SUBSCRIPTION" \
  --query "[].{name:name, level:level, notes:notes}" \
  --output json

Интерпретация результатов

Шаг 3

Проверьте, не блокирует ли назначение Политика Azure с эффектом deny на уровне группы ресурсов, подписки или унаследованной области группы управления операцию удаления. Политика, блокирующая операцию удаления, возвращает RequestDisallowedByPolicy и называет назначение и определение политики.

Выполните следующие команды в Azure CLI:

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG

# List policy assignments that apply to this resource group, including those
# inherited from the subscription and parent management groups.
az policy assignment list \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION" \
  --disable-scope-strict-match \
  --query "[].{name:name, displayName:displayName, policyDefinitionId:policyDefinitionId, scope:scope}" \
  --output json

Если ошибка удаления имеет вид RequestDisallowedByPolicy, текст ошибки содержит имя назначения политики и идентификатор определения политики, из-за которых удаление было заблокировано. Сопоставьте это имя с предыдущим списком. Ошибка указывает точное назначение, и этот список подтверждает ее охват.

Интерпретация результатов

Шаг 4

Проверьте, блокирует ли запрещающее назначение удаление. Службы Azure под управлением платформы, такие как AKS и Container Apps, создают запрещающие назначения для защиты принадлежащих им ресурсов. Неудачное или частичное перемещение ресурса может оставить после себя запрет назначения. В отличие от назначений ролей, вы не можете переопределить запрещающее назначение, назначив себе роль. Необходимо удалить источник.

Выполните следующие команды в Azure CLI:

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG

# Deny assignments have no dedicated 'az' command; query the ARM API directly.
az rest \
  --method get \
  --url "https://management.azure.com/subscriptions/$SUBSCRIPTION/resourceGroups/$RG/providers/Microsoft.Authorization/denyAssignments?api-version=2022-04-01" \
  --query "value[].{name:properties.denyAssignmentName, isSystemProtected:properties.isSystemProtected, principals:properties.principals[].displayName, excludePrincipals:properties.excludePrincipals[].displayName, actions:properties.permissions[].actions}" \
  --output json

Интерпретация результата

Шаг 5

Проверьте, какие зависимые ресурсы по-прежнему ссылались на Load Balancer. Балансировщик нагрузки нельзя удалить, пока служба Приватный канал, правило исходящего трафика, правило балансировки нагрузки или правило NAT для входящего трафика, проверка работоспособности либо привязка NIC к внутреннему пулу по-прежнему ссылаются на него. Этот шаг перечисляет все из них, чтобы точно знать, что нужно удалить и в каком порядке.

Выполните следующие команды в Azure CLI:

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG
[ -z "$RESOURCE_NAME" ] && read -rp "Load Balancer Name: " RESOURCE_NAME

echo "── Load Balancer rule, probe, and backend-pool inventory ──"
az network lb show \
  --name "$RESOURCE_NAME" \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION" \
  --query "{outboundRules:outboundRules[].name, loadBalancingRules:loadBalancingRules[].name, inboundNatRules:inboundNatRules[].name, probes:probes[].name, backendPools:backendAddressPools[].name, backendNicAssociations:backendAddressPools[].loadBalancerBackendAddresses[].networkInterfaceIPConfiguration.id, backendIpConfigCount:length(backendAddressPools[0].backendIPConfigurations || [])}" \
  --output json

echo "── Private Link Services that front-end this Load Balancer ──"
az network private-link-service list \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION" \
  --query "[?contains(to_string(loadBalancerFrontendIpConfigurations), '$RESOURCE_NAME')].{name:name, fipConfigs:loadBalancerFrontendIpConfigurations[].id}" \
  --output json

Интерпретация результатов

Запишите каждый непустый список. Это зависимости, которые необходимо удалить, и порядок их устранения (сначала служба Приватный канал, а затем — Load Balancer).

Карта принятия решений

Используйте следующую таблицу карты принятия решений, чтобы определить соответствующие действия на основе результатов диагностики. Направлять к первой подходящей строке в следующем порядке (блокирующие факторы плоскости управления перед зависимостями).

Разрешение A

Зависимые ресурсы по-прежнему ссылаются на балансировщик нагрузки. Azure отказывается от удаления, пока не будет удалена каждая ссылка. Удалите ссылки в следующем порядке зависимостей: служба Приватный канал > правила исходящего трафика > балансировка нагрузки > правила NAT для входящего трафика > проверки работоспособности > серверный пул (связи с сетевыми интерфейсами) > Load Balancer.

Выполните следующие команды в Azure CLI.

1. Повторно запустите инвентаризацию с шага 5 и запишите все Приватный канал службы, правила, пробы, серверного пула и имени связи внутреннего сетевого адаптера. Вы используете эти имена в следующих шагах. Не продолжайте работу до тех пор, пока не будете иметь полный список.

2. Удалите все службы Приватный канал, которые выступают в роли внешнего интерфейса для этого балансировщика нагрузки. Служба Приватный канал содержит самую сильную ссылку, поэтому сначала удалите ее.

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:        " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:         " RG
read -rp "Private Link Service Name (from A.1): " PLS_NAME

az network private-link-service delete \
  --name "$PLS_NAME" \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION"

Повторите для каждой службы Приватный канал, указанной на шаге 1.

3. Удалите каждое правило для исходящего трафика.

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG
[ -z "$RESOURCE_NAME" ] && read -rp "Load Balancer Name: " RESOURCE_NAME
read -rp "Outbound Rule Name (from A.1): " OUTBOUND_RULE_NAME

az network lb outbound-rule delete \
  --lb-name "$RESOURCE_NAME" \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION" \
  --name "$OUTBOUND_RULE_NAME"

Повторите для каждого правила исходящего трафика, указанного в шаге 1.

4. Удалите каждое правило балансировки нагрузки и каждое правило NAT для входящего трафика.

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG
[ -z "$RESOURCE_NAME" ] && read -rp "Load Balancer Name: " RESOURCE_NAME
read -rp "Load-balancing Rule Name (from A.1): " LB_RULE_NAME

az network lb rule delete \
  --lb-name "$RESOURCE_NAME" \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION" \
  --name "$LB_RULE_NAME"

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG
[ -z "$RESOURCE_NAME" ] && read -rp "Load Balancer Name: " RESOURCE_NAME
read -rp "Inbound NAT Rule Name (from A.1): " NAT_RULE_NAME

az network lb inbound-nat-rule delete \
  --lb-name "$RESOURCE_NAME" \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION" \
  --name "$NAT_RULE_NAME"

Повторите каждую команду для каждого правила, указанного на шаге 1.

5. Удалите каждую пробу.

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG
[ -z "$RESOURCE_NAME" ] && read -rp "Load Balancer Name: " RESOURCE_NAME
read -rp "Probe Name (from A.1): " PROBE_NAME

az network lb probe delete \
  --lb-name "$RESOURCE_NAME" \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION" \
  --name "$PROBE_NAME"

Повторите для каждой пробы, указанной на шаге 1.

6. Удалите все привязки сетевых интерфейсов к внутреннему пулу серверов, а затем удалите этот внутренний пул серверов. Идентификаторы привязки NIC на внутреннем сервере указываются на шаге 1 как backendNicAssociations (или как backendIPConfigCount для классического пула). Каждый идентификатор имеет форму .../networkInterfaces/<nicName>/ipConfigurations/<ipConfigName>.

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG
[ -z "$RESOURCE_NAME" ] && read -rp "Load Balancer Name: " RESOURCE_NAME
[ -z "$BACKEND_POOL_NAME" ] && read -rp "Backend Pool Name (from A.1): " BACKEND_POOL_NAME
read -rp "NIC Name (from a backend association ID): " NIC_NAME
read -rp "IP Config Name (from the same ID):        " IP_CONFIG_NAME

az network nic ip-config address-pool remove \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION" \
  --nic-name "$NIC_NAME" \
  --ip-config-name "$IP_CONFIG_NAME" \
  --lb-name "$RESOURCE_NAME" \
  --address-pool "$BACKEND_POOL_NAME"

Повторите для каждого идентификатора связи сетевого адаптера из шага 1. После отсутствия членов пула удалите его:

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG
[ -z "$RESOURCE_NAME" ] && read -rp "Load Balancer Name: " RESOURCE_NAME
[ -z "$BACKEND_POOL_NAME" ] && read -rp "Backend Pool Name (from A.1): " BACKEND_POOL_NAME

az network lb address-pool delete \
  --lb-name "$RESOURCE_NAME" \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION" \
  --name "$BACKEND_POOL_NAME"

7. При каждом удалении зависимостей удалите Load Balancer.

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG
[ -z "$RESOURCE_NAME" ] && read -rp "Load Balancer Name: " RESOURCE_NAME

az network lb delete \
  --name "$RESOURCE_NAME" \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION"

8. Повторно выполните шаг 1. Успешная операция удаления возвращает значение ResourceNotFound для балансировщика нагрузки. Если удаление по-прежнему завершается ошибкой из-за того, что объект используется, повторно выполните Step 5, так как одна из зависимостей была пропущена. Удалите его и повторите шаг 7.

Разрешение B

Запрещающее назначение владеет балансировщиком нагрузки. Такая принадлежность является обычной для балансировщика нагрузки, который создается и управляется службой платформы. Например, AKS или контейнерные приложения создают назначение, защищенное системой, чтобы клиенты не могли удалять ресурсы из него. Стек развертывания Azure с параметром denyDelete запрета denyWriteAndDelete или управляемое приложение Azure (назначение запрета защищает управляемую группу ресурсов) также владеет балансировщиком нагрузки. Устаревшее назначение запрета, оставшееся после неудачного перемещения ресурса, также может блокировать балансировщик нагрузки. Невозможно удалить Load Balancer напрямую. Необходимо удалить источник запрещающего назначения. Имя запрещающего назначения, возвращаемое на шаге 4, обычно напрямую указывает на этот источник (например, created by Deployment Stack ... или created by managed application ...).

Выполните следующие команды в Azure CLI.

1. Определите источник. Проверьте субъекты назначения запрета из шага 4, а затем проверьте в журнале действий операцию, в результате которой был создан ресурс или назначение запрета.

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG

az monitor activity-log list \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION" \
  --offset 30d \
  --query "[?contains(to_string(authorization.action), 'loadBalancers') || contains(to_string(operationName.value), 'denyAssignment')].{time:eventTimestamp, caller:caller, op:operationName.localizedValue, status:status.value}" \
  --output json

Определите, какая управляемая служба владеет Load Balancer:

• Группа ресурсов узла с именем MC_<rg>_<cluster>_<region> и идентификатор вызывающей стороны для AKS указывают на балансировщик нагрузки, управляемый AKS.
• Вызывающая сторона Microsoft.App указывает на балансировщик нагрузки, управляемый Container Apps.
• Субъект, не являющийся субъектом-службой, с операцией перемещения Failed указывает на устаревшее запрещающее назначение после частичного перемещения ресурса.

2. Найдите родительский управляемый ресурс, который владеет балансировщиком нагрузки. Для балансировщика нагрузки, управляемого AKS, кластер выступает владельцем, а сам балансировщик нагрузки находится в группе ресурсов узлов кластера.

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION

# Find AKS clusters whose node resource group matches the LB's resource group.
[ -z "$RG" ] && read -rp "Load Balancer Resource Group: " RG

az aks list \
  --subscription "$SUBSCRIPTION" \
  --query "[?nodeResourceGroup=='$RG'].{cluster:name, clusterResourceGroup:resourceGroup, nodeResourceGroup:nodeResourceGroup}" \
  --output json

3. Отмена эксплуатации кластера AKS. При удалении кластера одновременно удаляются запрещающее назначение и балансировщик нагрузки, управляемый платформой.

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:        " SUBSCRIPTION
read -rp "Cluster Resource Group (from B.2): " CLUSTER_RG
read -rp "AKS Cluster Name (from B.2):       " CLUSTER_NAME

az aks delete \
  --name "$CLUSTER_NAME" \
  --resource-group "$CLUSTER_RG" \
  --subscription "$SUBSCRIPTION" \
  --yes

4. Повторно выполните шаг 1. Теперь балансировщик нагрузки должен возвращать ResourceNotFound. Если назначение запрета остается после удаления родительской службы, оно становится осиротевшим. Откройте запрос поддержка Azure, чтобы удалить его.

Резолюция C

Блокировка управления (CanNotDeleteилиReadOnly) в Load Balancer, ее группа ресурсов или унаследованная родительская область блокирует операцию удаления. Перед продолжением операции удаления необходимо удалить блокировку.

Выполните следующие команды в Azure CLI.

1. Подтвердите область блокировки и название в шаге 2. Обратите внимание, находится ли блокировка в Load Balancer, группе ресурсов или подписке. Его необходимо удалить в области, в которой она определена.

2. Удалите блокировку. Используйте область, в которой Шаг 2 обнаружил блокировку.

Для блокировки ресурса Load Balancer:

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG
[ -z "$RESOURCE_NAME" ] && read -rp "Load Balancer Name: " RESOURCE_NAME
[ -z "$LOCK_NAME" ] && read -rp "Lock Name (from Step 2): " LOCK_NAME

az lock delete \
  --name "$LOCK_NAME" \
  --resource "$RESOURCE_NAME" \
  --resource-type "Microsoft.Network/loadBalancers" \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION"

Для блокировки группы ресурсов:

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG
[ -z "$LOCK_NAME" ] && read -rp "Lock Name (from Step 2): " LOCK_NAME

az lock delete \
  --name "$LOCK_NAME" \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION"

Для блокировки подписки:

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$LOCK_NAME" ] && read -rp "Lock Name (from Step 2): " LOCK_NAME

az lock delete \
  --name "$LOCK_NAME" \
  --subscription "$SUBSCRIPTION"

3. Повторно запустите шаг 2 , чтобы подтвердить отсутствие блокировок, а затем повторите операцию удаления с шага 1. Если операция удаления завершается сбоем с другой ошибкой, вернитесь на карту принятия решений и определите лучший курс. Блокировка может маскировать зависимость, которая будет отображаться только после удаления блокировки.

Разрешение D

Назначение Политика Azure с эффектом deny (возможно, унаследованным от родительской группы управления) блокирует операцию удаления. Чтобы устранить эту проблему, добавьте исключение политики для группы ресурсов (или конкретного ресурса) или измените назначение, если вы его владеете.

Выполните следующие команды в Azure CLI.

1. Подтвердите назначение блокировки на шаге 3. Вам нужен идентификатор назначения политики или полный идентификатор ресурса. Укажите это в следующих командах:

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG
read -rp "Policy Assignment Name (from Step 3 / error): " POLICY_ASSIGNMENT_NAME

az policy assignment show \
  --name "$POLICY_ASSIGNMENT_NAME" \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION" \
  --query "{id:id, scope:scope, policyDefinitionId:policyDefinitionId}" \
  --output json

Если назначение ограничивается группой управления, сообщение об ошибке и scope поле отображают путь к группе управления. Укажите полный идентификатор назначения для исключения.

2. Создайте исключение политики для группы ресурсов, чтобы операция удаления была разрешена. Используйте идентификатор назначения из шага 1.

# ── Collect inputs (cached if already set in this session) ──
[ -z "$SUBSCRIPTION" ] && read -rp "Subscription ID:    " SUBSCRIPTION
[ -z "$RG" ] && read -rp "Resource Group:     " RG
read -rp "Policy Assignment ID (from D.1): " POLICY_ASSIGNMENT_ID
[ -z "$EXEMPTION_NAME" ] && read -rp "Exemption Name:     " EXEMPTION_NAME

az policy exemption create \
  --name "$EXEMPTION_NAME" \
  --policy-assignment "$POLICY_ASSIGNMENT_ID" \
  --exemption-category "Waiver" \
  --resource-group "$RG" \
  --subscription "$SUBSCRIPTION"

3. Повторите удаление, начиная с шага 1. Если операция удаления завершается сбоем с другой ошибкой, вернитесь на карту принятия решений и определите лучший курс. Если RequestDisallowedByPolicy сохраняется, блокирующее назначение находится на более высоком уровне области видимости, чем ваше исключение. Повторно выполните шаг 3, определите назначение на родительском уровне (на уровне группы управления) и создайте исключение в правильной области или попросите владельца политики скорректировать это назначение.

References

• Управление ресурсами Azure Load Balancer
• Блокировка ресурсов для защиты инфраструктуры
• Описание запретов назначений в Azure
• структура исключений Политики Azure
• Удаление кластера AKS и группы ресурсов узла