限制非所有者使用 Azure Policy 更改 Azure 数据工厂的协作分支

Question

我们想对 Azure 数据工厂施加以下限制

1. 不要让用户将协作分支从开发更改为其他任何东西。
2. 如果需要，仅允许所有者将协作分支更改为任何其他分支。

我们能够使用以下策略实现#1 功能

{
  "mode": "All",
  "policyRule": {
  "if": {
  "allOf": [
    {
      "field": "type",
      "equals": "Microsoft.DataFactory/factories"
    },
    {
      "field": "name",
      "equals": "adfproject-dev-df1"
    },
    {
      "field": "Microsoft.DataFactory/factories/repoConfiguration.collaborationBranch",
      "notEquals": "develop"
    }
  ]
},
"then": {
  "effect": "deny"
}

},"参数": {}}

但是，以下规则（在#2 的 allOf 条件/数组中不起作用。任何指针都会有很大帮助。

 "field": "Microsoft.Authorization/roleAssignments/principalRole",
 "notEquals": "Owner"

谢谢， 普拉文