azure arm策略拒绝不带标记的资源组

我想写一个Azure ARM策略来拒绝创建没有标记的资源组。这是我当前的政策规则：

{
  "$schema": "http://schema.management.azure.com/schemas/2015-10-01-preview/policyDefinition.json",
  "if": {
    "allOf": [
      {
        "field": "tags",
        "exists": false
      },
      {
        "field": "type",
        "like": "resourceGroup*"
      }
    ]
  },
  "then": {
    "effect": "deny"
  }
} 

这不会阻止创建没有标记的RG

如果我将策略规则更改为：

{
  "$schema": "http://schema.management.azure.com/schemas/2015-10-01-preview/policyDefinition.json",
  "if": {
        "field": "tags",
        "exists": false
      },
  "then": {
    "effect": "deny"
  }
} 

然后，如果所有资源（包括RG）没有标记，则拒绝它们

因此，我得出结论，这是“字段类型类似于resourcegroup*”条件的一部分，但我找不到正确的语法使其按我想要的方式工作

这可能吗？正确的语法是什么

---

（我不在乎是否创建了没有标记的其他资源类型的原因是，我们有一个Azure Automation runbook，它获取RG的标记，然后将这些标记应用于子资源-这也是我希望确保人们首先创建带有标记的父RG的原因）。

尝试一下此策略定义：

    "if": {
      "allOf": [
        {
          "field": "tags",
          "exists": "false"
        },
        {
          "field": "type",
          "equals": "Microsoft.Resources/subscriptions/resourceGroups"
        }
      ]
    },
    "then": {
      "effect": "deny"
    }

---

注意：我必须等待几分钟，以使其始终工作。

尝试一下此策略定义：

    "if": {
      "allOf": [
        {
          "field": "tags",
          "exists": "false"
        },
        {
          "field": "type",
          "equals": "Microsoft.Resources/subscriptions/resourceGroups"
        }
      ]
    },
    "then": {
      "effect": "deny"
    }

注意：我不得不等几分钟，它才能持续工作