> 核心功能: 本技能提供时使用、、工作流优化时使用等能力。

> 核心功能: 本技能提供中文交互等能力。

> 核心功能: 本技能提供、多订阅多租户管理场景等能力。

Azure 云架构师

使用本地 Azure CLI 回答关于 Azure 资源的问题。默认只读查询，仅在用户明确要求变更并确认后执行写/破坏性操作.

参数说明

付费版进阶功能

安装与配置

运行环境

• Agent平台: 支持SKILL.md的任意AI Agent（Claude Code / Cursor / Codex / Gemini CLI等）
• 操作系统: Windows / macOS / Linux

依赖项

API Key 配置

需要配置对应API Key，详见上文环境配置章节

可用性分类

• 分类: MD+EXEC（）

API Key配置方式:

export API_KEY="${API_KEY:?请设置环境变量}"

配置后需重启会话或开启新终端生效。API Key应妥善保管,避免泄露到版本控制系统.

功能能力

1. 多订阅导航器

自动列出所有可访问订阅，智能检测默认订阅，支持按名称或 ID 切换，避免在错误订阅执行操作.

2. 分层权限模型

L0 只读直接执行、L1 预演展示计划、L2 确认写、L3 破坏性详细影响分析、L4 敏感操作双重确认，保障生产环境安全.

3. 安全审计剧本

RBAC 角色审计（检测 Owner 过度授权）、存储安全检查（公共访问/HTTPS/TLS）、NSG 规则检查（0.0.0.0/0 入站）、Key Vault 访问审计.

4. 成本分析工作流

按资源组/服务维度查询 Cost Management，识别空闲资源（停止的 VM/未挂载磁盘/未使用公网 IP）以优化成本.

5. 跨订阅批量操作

提供跨订阅遍历模板，统一执行 VM 列举、NSG 检查等操作，避免遗漏订阅.

适用范围

不适用于: Azure Portal GUI 操作指导（本 skill 基于 CLI），非 Azure 云平台（AWS/GCP/阿里云），需要 Azure SDK 编程开发场景.

操作步骤

Step 1: 确认登录身份

az account show

如未登录，运行 az login --use-device-code（SSH 环境适用），终端会显示码和 URL，在浏览器中完成登录.

Step 2: 选择订阅（多订阅时）

# 列出所有可访问的订阅
az account list --output table
# ...
# 设置活跃订阅（按名称或ID）
az account set --subscription "Production"

订阅选择规则: 用户明确指定 → 使用指定；未指定但有默认 → 使用默认；无默认且多个 → 询问用户；仅一个 → 直接使用.

Step 3: 执行只读查询

根据需求执行 list/show/get 类命令，结果以表格形式展示便于阅读.

Step 4: 写操作预演（如需变更）

• 优先使用 --dry-run 或 --what-if 预演
• 展示影响范围与计划
• 等待用户显式确认

Step 5: 执行变更并验证

确认后执行写/破坏性操作，执行后用只读命令验证结果.

案例展示

案例1: 虚拟机清单与健康状态检查

场景: 运维人员需要快速检查当前订阅里有哪些虚拟机及运行状态

az vm list --query '[].{Name:name,ResourceGroup:resourceGroup,State:powerState}' -d --output table

预期输出:

Name           ResourceGroup    State
-------------  ---------------  --------
prod-web-01    prod-rg          VM running
prod-web-02    prod-rg          VM running
dev-test-01    dev-rg           VM stopped

分析: dev-test-01 处于 VM stopped 状态，如非计划停机可能造成资源浪费。-d 参数用于显示实例视图状态，便于确认电源状态.

案例2: RBAC 角色审计（最小权限检查）

场景: 安全团队需要审计当前订阅里谁有 Owner 角色，检查是否有过度授权

az role assignment list --role "Owner" \
  --query '[].{Assignee:principalName,Scope:scope}' --output table

预期输出:

Assignee               Scope
---------------------  ------------------------------------
admin@company.com      /subscriptions/未指定-未指定-未指定
deploy-spn@company.com /subscriptions/未指定-未指定-未指定/resourceGroups/prod-rg

审计结论: 发现 2 个 Owner 分配。deploy-spn@company.com 为部署服务主体，其作用域限定在 prod-rg，但 Owner 权限过高。建议降级为 Contributor，遵循最小权限原则。生产订阅的 Owner 角色应仅授予少数管理员.

案例3: 跨订阅成本分析（按资源组分组）

场景: 财务团队需要了解本月各资源组的成本分布以优化支出

az costmanagement query --type ActualCost \
  --timeframe MonthToDate \
  --dataset-grouping name=ResourceGroupName type=Dimension \
  --dataset-aggregation totalCost=name=Cost function=Sum

预期输出:

ResourceGroupName    Cost    Currency
-------------------  ------  --------
prod-rg              4523.67 USD
dev-rg               892.15  USD
shared-rg            2156.43 USD

分析: prod-rg 成本占比最高，建议进一步检查是否有空闲资源。可结合 az vm list -d 查找 VM stopped 的实例、az disk list --query '[?diskState==Attached]' 查找未挂载磁盘，识别可释放的空闲资源以降低成本.

错误恢复方案

安全审计剧本

RBAC 角色审计

# 检查 Owner 角色分配（高风险）
az role assignment list --role "Owner" --query '[].{Assignee:principalName,Scope:scope}' --output table
# ...
# 检查 Contributor 角色分配（中风险，作用域过大时需关注）
az role assignment list --role "Contributor" --query '[].{Assignee:principalName,Scope:scope}' --output table

建议将非管理员的 Owner 角色降级为 Contributor，部署服务主体限定作用域。Owner 角色应仅授予少数管理员，生产订阅控制在 2-3 人以内.

NSG 规则检查

# 列出所有 NSG
az network nsg list --query '[].{Name:name,ResourceGroup:resourceGroup}' --output table
# ...
# 检查特定 NSG 的入站规则
az network nsg rule list --nsg-name NSG_NAME --resource-group RG_NAME \
  --query "[?sourceAddressPrefix=='*' && direction=='Inbound'].{Name:name,Port:destinationPortRange,Priority:priority}" --output table

重点排查 22（SSH）、3389（RDP）、3306（MySQL）、1433（SQL Server）等敏感端口对公网开放的情况。建议使用 Just-In-Time 访问或堡垒机替代直接开放管理端口.

存储安全检查

# 检查存储账户公共访问设置
az storage account list --query '[].{Name:name,AllowBlobPublicAccess:allowBlobPublicAccess,HttpsOnly:enableHttpsTrafficOnly}' --output table

AllowBlobPublicAccess 为 true 的存储账户存在数据泄露风险，建议关闭公共访问。HttpsOnly 为 false 的账户应立即启用 HTTPS 强制传输.

Key Vault 访问审计

# 检查 Key Vault 访问策略
az keyvault list --query '[].{Name:name,ResourceGroup:resourceGroup}' --output table

审计 Key Vault 的访问策略，确认是否使用 RBAC 权限模型替代传统访问策略，限制机密读取范围.

成本优化策略

• 使用 az vm list -d 识别 VM stopped 状态的实例，评估是否可释放
• 查找未挂载磁盘：az disk list --query '[?diskState==Unattached]'
• 查找未使用公网 IP：az network public-ip list --query '[?ipConfiguration==null]'
• 设置预算告警：在 Azure Portal 配置 Cost Management 预算阈值
• 考虑预留实例或 Savings Plans 降低长期 VM 成本

问答集成汇总

Q1: 如何切换订阅？

A: 使用 az account set --subscription "订阅名" 或 az account set --subscription "订阅ID"。结果为订阅范围时明确说明使用的订阅，避免在错误订阅执行操作.

Q2: 设备码登录怎么用？

A: 运行 az login --use-device-code，终端会显示一个码和 URL。在浏览器中打开 URL，输入码完成登录。适合无法打开浏览器的 SSH 环境.

Q3: 命令执行失败提示权限不足？

A: 检查当前身份 az account show，确认关联的 RBAC 角色是否包含所需权限。只读操作至少需要 Reader 角色，写操作需要 Contributor，角色管理需要 User Access Administrator.

Q4: 如何安全地执行破坏性操作？

A: 1) 先用 --what-if 或 --dry-run 预演；2) 列出精确影响范围；3) 等待用户显式确认；4) 执行后验证结果。绝不在未确认时执行破坏性操作，L3/L4 级操作需双重确认.

Q5: 多租户如何管理？

A: 使用 az login --workspace <workspace-id> 登录特定租户。使用 az account list --query '[].workspaceId' 查看可访问的租户。跨租户操作时需重新登录目标租户.

Q6: Cost Management 返回空结果怎么办？

A: 确认订阅类型。CSP（云解决方案提供商）等部分订阅类型可能不支持 Cost Management API，返回空结果。检查是否已在 Azure Portal 启用 Cost Management 数据，数据通常有 8-12 小时延迟.

Q7: 如何识别空闲资源以降低成本？

A: 结合多条命令识别：用 az vm list -d 查找 VM stopped 实例，用 az disk list --query '[?diskState==Unattached]' 查找未挂载磁盘，用 az network public-ip list --query '[?ipConfiguration==null]' 查找未关联的公网 IP。释放这些空闲资源可显著降低月度成本.

功能边界

1. 仅支持 Azure CLI 命令: 不提供 Azure Portal GUI 操作指导，不覆盖 Azure SDK 编程开发场景
2. 依赖本地 Azure CLI 环境: 需提前安装并配置 Azure CLI，未安装时无法使用
3. 成本查询依赖订阅类型: CSP 等部分订阅类型可能不支持 Cost Management，返回空结果
4. 跨订阅操作性能受限: 遍历多订阅时为串行执行，订阅数量多时耗时较长
5. 不修改 Azure 资源默认行为: 所有写操作需用户显式确认，自动化流水线场景需额外集成确认机制
6. Cost Management 数据延迟: 成本数据通常有 8-12 小时延迟，当天数据可能不可用
7. CloudShell 限制: 在 Azure CloudShell 中部分交互式命令行为与本地 CLI 不同，建议使用本地环境

诊断与修复

技术创新

功能介绍

• 自动化执行: 基于Azure CLI的多订阅导航、RBAC角色审计、成本分析、合规检查、跨订阅批量操作。基于 Azure CLI 的智
• 文件处理: 支持多种文件格式的读取、解析和写入操作
• API集成: 通过标准化接口调用外部服务并处理响应
• 命令执行: 在安全沙箱中执行系统命令并收集结果
• 信息检索: 快速搜索和过滤目标数据

效率指标

优势对比

帮助手册

Q1: Azure云架构师支持哪些输入格式？

A1: 基于Azure CLI的多订阅导航、RBAC角色审计、成本分析、合规检查、跨订阅批量操作。基于 Azure CLI 的智能云基础设施管理助手。提供多订阅导航、R。支持文本指令和结构化参数输入，具体格式参考使用流程章节。

Q2: 需要配置API Key吗？

A2: 是的，部分功能需要配置对应平台的API Key。请在依赖说明章节查看具体要求，并通过环境变量安全配置。

Q3: 命令行执行失败怎么办？

A3: 检查命令参数是否正确，确认运行环境支持exec能力。如遇权限问题，请参照错误处理章节排查。

功能清单

• 文件处理: 支持多种文件格式的读取、解析和写入操作
• API集成: 通过标准化接口调用外部服务并处理响应
• 命令执行: 在安全沙箱中执行系统命令并收集结果
• 信息检索: 快速搜索和过滤目标数据

错误恢复指南

针对Azure云架构师使用中可能遇到的常见问题,提供以下排查方案:

Azure云架构师通用排查步骤

1. 检查输入参数: 确认所有必填参数已提供且格式正确
2. 查看日志输出: 定位具体错误行和异常类型
3. 验证环境配置: 确认依赖库版本和运行环境满足要求
4. 逐步调试: 缩小问题范围,隔离故障模块

安装步骤

1. 配置API密钥: 在环境变量中设置对应的API Key
2. 初始化连接: 使用提供的凭证建立API连接
3. 调用接口: 传入必要参数执行API调用
4. 准备文件: 确认文件路径正确且格式受支持
5. 执行处理: 调用对应的处理函数
6. 查看结果: 检查输出文件或返回数据
7. 检查环境: 确认运行时和依赖已安装
8. 执行命令: 使用正确的参数格式执行
9. 查看输出: 检查命令输出和退出码

前置条件

• 已安装所需运行环境(参考依赖说明)
• 已获取必要的API密钥或访问凭证(如适用)
• 输入数据已准备就绪

依赖说明

运行环境

• Agent 平台: 支持SKILL.md的任意AI Agent
• 操作系统: Windows / macOS / Linux

可用性分类

• 分类: MD（纯Markdown指令，通过自然语言驱动Agent完成操作）
• 说明: 基于Markdown的AI Skill，通过自然语言指令驱动Agent完成操作。