Azure Infra

输入参数

专业版增强能力

概述

通过本地 Azure CLI（az 命令）查询与管理 Azure 资源。默认所有操作为只读查询；仅当用户明确请求变更并确认后，才执行写操作或破坏性操作.

快速入门

1. 检查 CLI 是否安装：az --version。若未安装，提示用户安装 Azure CLI.
2. 检查登录状态：az account show。若未登录，引导用户执行 az login --use-device-code.
3. 确认订阅上下文：若存在多个订阅，询问用户选择目标订阅；否则使用默认订阅.
4. 使用只读命令回答用户问题.
5. 若用户请求变更，列出完整命令与影响范围，等待用户确认后执行.

安全规则（必须遵守）

• 默认所有操作为只读，除非用户明确请求变更并确认.
• 任何潜在破坏性变更（delete / terminate / destroy / modify / scale / billing / IAM 凭据）必须经过确认步骤.
• 优先使用 --dry-run 或 what-if 参数，先展示执行计划再运行.
• 禁止输出或记录任何密钥（access key、client secret、token、password）。查询 Key Vault 机密时只展示机密名称与元数据，不展示值.
• 写操作执行前，向用户展示完整命令、目标资源 ID、预期影响.

订阅与租户处理

• 用户指定订阅/租户时，使用 az account set --subscription <id> 切换并说明.
• 未指定时，使用 az account show 返回的默认订阅.
• 查询结果涉及订阅范围时，明确标注所用订阅名称与 ID.
• 跨订阅查询时，先 az account list --query "[].{name:name,id:id}" -o table 列出可用订阅，逐个查询或使用 --query 过滤.

运行环境

运行环境

• Agent平台: 支持SKILL.md的任意AI Agent（Claude Code / Cursor / Codex / Gemini CLI等）
• 操作系统: Windows / macOS / Linux

依赖项

API Key 配置

需要配置对应API Key，详见上文环境配置章节

可用性分类

• 分类: MD+EXEC（）

API Key配置方式:

export API_KEY="${API_KEY:?请设置环境变量}"

配置后需重启会话或开启新终端生效。API Key应妥善保管,避免泄露到版本控制系统.

能力概览

资源清单查询

健康与诊断

• 活动日志：az monitor activity-log list --resource-group <rg> --status Failed -o table
• 指标查询：az monitor metrics list --resource <resource-id> --metric "Percentage CPU" --interval PT1H -o table
• 资源健康：az resource health --resource <resource-id>
• VM 启动诊断：az vm boot-diagnostics get-boot-log --name <vm> --resource-group <rg>

安全审计

• RBAC 角色：az role assignment list --resource-group <rg> --query "[].{user:principalName,role:roleDefinitionName}" -o table
• NSG 规则：az network nsg rule list --nsg-name <nsg> -g <rg> --query "[].{name:name,access:access,destPort:destinationPortRange}" -o table
• 存储公开访问：az storage container list --account-name <acct> --query "[].{name:name,perm:publicAccess}" -o table
• Key Vault 策略：az keyvault show --name <vault> --query "properties.accessPolicies"

成本分析

• 按订阅查询：az costmanagement query --type ActualCost --timeframe MonthToDate --scope "subscriptions/<sub-id>"
• 按资源组：追加 --query "items[*].properties" 过滤分组维度

输出: 返回成本分析的解析响应,包含完成状态码、响应数据和完成日志。

变更任务（需确认）

解析: 解析变更任务（需确认）的输入参数,完成核心解析逻辑,返回结构化响应和完成状态. 输出: 返回变更任务（需确认）的解析响应,包含完成状态码、响应数据和完成日志.

工作流程

1. 意图识别：判断用户请求是查询（只读）还是变更（写操作）.
2. 前置检查：CLI 安装、登录状态、订阅上下文.
3. 只读执行：查询类请求直接执行 list/show/get 命令.
4. 写操作确认：变更类请求展示完整命令 + 目标资源 + 影响 → 等待用户确认 → 执行.
5. 结果呈现：结构化输出结果，标注所用订阅，隐藏敏感字段.

案例展示

案例 1：盘点虚拟机并识别可回收的停止实例

用户请求：帮我看一下这个订阅里有哪些虚拟机是停止状态，可以省钱. 执行流程：

# 1. 确认当前订阅
az account show --query "{name:name,id:id}" -o table
# ...
# 2. 列出所有虚拟机及其电源状态（只读）
az vm list --show-details --query "[].{name:name,rg:resourceGroup,state:powerState,sku:hardwareProfile.vmSize}" -o table
# ...
# 3. 过滤出已停止/已释放的实例
az vm list --show-details --query "[?powerState=='VM deallocated'].{name:name,rg:resourceGroup,sku:hardwareProfile.vmSize}" -o table

输出说明：列出所有 VM deallocated 状态的实例，标注资源组与规格。若用户决定释放或删除，展示 az vm deallocate / az vm delete 命令并等待确认.

案例 2：安全审计 NSG 暴露面与公开存储

用户请求：检查我的网络有没有把 RDP 或 SSH 端口暴露给公网，再看下存储账户有没有公开的容器. 执行流程：

# 1. 列出所有 NSG 规则中允许公网访问 3389/22 的条目
az network nsg list --query "[].{name:name,rg:resourceGroup}" -o table
az network nsg rule list --nsg-name <nsg> -g <rg> --query "[?destinationPortRange=='3389' || destinationPortRange=='22' || destinationPortRange=='*'].{name:name,access:access,source:sourceAddressPrefix,port:destinationPortRange}" -o table
# ...
# 2. 检查存储账户容器的公开访问配置
az storage account list --query "[].name" -o tsv
az storage container list --account-name <acct> --query "[?publicAccess!='None'].{name:name,perm:publicAccess}" -o table

输出说明：汇总暴露 RDP/SSH 给 0.0.0.0/0 的 NSG 规则、公开访问非 None 的存储容器。给出修复建议（如收窄源地址范围、关闭容器公开访问），若用户确认修改再执行 az network nsg rule update.

案例 3：排查虚拟机无法启动故障

用户请求：prod-vm-01 重启后一直起不来，帮我查下原因. 执行流程：

# 1. 查看 VM 实例视图状态
az vm get-instance-view --name prod-vm-01 -g prod-rg --query "instanceView.statuses" -o table
# ...
# 2. 获取启动诊断日志
az vm boot-diagnostics get-boot-log --name prod-vm-01 -g prod-rg
# ...
# 3. 查询最近 1 小时的失败活动日志
az monitor activity-log list --resource prod-vm-01 --resource-group prod-rg --status Failed --offset 1h -o table

输出说明：结合实例视图状态码、启动日志内容（如磁盘满、内核 panic、OSProfile 错误）、活动日志中的失败事件，定位根因并给出修复方向.

异常应对

常见疑问

Q1：如何在多个订阅之间切换查询？

A：先用 az account list --query "[].{name:name,id:id,isDefault:isDefault}" -o table 查看所有订阅，再用 az account set --subscription <id> 切换。每次切换后说明当前订阅。跨订阅统计时可逐个切换查询后汇总.

Q2：查询资源时如何避免返回过多数据？

A：使用 --query 参数配合 JMESPath 语法过滤字段，例如 --query "[].{name:name,rg:resourceGroup}"。也可用 -o table 替代 JSON 输出提升可读性。按资源组或区域加 --resource-group / --location 参数缩小范围.

Q3：删除资源组前能预览会删除哪些资源吗？

A：az group delete 不支持 dry-run，但可先 az resource list --resource-group <rg> -o table 列出组内全部资源，统计数量后向用户展示，等待确认再执行删除.

Q4：如何查看某个用户在订阅里有哪些权限？

A：az role assignment list --assignee <user-email> --all --query "[].{role:roleDefinitionName,scope:scope}" -o table，列出该用户所有角色分配及作用范围.

Q5：Key Vault 里的机密值能直接查出来吗？

A：不展示机密值。只查询机密元数据：az keyvault secret list --vault <vault> --query "[].{name:name,updated:attributes.updated}" -o table。如需查看值，提示用户这属于敏感操作，由用户自行在 Azure Portal 或通过 az keyvault secret show 谨慎操作.

Q6：Cost Management 查询报权限不足怎么办？

A：Cost Management 需要 Cost Management Reader 或更高角色。若权限不足，改用 az consumption usage list（需 Billing Reader）查询用量，或建议用户在 Portal 的 Cost Management 页面查看.

Q7：写操作确认后如何确保不会误删？

A：执行前展示完整命令、目标资源 ID、影响范围；对删除类操作额外要求用户输入资源组名或资源名确认；优先使用 --dry-run 或 what-if（如 ARM 模板部署）预览变更.

能力边界

• 依赖本地 Azure CLI 与网络连接到 Azure ARM 端点，离线不可用.
• 大规模查询（如列出上万资源）可能触发 ARM 限流，需分页或分批.
• 跨租户查询需要用户预先配置并登录对应租户.
• Azure CLI 版本差异可能导致部分命令或参数不可用.
• 中国区 Azure（Azure China 21Vianet）需先 az cloud set --name AzureChinaCloud 切换云环境.

触发条件

• 用户明确提到 Azure、az cli、Azure 资源查询、虚拟机/存储/网络/RBAC/成本等关键词时激活.
• 用户请求涉及其他云平台（AWS、GCP、阿里云）时不触发.

输出说明

{
  "success": true,
  "data": {
    "result": "Azure Infra处理结果",
    "execution_time": "0.5s",
    "metadata": {
      "version": "1.0",
      "processor": "azure-infra"
    }
  },
  "execution_log": [
    "解析输入参数",
    "执行核心处理",
    "格式化输出结果"
  ],
  "error": null
}

排障手册

安全须知

创新亮点

核心特性

• 自动化执行: 通过本地 Azure
• 文件处理: 支持多种文件格式的读取、解析和写入操作
• API集成: 通过标准化接口调用外部服务并处理响应
• 命令执行: 在安全沙箱中执行系统命令并收集结果
• 信息检索: 快速搜索和过滤目标数据

FAQ

Q1: Azure基础设施工具支持哪些输入格式？

A1: 通过本地 Azure。支持文本指令和结构化参数输入，具体格式参考使用流程章节。

Q2: 需要配置API Key吗？

A2: 是的，部分功能需要配置对应平台的API Key。请在依赖说明章节查看具体要求，并通过环境变量安全配置。

Q3: 命令行执行失败怎么办？

A3: 检查命令参数是否正确，确认运行环境支持exec能力。如遇权限问题，请参照错误处理章节排查。

效率量化分析

差异化对比

主要功能

• 自动化执行: 通过本地 Azure
• 文件处理: 支持多种文件格式的读取、解析和写入操作
• API集成: 通过标准化接口调用外部服务并处理响应
• 命令执行: 在安全沙箱中执行系统命令并收集结果
• 信息检索: 快速搜索和过滤目标数据

异常响应

针对Azure基础设施工具使用中可能遇到的常见问题,提供以下排查方案:

Azure基础设施工具通用排查步骤

1. 检查输入参数: 确认所有必填参数已提供且格式正确
2. 查看日志输出: 定位具体错误行和异常类型
3. 验证环境配置: 确认依赖库版本和运行环境满足要求
4. 逐步调试: 缩小问题范围,隔离故障模块

初始配置

1. 配置API密钥: 在环境变量中设置对应的API Key
2. 初始化连接: 使用提供的凭证建立API连接
3. 调用接口: 传入必要参数执行API调用
4. 准备文件: 确认文件路径正确且格式受支持
5. 执行处理: 调用对应的处理函数
6. 查看结果: 检查输出文件或返回数据
7. 检查环境: 确认运行时和依赖已安装
8. 执行命令: 使用正确的参数格式执行
9. 查看输出: 检查命令输出和退出码

前置条件

• 已安装所需运行环境(参考依赖说明)
• 已获取必要的API密钥或访问凭证(如适用)
• 输入数据已准备就绪

Azure基础设施工具通用排查步骤

1. 检查输入参数: 确认所有必填参数已提供且格式正确
2. 查看日志输出: 定位具体错误行和异常类型
3. 验证环境配置: 确认依赖库版本和运行环境满足要求
4. 逐步调试: 缩小问题范围,隔离故障模块

前置条件

• 已安装所需运行环境(参考依赖说明)
• 已获取必要的API密钥或访问凭证(如适用)
• 输入数据已准备就绪