核心用法
Azure Bicep Deploy 是围绕 Azure CLI 构建的基础设施即代码（IaC）部署技能，支持 Bicep 原生语法和 JSON 格式的 ARM 模板两种范式。核心能力包括：
1. 模板部署：通过 az deployment group create 将 .bicep 或 ARM JSON 模板部署到指定资源组，支持参数文件注入实现环境差异化配置
2. 预验证机制：提供 what-if 模拟部署（预览变更影响）和 az bicep build 语法编译检查，降低生产环境误操作风险
3. 多环境管理：通过参数文件隔离（dev/staging/prod）实现同一模板的多环境复用，配合资源组命名策略完成环境隔离
4. 工作负载专项支持：内置 Azure Container Apps 常用模式引用，覆盖容器部署、Ingress 配置、弹性扩缩容等场景
显著优点
- 原生集成：直接调用 Azure CLI，无需额外代理或插件，与 Azure RBAC、服务主体认证体系无缝衔接
- 声明式语法：Bicep 相比传统 ARM JSON 减少约 80% 代码量，支持模块复用和类型安全
- 变更可控：
what-if功能在正式执行前精确展示资源增删改操作，符合 GitOps 审计要求 - 生态成熟：背靠微软官方维护，与 Azure Policy、Blueprint、DevOps Pipelines 深度集成
潜在局限
- Azure 锁定：Bicep 为 Azure 专属 DSL，无法迁移至 AWS/GCP 等其他云平台
- 状态管理弱：缺乏 Terraform 级别的状态文件（state file）机制，依赖 Azure 本身的状态一致性，复杂依赖场景需人工编排
- 调试成本：编译错误提示有时指向生成的 ARM JSON 而非原始 Bicep 位置，定位问题需额外步骤
- 回滚限制：原生不支持自动回滚，需通过部署历史手动还原或使用
--mode Complete谨慎覆盖
适合人群
- 已采用 Azure 作为主云平台的 DevOps 工程师、云架构师
- 需要替代手动门户操作、实现环境标准化配置的中小团队
- 运行容器化工作负载（尤其 Azure Container Apps/Kubernetes）需要快速基础设施编排的场景
常规风险
| 风险类型 | 说明 | 缓解建议 |
|---------|------|---------|
| 权限越权 | CLI 凭据权限过高可能导致非预期资源创建 | 使用服务主体 + 最小权限角色，避免 Owner 级别凭据 |
| 参数泄露 | 参数文件含敏感值（密码、连接字符串）可能入仓 | 结合 Azure Key Vault 引用或 CI/CD 变量注入 |
| 环境漂移 | 本地手动修改与 IaC 模板不一致 | 强制流水线执行，禁用本地直接部署 |
| 误删资源 | `--mode Complete` 会删除模板未定义资源 | 默认使用 Incremental 模式，Complete 模式需二次确认 |
该技能作为 Azure 云原生部署的标准化入口，在可控性与便捷性之间取得平衡，是微软生态内 IaC 实践的推荐路径之一。