azure-infra

Azure Infra Skill 是一款面向 Azure 云环境的对话式基础设施管理助手，通过封装 Azure CLI 命令为用户提供直观高效的资源查询与审计能力。

核心用法：该 Skill 主要用于对话式查询 Azure 资源状态，涵盖虚拟机、存储账户、AKS 集群、应用服务、Key Vault、Azure Monitor 等全栈服务。默认采用严格的只读策略，使用 list、show、get 等查询命令获取资源配置、健康指标及安全状况。对于任何写入或破坏性操作（如资源删除、IAM 修改、计费调整），系统会明确展示拟执行的 CLI 命令并要求用户显式确认，优先支持 --dry-run 预演模式，确保操作可预期。

显著优点：安全性设计尤为突出，通过"默认只读+强制确认"的双重机制有效防范误操作风险；功能覆盖全面，从资源盘点到 RBAC 审计、从成本分析到安全合规检查均可胜任；交互门槛低，将复杂的 Azure CLI 语法转化为自然语言对话，提升运维效率；透明度高，所有操作指令清晰可见，便于审计追溯。

潜在缺点与局限性：作为纯文档型 Skill，其本身不直接执行代码，依赖用户手动在本地 Azure CLI 中运行命令，自动化程度有限；T3 社区来源虽经安全审计，但缺乏官方企业级背书；对于跨订阅的大规模资源查询可能存在性能瓶颈；无法替代 Azure Portal 的图形化深度配置功能。

适合目标群体：主要面向云运维工程师（SRE）、DevOps 专家、安全合规审计员及 Azure 解决方案架构师。特别适合需要定期执行资源盘点、安全基线检查、成本优化分析的技术团队，以及偏好命令行交互但希望降低记忆负担的中高级 Azure 用户。

使用风险：尽管 Skill 本身无代码执行风险，但实际使用中仍需注意：用户通过 Azure CLI 执行命令时继承本地凭证权限，若持有 Owner/Contributor 等高危角色，误操作可能影响整个订阅；多订阅环境下需明确指定 --subscription 参数，避免误操作生产环境；网络不稳定可能导致大型资源列表查询超时或中断；建议始终遵循最小权限原则，为日常查询创建只读服务主体。

核心用法

azure-infra 是一款基于 Chat 的 Azure 基础设施辅助工具，核心能力在于通过调用本地安装的 Azure CLI（az 命令）帮助用户查询、审计和监控各类 Azure 资源。其典型使用场景包括：

• 资源清单查询：VM、存储账户、AKS、App Service、Key Vault、函数应用等的列表与详情查看
• 健康与故障排查：利用 Azure Monitor 指标和日志查询资源运行状态
• 安全合规检查：RBAC 角色审计、存储公网暴露分析、NSG 规则审查、Key Vault 访问策略验证
• 成本管理：只读方式访问 Cost Management 数据，了解订阅级消费情况
• 变更规划：当用户提出修改需求时，Skill 会先展示精确的 CLI 命令及影响范围，经显式确认后才执行

使用流程遵循「先只读后变更」的安全模式：首先验证登录状态（az account show），按需切换订阅，默认以 list/show/get 等只读命令响应，仅在用户明确要求且二次确认后才会进入写操作路径。

显著优点

1. 零代码执行风险：该 Skill 为纯 Markdown 文档型（T-MD），不含任何可执行代码块，本质安全
2. 最小权限原则：设计上强制「只读优先」，所有写/删除/销毁类操作必须经用户显式确认
3. 本地 CLI 依赖：直接调用用户本机 Azure CLI，不引入额外的网络出口或第三方 API，避免密钥外泄
4. 透明可审计：所有拟执行命令均先展示给用户，支持 --dry-run 预演，符合运维审计要求
5. 多订阅与租户感知：自动识别默认订阅，同时支持用户指定特定订阅或租户，输出结果明确标注作用域

潜在局限

• 依赖本地环境：需用户预先安装并登录 Azure CLI，若环境未配置或令牌过期则无法使用
• 无图形化反馈：纯文本交互，复杂拓扑或资源依赖关系需用户自行在 Portal 中可视化确认
• CLI 版本差异：不同 az 版本命令参数可能存在差异，Skill 提供的命令模板需根据实际环境微调
• 非实时同步：CLI 查询结果受 Azure ARM 缓存影响，极个别场景下与 Portal 展示存在分钟级延迟

适合人群

• 云运维工程师与 SRE：日常巡检、批量资源审计、成本分析
• 安全合规团队：RBAC 审查、公网暴露面排查、密钥管理审计
• 开发团队：快速查询测试环境资源状态、诊断函数应用与容器服务异常
• FinOps 角色：订阅级成本监控与资源利用率初筛

常规风险提示

• 订阅权限误操作：虽然 Skill 强制二次确认，但用户仍需留意当前生效的订阅上下文，避免在错误订阅中执行变更
• 敏感信息输入：Skill 本身不收集密钥，但在 CLI 交互过程中用户可能主动输入密码或 SAS Token，建议在安全终端环境中使用
• 大规模变更影响：对生产环境进行批量标签更新、停机缩容等操作时，建议先在测试订阅验证命令逻辑