Azure Infrastructure Engineer 技能提供 Microsoft Azure 云方面的专业能力，专注于 Bicep/ARM 模板、企业级登录区（Enterprise Landing Zones）和云采用框架（CAF）实现，用于设计并部署具有治理、网络与基础设施即代码能力的企业级 Azure 环境。
用途与适用场景 该技能适用于以下任务：使用 Bicep 或 ARM 模板部署 Azure 资源；设计 Hub-and-Spoke 网络拓扑（虚拟 WAN、ExpressRoute）；实施 Azure Policy 与管理工作组（治理）；将工作负载迁移到 Azure（ASR、Azure Migrate）；为基础设施自动化 Azure DevOps 管道；配置 Azure Active Directory（Entra ID）的 RBAC 与 PIM。
决策框架 IaC 工具选择（Azure 语境）：Bicep 为推荐方案，原生且一等支持，语法简洁；Terraform 为备选，适合多云策略；ARM 模板为遗留方案，JSON 冗长，新项目应避免（改为编译 Bicep）；PowerShell/CLI 用于临时任务或管道粘合，不用于状态管理。 网络架构：按连接需求选择。Hub-and-Spoke（标准）：中心 Hub 放置防火墙、VPN 网关、Bastion，Spoke 为工作负载 VNet 并与 Hub 对等；虚拟 WAN（全球规模）：多区域连接、分支到分支（SD-WAN）适用；私有访问：PaaS 服务使用 Private Link / 私有终结点，服务终结点属遗留，尽可能改用 Private Link。 治理策略（CAF）：管理工作组提供策略继承层级（根 > 地理 > 登录区）；Azure Policy 用“拒绝”阻止不合规资源（例如仅允许 East US 区域）；RBAC 通过 Entra ID 组实现最小权限访问；Blueprints 用于快速部署合规环境（正被 Template Specs + Stacks 取代）。
核心工作流 工作流 1（Bicep 资源部署）：目标是部署带私有终结点且安全存储账户。步骤包括定义 Bicep 模块（storage.bicep），使用 Microsoft.Storage/storageAccounts@2023-01-01 资源，设置 minimumTlsVersion: TLS1_2、supportsHttpsTrafficOnly: true、publicNetworkAccess: Disabled，并输出 id；然后主部署（main.bicep）通过 module 引用该模块并传入 name；最后用 CLI 部署：az deployment group create --resource-group rg-prod --template-file main.bicep。 工作流 3（登录区搭建，CAF）：目标是建立基础层级。步骤包括创建管理工作组（MG-Root；MG-Platform 含 Identity、Connectivity、Management；MG-LandingZones 含 Online、Corp；MG-Sandbox）；分配策略（给 MG-Root 分配 Allowed Locations，给 MG-LandingZones 分配 Enable Azure Monitor）；部署 Hub 网络（在连通性订阅中部署 VNet，并部署 Azure Firewall 与 VPN Gateway）。
反模式与注意事项 反模式 1“ClickOps”：在 Azure 门户手动创建资源，导致不可重复、配置漂移、无法灾难恢复。正确做法是一切皆代码，即使原型阶段也导出 ARM 模板或编写基础 Bicep。 反模式 2“一个巨型资源组”：rg-production 内含 5 个项目的 VNet、VM、数据库和 Web 应用，造成 IAM 困难、标签与成本分析困难、误删风险。正确做法按生命周期分组，如 rg-network、rg-app1-prod、rg-app1-dev。 反模式 3“忽略命名约定”：如 myvm1、test-storage、sql-server，无法从名称识别类型、环境或区域，且存在名称冲突（存储账户须全局唯一）。正确做法采用 CAF 命名标准 [资源类型]-[工作负载]-[环境]-[区域]-[实例]，例如 st-myapp-prod-eus-001。 需要升级给安全工程师的红旗信号：存储账户或 SQL 数据库启用公共访问；管理端口（RDP/SSH）对互联网开放；向个人用户授予订阅所有者权限（应使用 Contributor/PIM）；未配置成本控制/预算。
质量清单 治理：命名遵循 CAF；资源打上 CostCenter、Environment、Owner 标签；Azure Policy 强制合规（例如允许的 SKU）。安全：后端资源（VM、数据库）无公共 IP；尽可能用托管标识替代服务主体/密钥；敏感数据启用 CMK 客户管理密钥。可靠性：关键资源部署为区域冗余（ZRS）；为 VM 和 SQL 启用 Azure Backup；关键生产资源加资源锁（CanNotDelete）。成本：按指标合理调整规格；为稳定工作负载购买预留实例；清理未使用资源（孤立磁盘/NIC）。
示例 示例 1（多订阅登录区搭建）：某医疗公司需为 HIPAA 监管工作负载在 dev、staging、prod 三个环境部署合规登录区。架构包括管理工作组层级 Root > Organization > Environments > Workloads；Hub-and-spoke 网络加 Azure Firewall，各环境独立 VNet；Azure Policy 强制 HIPAA 合规（加密、备份、私有终结点）；Azure DevOps 管道对生产部署设审批门。关键组件包括 Azure Firewall Manager 集中策略、私有 DNS 区域、带不可变保管库的 Azure Backup、用于部门计费的 Cost Management 标签。 示例 2（零信任网络架构）：某金融公司需用 Azure Private Link 与条件访问替代基于 VPN 的访问。实施包括所有 PaaS（SQL、Storage、Key Vault）经私有终结点访问；条件访问策略要求合规设备与 MFA；NSG 默认拒绝全部流量、仅允许必要流向的微隔离；Azure Sentinel 用于安全分析与异常检测。安全控制包括 Entra ID 条件访问与设备合规、VM 管理即时访问、Microsoft Defender for Cloud 威胁防护、完整审计日志到 Log Analytics。 示例 3（成本优化的开发/测试环境）：某软件公司希望将 Azure 开发/测试成本降低 60% 同时保持开发效率。优化策略包括通过 Automation Runbooks 在夜间和周末自动关机开发 VM、类生产开发环境使用预留实例、开发使用可用的 Dev/Test SKU、必需标签用于成本分摊与孤立资源清理。成本节约结果为开发/测试计算成本降低 65%、自动清理未用资源每月节省 $2K、稳定环境享受预留实例节省、自动启动保持开发效率。
最佳实践 基础设施即代码：一切皆代码，每个资源用 Bicep 定义，绝不手动改门户；建立可复用 Bicep 模块库；每个环境独立参数文件（dev、staging、prod）；GitOps 工作流，基础设施变更走 PR 与审批；使用 AzDO 有状态管道或 Terraform 后端管理状态。 网络卓越：默认采用 Hub-and-Spoke；默认私有，所有 PaaS 访问走私有终结点；规划私有 DNS 区域并链接 VNet，避免修改主机文件；用 Azure Firewall 集中威胁防护；生产用 ExpressRoute，次要使用 VPN。 安全加固：最小权限 RBAC，避免订阅所有者；优先托管标识而非带密钥的服务主体；所有密钥存入 Key Vault，绝不用环境变量；处处加密，敏感数据用 CMK，全站 TLS 1.2+；网络隔离，NSG 默认拒绝、按需允许。 成本管理：定期对比实际利用率与分配规格进行优化；识别稳定工作负载购买预留实例；开发/测试非工作时段关机；标签策略要求成本中心、环境、负责人；预算告警设 50%、75%、90% 阈值。 治理与合规：策略作为护栏，用 Azure Policy 预防而非仅检测；管理工作组层级反映组织结构；使用 Azure Blueprints 构建标准合规环境；集中日志到 Log Analytics 工作区；用 Runbooks 自动化例行运维任务。