用途：这是一个 Azure 存储账户安全审计技能，适用于跨订阅安全审计、响应 Defender for Storage 告警（匿名访问或数据外泄）、合规核查加密与网络限制与访问日志、调查公开 Blob 容器导致的数据暴露，以及为新订阅建立存储安全基线。不适用于 Azure SQL 或 Cosmos DB 审计、存储操作的实时威胁检测（应使用 Defender for Storage）、以及未做适配的 Azure Files 或 Data Lake Gen2 审计。
前置条件：安装并登录 Azure CLI（az login），具备 Reader 和 Storage Account Contributor 角色；安装 Az PowerShell 模块（Install-Module Az.Storage）用于高级查询；启用 Microsoft Defender for Storage；可访问 Azure Resource Graph 进行跨订阅查询；可选 ScoutSuite 或 Prowler Azure 提供商进行自动化评估。
主要能力（按工作流）：1) 枚举所有订阅中的存储账户及基础配置（HTTPS 强制、最低 TLS、公开访问开关），可用 az storage account list 与 az graph query。2) 检测公开可访问的 Blob 容器：筛选 allowBlobPublicAccess，列出 publicAccess 非 off 的容器，并用 curl 测试匿名访问。3) 审计网络访问与防火墙规则：检查 networkRuleSet.defaultAction 是否为 Allow，审计 IP 规则、VNet 规则、bypass 及私有终结点。4) 验证静态加密与密钥管理：检查 encryption.services、keySource、Key Vault URI、基础设施加密，及 TLS 版本低于 1.2 的账户。5) 审计 SAS 与访问密钥：检查密钥轮换时间、allowSharedKeyAccess、容器上存储的访问策略。6) 检查诊断日志与监控：列出诊断设置、Blob 服务日志属性。
必要用法：使用上述 az 命令枚举和核查配置；命令内容应保持原样。
限制：资料未提供具体价格、收费或平台支持范围；未提供官方文档之外的额外步骤。禁用 Blob 公开访问可能中断公开内容服务，需先协调开发团队并配置 Azure CDN 或 Front Door；密钥轮换前生成的 SAS 令牌在过期前仍有效。资料未说明该技能的自动化程度或对 Azure Files/Data Lake Gen2 的适配细节。