用途：在 Azure 订阅中启用 Microsoft Defender for Cloud 的全面安全监控，为虚拟机、容器、SQL、存储和 Key Vault 提供云工作负载保护，满足持续合规评估需求，并集中查看 Azure 原生与混合工作负载的安全发现。不适用于非 Azure 工作负载（可用 AWS Security Hub 或 GCP SCC）、应用层安全测试（用 DevOps DAST/SAST）及身份专项防护（用 Defender for Identity）。
前置条件：具备 Contributor 或 Security Admin 角色的 Azure 订阅；启用 Azure Policy；Log Analytics 工作区；混合服务器需 Azure Arc；Defender 计划需设为 Standard 层级（免费层仅提供 CSPM）。
主要能力与用法：以 Azure CLI 的 az security 系列命令分步实施。先启用各工作负载计划，如 az security pricing create --name CloudPosture --tier standard，并按需为 VirtualMachines（--subplan P2）、Containers、StorageAccounts、SqlServers、KeyVaults、AppServices 启用。随后配置代理自动预配（az security auto-provisioning-setting update）与 Log Analytics 工作区。查看安全分数与建议：az security secure-score list、az security assessment list；启用合规标准：az security regulatory-compliance-standards update；配置安全联系人与告警自动化（az security contact create、az security automation create）；启用 JIT VM 访问（az security jit-policy create）与自适应应用程序控制。
适用场景：多订阅企业统一启用服务器、容器与 SQL 保护并建立 CIS Azure 2.0 等合规基线，SOC 告警响应自动化和生产服务器端口临时开放。
限制：需注意 Defender for Servers P2 按服务器小时计费，成本可能快速上升，可用 P1 覆盖开发订阅；代理自动预配可能与 SCCM 等既有代理冲突。具体价格与功能边界以官方文档为准，资料未提供。