用途：在 Azure 订阅范围内启用 Microsoft Defender for Cloud，实现云安全态势管理（CSPM）与多类工作负载防护，并建立法规合规评估、告警通知与自动化响应。适用前提为具备 Contributor 或 Security Admin 角色的 Azure 订阅、启用 Azure Policy、Log Analytics 工作区；混合服务器需 Azure Arc；Defender 计划需将定价层设为 Standard（免费层仅提供 CSPM）。不适用于纯非 Azure 工作负载、应用层安全测试或身份专项防护。
主要能力与用法：使用 az security pricing create 按工作负载启用计划，例如 CloudPosture、VirtualMachines（可指定 P2 子计划）、Containers、StorageAccounts（PerStorageAccount）、SqlServers、KeyVaults、AppServices，并用 az security pricing list 验证。通过 az security auto-provisioning-setting update 与 az security workspace-setting create 配置代理自动预配与 Log Analytics 工作区。用 az security secure-score list、az security assessment list/show、az security secure-score-controls list 查看安全分数、建议及其修复说明，并按严重性排序。用 az security regulatory-compliance-standards update/list 与 regulatory-compliance-controls/assessments 启用并跟踪 CIS、PCI-DSS、NIST 等标准。用 az security contact create、az security alert list、az security automation create 配置联系人、查看告警并建立 Logic App 自动响应。用 az security jit-policy create/initiate 与 az security adaptive-application-controls list 实现实时 VM 访问与自适应应用控制。
适用场景：多订阅企业分批启用服务器、容器与 SQL 防护并建立合规基线，例如仅生产订阅启用 P2 与容器、SQL，非生产使用较低成本计划，同时为所有订阅启用 CSPM、存储与 Key Vault 防护，并将高危告警接入自动化工作流。
限制：Defender for Servers P2 按服务器小时计费，虚拟机较多时成本会快速上升；代理自动预配可能与 SCCM 等既有代理管理冲突；具体收费、平台限制与效果细节暂未提供。