用途：在 Azure 订阅与资源组中部署云工作负载保护，建立 Secure Score 基线并排定安全建议优先级，将威胁防护扩展到 AWS、GCP 等多云环境，为 AKS 集群与 Azure 容器注册表启用容器安全，并通过数据与 AI 安全仪表板集成 AI 工作负载安全。不适用于纯 AWS 环境、身份提供商配置或网络层防火墙规则管理。
前提条件：具备 Security Admin 或 Contributor 角色的 Azure 订阅；在管理组级别启用 Defender for Cloud 的 Azure Policy 计划；预置用于安全数据收集的 Log Analytics 工作区；已获得 Defender for Cloud 计划许可（服务器保护需 P1 或 P2）。
主要能力与用法：通过 az security pricing create 为服务器、容器、应用服务、存储、数据库、Key Vault、资源管理器和 DNS 等工作负载类型启用 Defender 计划，例如启用服务器 P2 计划：az security pricing create --name VirtualMachines --tier Standard --subplan P2。使用 az security security-connector create 创建 AWS 与 GCP 环境连接器，实现统一安全态势管理。通过 az security secure-score list 与 az security assessment list 查看 Secure Score 并按严重性列出不健康建议。使用 az security jit-policy create 配置即时 VM 访问，减少管理端口暴露面。通过 az security automation create 与 az security contact create 设置安全警报的工作流自动化和邮件通知。使用 az graph query 查询云安全图与攻击路径，按实际可利用性排定修复优先级。
适用场景：面向互联网暴露且存在已知漏洞的 SQL Server 等资产的攻击路径分析与修复；多云环境统一态势管理；容器与 AI 工作负载安全。
限制：资料未提供具体收费与价格信息；部分命令中的订阅 ID、资源组等需按实际环境替换；攻击路径修复验证等时效性描述以资料为准。