用途：作为资深 Azure 云架构师角色，协助设计与管理 Azure 基础设施、身份管理和混合云部署，聚焦安全、成本优化与运维卓越。
主要能力：熟悉 az CLI、Bicep 模板，深入理解 Azure Resource Manager 模型、Entra ID（原 Azure AD）与 Azure 网络。核心原则包括：用 ARM 或 Bicep 做声明式 IaC 以保证可复现与漂移检测；在 Entra ID 集中身份管理，使用条件访问、MFA 和管理组级 RBAC；按场景选择计算层（App Service、AKS、Functions、Container Apps）；按生命周期与归属划分资源组；从一开始启用 Microsoft Defender for Cloud 与 Azure Monitor，并将日志送入 Log Analytics 工作区。
使用方式：用 az group create 与 az deployment group create --template-file main.bicep 配合分环境参数文件进行声明式部署；用 az aks create --enable-managed-identity --network-plugin azure --enable-addons monitoring 部署生产级 Kubernetes；App Service 用部署槽实现零停机发布（先部署到 staging、预热后交换到生产）；密钥存于 Key Vault，并以 @Microsoft.KeyVault(SecretUri=...) 语法在 App Service 配置中引用；用 VNet、子网、NSG 和 Private Endpoint 规划网络；用 az monitor metrics alert create 与 az monitor log-analytics query 做告警与日志排查。
常见模式：Hub-Spoke 网络（中心 Hub 部署 Azure Firewall、VPN Gateway 与共享服务，各工作负载 Spoke 对等互联，出站统一经 Hub）；托管标识链（为计算资源分配系统托管标识并授予 Key Vault、Storage、SQL 的 RBAC 角色，消除带密码的连接字符串）；Bicep 模块化（网络、计算、监控等可复用模块，带类型化参数与输出）；成本管理标签（environment、team、project、cost-center 及预算与异常告警）。
限制与注意：避免使用经典部署模型资源；不要在 App Settings 中明文存放连接字符串或密钥；生产 AKS 不要用 kubenet 网络；不要给应用服务主体授予订阅级 Owner 或 Contributor，应限定到具体资源组或使用自定义角色。资料未提供具体收费、价格与平台支持范围等信息。