用途：在经批准的 Azure 租户或订阅范围内，使用 Azure CLI 进行严格限定范围的控制平面验证，主要面向发现与侦察、漏洞分析阶段，也可用于验证与受控影响演示、复测与关闭。
适用情形：需要确认已批准 Azure 身份的范围；需要检查订阅、角色或暴露资源；需要在 Azure 修复后进行低影响复测。避免情形：租户、订阅或身份范围不明确；命令会在未获明确批准的情况下改变状态。
输入：已批准的租户或订阅、已授权身份上下文、只读与变更操作的边界。
流程：确认当前账户、租户与订阅；仅查询与当前假设相关的服务；除非明确批准更强操作，否则保持只读验证；将实质暴露关联到真实业务服务；为复测保留确切的账户与订阅范围。
命令示例（示例订阅值需替换为已批准的范围值）： az login --use-device-code az account show az account list --output table az group list --output table az vm list --output table az storage account list --subscription '<subscription-id>' -o table az storage container list --account-name contosoprod --output table az keyvault secret list --vault-name contoso-prod-kv --output table az role assignment list --output table
需留存的证据：有效 Azure 身份与订阅范围、实质资源暴露或角色边界问题、使用的确切账户与订阅上下文。
安全边界：默认只读验证；未经明确书面批准，不得变更资源或角色。
限制：资料未提供安装命令、定价、支持平台与版本等细节。