用途：把非 Azure 服务器、Kubernetes 集群与数据服务纳入一致的 Azure 治理与安全体系，实现跨混合/多云机器的统一视图与策略平面。不适用于 Azure 原生 VM（直接用 ARM）、Intune 管理的终端或 Azure Stack HCI 部署。
按资源类型选择能力：本地/AWS/GCP 服务器对应 Arc-enabled servers（Defender for Cloud、Policy、Update Manager、Monitor、RBAC）；非 AKS 的 Kubernetes（本地、EKS、GKE）对应 Arc-enabled Kubernetes（Flux GitOps、Policy、Monitor、Defender for Containers）；本地或其他云上的 SQL Server 对应 Arc-enabled SQL Server（清单、最佳实践评估、Defender）；边缘的 PostgreSQL/SQL MI 对应 Arc-enabled 数据服务；容器化混合应用平台对应 Arc-enabled App Services / Functions。通常建议从 Arc-enabled servers 起步，Connected Machine 代理只需一条出站 HTTPS 连接即可带来 Defender for Cloud 与 Azure Policy。
实施路径：先规划接入范围与身份（确定订阅/资源组、按区域或业务单元划分目标资源组，大规模脚本接入时预先创建服务主体，并分配 Azure Connected Machine Onboarding 角色）；再规划网络与代理（代理需对指定 Microsoft 端点开放出站 HTTPS 443，如 .his.arc.azure.com、.guestconfiguration.azure.com、*.dp.kubernetesconfiguration.azure.com）；随后规模化接入服务器（先手动试点 5-10 台，再用 GPO/Ansible/Configuration Manager 或 cloud-init 脚本推送，脚本支持服务主体与标签）；用 Azure Policy 与机器配置（原 guest configuration）进行治理与 OS 内审计；启用 Defender for Cloud（Server Plan 2 部署 MDE、文件完整性监控与自适应控制）；通过 Azure Monitor Agent 和 Azure Update Manager 统一日志与更新；用 Azure RBAC + PIM 控制访问，代理还为机器启用托管标识。
注意事项：需保护 Connected Machine 代理及其出站连接，将托管标识限定为最小权限；接入前先做网络/代理与防火墙规划，否则代理会静默失败；避免手动接入大量服务器、仅用 Defender for Servers Plan 1、把 Arc 代理当作远程执行后门、Arc 机器标签与 Azure VM 不一致等反模式；Defender for Servers Plan 2 按机器计费，应先在试点中评估成本。