用途：在 Azure 订阅与管理组范围内实施预防性与检测性治理/安全护栏，审计或阻止不合规资源，并通过修复任务纠正配置漂移。它是 Azure 环境的预防性控制平面，也是 Defender for Cloud 合规评估的引擎。不适用于 RBAC 角色选择、Defender 态势加固或 Bicep/IaC 模板编写。
主要能力：按目标选择策略效果——Audit 仅报告；Deny 阻止创建/更新；Modify 或 Append 自动添加所需标记或属性；DeployIfNotExists（DINE）部署缺失的关联资源（需托管标识）；AuditIfNotExists（AINE）仅报告缺失资源；Initiative 组合多条策略实现跨资源条件逻辑，并可用参数化阻止特定 SKU 或来宾用户创建。内置的 Microsoft Cloud Security Benchmark（MCSB）与 CIS、ISO 27001、NIST 800-53、PCI DSS、HIPAA 等合规计划优先采用，避免自行复制。
使用方式：新建策略先以 Audit 运行 14-30 天，审查合规状态后再把关键控制切为 Deny，切勿一开始就在租户级使用 Deny；对“本应存在”的配置（诊断设置、Defender 代理）使用 DeployIfNotExists；自定义定义仅在内置缺失时编写，保持单一用途并通过计划分组；在管理组分配以实现子订阅继承，排除项需有书面理由；DINE 与 Modify 仅作用于新增/更新资源，需通过修复任务使存量资源合规，由分配所使用的托管标识执行且需具备正确 RBAC；持续监控并与 Defender for Cloud 集成。
限制与注意事项：Deny 策略须先在审计模式验证；用参数实现跨环境复用；避免过度排除；DINE 缺少正确角色会静默失败；策略不等于 RBAC，二者需并用。常见反模式包括第一天全局 Deny、逐环境复制策略、跳过 MCSB、通过排除隐藏不合规、不建修复任务、未测试自定义 JSON 即分配。