用途：评估并改进多云环境的安全态势，启用工作负载威胁防护。适用于选择启用哪些 Defender 计划、如何排定修复优先级、如何将发现结果运营化。不适用于 SaaS 态势、Sentinel SIEM 或 Azure Arc 本地扩展。
主要能力：按工作负载选择计划——订阅/账户态势用免费的基础 CSPM（始终启用）；多云、攻击路径、无代理扫描用 Defender CSPM；Windows/Linux 服务器用 Defender for Servers Plan 2；存储、容器（AKS/EKS/GKE）、数据库、App Service、Key Vault、API、AI 服务各有对应计划。经验法则：第一天全量启用基础 CSPM，生产环境启用 Servers Plan 2 与 Defender CSPM，其余按风险与预算。
使用方式：连接所有云（Azure 自动、AWS 用连接器加 CloudFormation、GCP 用连接器加服务账号），否则攻击路径无法跨云追踪；建立基础 CSPM 基线，记录 Secure Score 与按严重级别统计的建议数；按工作负载风险启用计划，生产优先；为关键资产打标签（criticality=high、environment=prod、data-classification=sensitive）以便云安全图加权；按攻击路径而非原始数量修复，优先切断互联网到工作负载到敏感资产的链条；用 Azure Policy 的 DeployIfNotExists 或 Audit 强制执行，并通过治理规则与 SLA 分配责任人；将告警与建议流式发送到 Sentinel，用 Logic Apps 工作流自动化响应。
限制与注意：不要在所有订阅上盲目启用全部计划，会造成成本激增与告警疲劳；不要为提升 Secure Score 而豁免建议；不要跳过关键资产打标签；启用 Servers Plan 2 需考虑 Defender for Endpoint 许可与策略协调；建议需指定责任人与 SLA；态势会每日漂移，应作为持续运营项目。
官方参考：https://learn.microsoft.com/azure/defender-for-cloud/defender-for-cloud-introduction