用途：为服务器工作负载（IaaS VM、通过 Arc 接入的本地/混合/多云服务器、跳板机、域控、业务服务器）设计并加固防护。不适用于客户端终端、AKS/容器主机、存储账户或通用 Defender for Cloud 态势管理。
计划选择：仅需免费基础 CSPM 用 Defender CSPM（无服务器计划）；需要 MDE Plan 2 EDR、威胁检测及每天 500 MB 免费 Log Analytics 摄取用 Plan 1（按服务器计费）；在 P1 基础上还需 FIM、JIT、无代理扫描、漏洞评估、自适应应用控制、网络加固与法规合规用 Plan 2。经验法则：P1 只需 EDR，P2 需 EDR+态势+合规+FIM；生产多用 P2，开发测试用 P1。
接入路径：Azure VM 在订阅范围启用计划，自动预配部署 MDE 与 Azure Monitor Agent；本地/VMware 先经 Azure Arc 接入再启用；AWS EC2/GCP Compute 连接账户/项目后经 Arc 自动预配；VMSS 由计划覆盖，无代理扫描覆盖临时实例。
主要能力与用法：先在 Defender for Cloud 清单确认资源与计划列；在订阅范围（非资源组）启用 Plan 2 以便新 VM 继承，多订阅可用 Azure Policy 在管理组配置；开启 MDE 集成自动预配，勿再经 Intune 或本地脚本重复接入；启用无代理磁盘扫描（每 24 小时一次，无性能影响）；对含管理端口（RDP 3389、SSH 22、WinRM 5985/5986）的 VM 配置 JIT，默认最长 3 小时、源 IP 限请求者；通过 MDE 启用 FIM（旧 Log Analytics FIM 将退役），优先用于 tier-0 服务器并调优规则；Plan 2 自适应应用控制先审计 14 天再强制；利用每天 500 MB 免费摄取将安全事件流式发送到 Sentinel；每月审查合规仪表板并将失败控制转为 Azure Policy。
限制与护栏：混合服务器须经 Arc 接入，直接 MDE 脚本会绕过计费与态势并失去 JIT、FIM、无代理扫描；同一范围勿同时启用 P1 与 P2；JIT 只改 NSG 规则，不覆盖 Azure Firewall/NVA；无代理扫描为时间点检测，仍需 MDE 运行时检测；勿同时运行两个活动 AV 引擎，第三方 AV 为主时应将 Defender 设为被动加 EDR 阻止模式。常见反模式包括用 P1 却要 FIM/JIT、经 GPO 直接接入 MDE、JIT 窗口 24 小时且任意源 IP、FIM 覆盖所有路径、自适应控制首日强制、因已有 MDE 漏洞管理而跳过无代理扫描。
官方文档：https://learn.microsoft.com/azure/defender-for-cloud/defender-for-servers-introduction