📚 课程目录第1章 Azure自动化运维与基础设施治理导论

1. Azure自动化运维与基础设施治理导论

在传统数据中心里，运维团队往往靠“人 + 脚本 + 工单”维持系统运转：服务器上架后手工装系统、改配置、开端口，出问题再登录排查。当资源规模扩大到成百上千台虚拟机、容器和托管服务时，这种方式会迅速失效——配置漂移、权限失控、成本不可见、变更不可追溯。Azure 自动化运维与基础设施治理，正是为了解决“规模变大之后如何仍然可控”这一问题而出现的一套方法论与工具组合。

本节先厘清三个核心概念，再说明治理边界在哪里，最后给出自动化运维的目标，并搭建贯穿全课程的实战环境。

一、三个核心概念：自动化、运维、治理

自动化（Automation）指用可重复执行的代码或平台能力替代人工操作。在 Azure 中，它既包括命令层面的 Azure CLI、PowerShell、ARM/Bicep 模板，也包括平台层面的 Azure Automation、Logic Apps、Azure Functions，以及策略层面的 Azure Policy 和部署栈（Deployment Stacks）。自动化的关键不是“少点几次鼠标”，而是让同一件事每次都以相同方式发生。

运维（Operations）关注系统上线后的持续可用性：部署、配置、监控、告警、备份、扩缩容、故障恢复。Azure 中对应的能力包括 Azure Monitor、Log Analytics、Application Insights、Update Manager、Backup 和 Site Recovery。运维的核心指标通常是可用性、恢复时间目标（RTO）、恢复点目标（RPO）和变更成功率。

治理（Governance）关注“谁能在什么范围内做什么、必须满足什么约束”。它通过管理组、订阅、资源组、RBAC、Azure Policy、成本管理和标签体系来落地。治理不是限制创新，而是把安全、合规、成本的底线固化成平台规则，让业务团队在边界内自主交付。

三者的关系可以概括为：治理定义边界，自动化执行动作，运维保证结果。缺少治理的自动化会加速错误扩散，缺少自动化的治理只能停留在文档里。

二、治理边界：从管理组到资源

Azure 的治理边界由资源层次结构决定，自上而下依次是：管理组（Management Group）→ 订阅（Subscription）→ 资源组（Resource Group）→ 资源（Resource）。策略、RBAC 角色分配和成本范围都沿这条链继承。理解继承关系是设计治理方案的前提：在管理组上分配的策略会自动作用于其下所有订阅和资源，除非显式排除。

下面这张图展示了治理边界的层次结构，以及策略、权限、成本三类控制分别在哪些层级生效。

图中可以看到，越靠上的层级控制力越强、覆盖面越广。实际设计中，通常把“禁止公网 IP”“强制标签”“允许的区域”这类全局规则放在管理组；把预算和配额放在订阅；把资源锁和细粒度角色分配放在资源组。这样既保证底线统一，又给下层留出灵活空间。

三、自动化运维的目标

自动化运维不是追求“全部无人化”，而是围绕四个可衡量的目标展开：

一致性：同一类资源在任何环境都以相同配置创建，消除手工差异。例如所有生产 VM 必须启用加速网络和托管磁盘。
可重复性：部署过程可被完整重放，失败后可回滚或重建。基础设施即代码（IaC）是主要手段。
可观测性：任何变更和异常都能被记录、查询和告警。日志、指标、活动日志三者缺一不可。
可治理性：自动化动作本身受策略约束，不会绕过安全与合规要求。

这四个目标对应到具体指标，可以用“变更失败率”“平均恢复时间”“策略合规率”“未打标签资源占比”来衡量。课程后续章节会围绕这些指标逐步展开。

四、实战环境搭建

为了让后续实验可复现，本课程统一使用一套最小化环境。假设你已有一个 Azure 账户，按以下步骤准备。

第一步，安装并登录 Azure CLI。在本地终端执行：

az login
az account show --output table
az account set --subscription "你的订阅ID"

第二步，创建课程专用资源组和存储账户，用于存放后续的模板与状态文件。示例参数如下（区域可选东亚或东南亚，名称需全局唯一）：

az group create --name rg-gov-lab --location eastasia

az storage account create \
  --name govlabstate001 \
  --resource-group rg-gov-lab \
  --location eastasia \
  --sku Standard_LRS \
  --encryption-services blob

第三步，验证治理能力是否可用。查询当前订阅下已分配的策略，确认继承关系：

az policy assignment list --output table
az policy state summarize --output table

如果第二条命令返回合规与不合规资源的统计，说明策略评估已生效。若返回为空，可能是订阅尚未分配任何策略，属于正常情况，后续章节会手动分配。

实验环境会产生少量费用（存储账户按量计费）。建议在课程结束后执行 az group delete --name rg-gov-lab --yes 清理资源，避免持续扣费。

五、本课程的组织方式

后续内容将沿着“治理边界 → 基础设施即代码 → 自动化执行 → 监控与合规 → 成本与安全”的主线推进。每一章都会给出可执行的命令、模板或策略定义，并说明如何验证结果。本节搭建的 rg-gov-lab 资源组将作为多数实验的载体，请保留至课程结束。

在进入下一部分之前，请确认三件事：CLI 能正常登录并切换订阅；资源组和存储账户创建成功；策略查询命令能返回结果。这三点是后续所有实验的基础。