4. Azure环境就绪评估

在Azure企业项目正式交付之前，环境就绪评估是决定后续部署能否顺利推进的关键前置环节。很多项目在实施阶段才暴露出订阅配额不足、区域策略受限、网络地址空间冲突或身份权限缺失等问题，导致工期延误甚至返工。本节将围绕订阅、管理组、区域、配额、网络和身份六大检查维度，结合Azure Resource Graph与Azure Advisor等工具，系统讲解如何完成一次可落地、可验证的环境预检。

一、为什么需要环境就绪评估

Azure环境就绪评估的本质，是在资源部署之前，对目标环境的“承载能力”和“约束条件”做一次全面体检。它回答的核心问题是：当前订阅和管理组结构是否支持目标架构？目标区域是否具备所需服务与容量？配额是否足够？网络地址空间是否冲突？身份与权限模型是否满足最小权限要求？只有这些问题都有明确答案，后续的IaC部署、迁移或上线才有稳定基础。

从工程交付角度看，环境预检的产出通常是一份带有结论和证据的检查记录，而不是简单的“已检查”标记。每个检查项都应能回答：检查对象是什么、期望状态是什么、实际状态是什么、差异如何处理。

二、六大检查维度与关键检查项

订阅与管理组：确认目标订阅是否已纳入正确的管理组层级，管理组上的Azure Policy是否会对目标资源类型产生拒绝或审计影响。需要重点检查是否存在继承而来的“拒绝”策略，例如禁止公共IP、限制区域或强制标签。同时确认订阅状态为“已启用”，且没有欠费或配额锁定。

区域：确认目标区域是否支持计划使用的服务与SKU。不同区域对虚拟机系列、可用区、Azure Firewall、Private Endpoint等资源的支持程度不同。还需检查区域是否为受限区域，以及数据驻留和合规要求是否满足。

配额：按资源提供程序逐项核对vCPU、公共IP、网络接口、存储账户、DNS区域等配额。配额检查不能只看当前使用量，还要结合项目峰值需求预留余量。例如某区域vCPU配额为100核，当前已用60核，项目预计新增80核，则必须提前申请提额。

网络：检查目标虚拟网络的地址空间是否与本地数据中心或其他已连接网络重叠，确认子网划分、NSG规则、路由表、DNS解析和网关配置是否满足连通性要求。对于Hub-Spoke架构，还需确认对等互联和防火墙策略。

身份：确认部署身份是否具备所需RBAC权限，是否启用了条件访问、MFA和PIM。服务主体或托管身份的权限范围应遵循最小权限原则，避免使用Owner角色进行日常部署。

下表给出一个可参考的预检项示例，实际项目中应根据架构调整字段和阈值。

三、使用Azure Resource Graph进行资源盘点

Azure Resource Graph（ARG）是基于Kusto查询语言的资源查询服务，适合跨订阅、跨区域快速盘点资源现状。在环境预检中，ARG主要用于确认“当前有什么”，例如统计各区域虚拟机数量、查找未关联NSG的子网、列出所有公共IP等。

以下示例查询用于统计指定订阅下各区域的虚拟机数量，帮助判断资源分布和配额消耗趋势：

Resources
| where type =~ 'microsoft.compute/virtualmachines'
| extend region = location
| summarize vmCount = count() by region
| order by vmCount desc

再例如，查找没有绑定网络安全组的子网，这类子网往往是安全基线检查的重点对象：

Resources
| where type =~ 'microsoft.network/virtualnetworks'
| mv-expand subnet = properties.subnets
| where isnull(subnet.properties.networkSecurityGroup)
| project vnetName = name, subnetName = subnet.name, location

执行ARG查询后，应将结果与目标架构清单逐项比对。差异项即为需要处理的风险点，例如发现某区域已有大量虚拟机，则新增部署前应优先确认该区域配额余量。

四、使用Azure Advisor获取优化建议

Azure Advisor从可靠性、安全性、性能、成本和卓越运营五个方面给出建议。在环境预检阶段，Advisor的价值在于快速识别已有环境中的高风险项，例如未启用备份的虚拟机、暴露的网络安全组规则、未使用的公共IP等。建议将Advisor的“安全性”和“可靠性”类别作为预检必看项，并把高影响建议纳入交付前的整改清单。

五、预检结果判读与处理路径

预检完成后，需要根据检查结果做出明确判断。通常可分为三类：通过、有条件通过、不通过。通过表示所有检查项均满足要求；有条件通过表示存在非阻塞性差异，但需在部署前完成整改或提额；不通过表示存在阻塞性风险，必须解决后才能继续。

对于配额不足，应提前提交支持请求申请提额，并预留审批时间。对于策略冲突，应与平台团队确认策略豁免或调整部署方案。对于网络重叠，应重新规划地址空间或采用NAT方案。对于权限缺失，应通过PIM临时提升或调整角色分配。

下图展示了环境就绪评估从检查维度到工具支撑、再到结果判读与处理路径的整体关系，帮助你在实际项目中快速定位每个检查项对应的工具和后续动作。

六、预检记录示例

为了让预检结果可追溯、可交付，建议使用结构化记录。以下是一个简化示例，实际项目中可扩展为Excel或DevOps工作项。

检查日期：2025-06-10
目标订阅：sub-prod-eastasia-01
目标区域：East Asia

[配额] vCPU配额：当前100，已用62，预计新增80 → 需提额至200
[策略] 管理组继承策略：禁止公共IP → 与架构冲突，需申请豁免
[网络] VNet地址空间：10.10.0.0/16，与本地10.10.0.0/16重叠 → 需重新规划
[身份] 部署服务主体角色：Contributor（订阅级）→ 建议收窄至目标RG
[Advisor] 高影响安全建议：3条未处理 → 纳入整改清单

结论：不通过，需完成提额、策略豁免和地址重规划后复检。

环境就绪评估不是一次性动作，而应作为交付流程中的固定关卡。建议在项目启动、部署前和上线前分别执行一次，确保环境状态与架构目标始终一致。只有把预检做扎实，后续的部署、迁移和运维才能建立在可靠的基础之上。