Azure 代金券 微软云账号云资源管理教程
前言：为啥要认真管好微软云账号
云上资源像是你家的厨房冰箱，放得多了就会混乱，忘关灯、忘付账单、热菜忘记放回冷藏都能发生。微软云（Azure）提供了丰富的服务，但没有一套好用的管理方法，资源会像弹幕一样袭来，让人头疼。本文以实战为导向，带你从账户与订阅入手，讲清楚资源组、权限、策略、计费到自动化与排错，目标是让你既能掌控云资源，也能偶尔在团队群里发个运维笑话。
准备工作：账号、订阅与角色分工
创建与类型选择
先说基础：如果你还没有微软账号，去注册一个；企业环境则通常用 Azure AD 管理租户。订阅是计费边界，通常企业会按环境或部门拆分订阅，比如 dev、test、prod 分别一个订阅。别把所有东西丢到同一个订阅里——那样成本和权限会变成噩梦。
角色与分工建议
明确角色比技术本身重要。建议的最小团队角色划分：
- 租户管理员：管理 Azure AD、全局策略、审计日志
- 订阅管理员：管理订阅级别资源与计费
- 资源组所有者：负责资源组内的资源部署与生命周期
- Azure 代金券 开发与运维：使用受限权限进行日常操作
切记用最小权限原则（Least Privilege）。不要把订阅所有权像糖果一样分发，拿到所有权的人等于拿到生活费和开关机权。
资源分层：管理组、订阅、资源组与资源
管理组的使用场景
管理组位于订阅之上，用于统一管理策略和访问控制。企业推荐按组织或业务线建立管理组层级，例如：公司根管理组下分技术部、产品部，再在技术部下分云平台、安全等。这样策略（Azure Policy）可以向下继承，省力又靠谱。
订阅策略与资源组设计
订阅应当作为计费和配额的边界。资源组负责资源的生命周期管理，通常按项目或环境划分。一个常见模板：
- 订阅 A：生产环境，资源组按服务分（rg-web-prod、rg-db-prod）
- 订阅 B：测试环境，资源组按项目分（rg-app1-test）
资源组不要过于庞大；如果一个资源组里有太多资源，删除或部署时会变得缓慢且风险大。
权限管理：Azure RBAC 深入浅出
Azure 代金券 角色类型与粒度
Azure RBAC 提供内置角色如 Owner、Contributor、Reader 等，也支持自定义角色。原则上优先使用内置角色，实在不行再自定义。常见做法是：
- Owner 只给账单或非常信任的管理员
- Contributor 给需要创建和管理资源的运维或平台工程师
- Reader 给审计人员和大多数开发人员
身份类型：用户、服务主体、托管身份
除了人，服务也需要身份。你会经常使用三类身份：
- 用户账号：人的登录身份
- 服务主体（Service Principal）：本机应用或CI/CD使用，适合跨订阅自动化
- 托管身份（Managed Identity）：给 Azure 资源的身份，推荐用于 VM、Functions、App Service 等，安全且无需维护凭据
托管身份是懒人福音：你不用管密钥轮换，它会自动处理。
策略与合规：用 Azure Policy 把事情约束成形
策略的基本思路
Azure Policy 用来强制或审计资源行为。举例：禁止在生产订阅创建公共 IP，或强制所有资源必须有 cost center 标签。策略分为拒绝（Deny）、审计（Audit）和自动修复（DeployIfNotExists）等效果。
策略设计建议
- 先审计再拒绝：先用 Audit 观察一两周，确认没有副作用后再施加 Deny
- 使用策略定义与策略分配：把通用策略写成定义并在管理组或订阅上进行分配
- 对例外使用排除：不要硬性一刀切，允许少量已经审批的例外
标签与命名规范：让资源像字母表一样好找
标签策略
标签是成本分摊与管理的基本单元。常用标签有 environment、owner、costCenter、project、expiry。建议要求新资源必须包含至少 environment 与 owner。
命名规范建议
命名规则应该统一并可读，例如：{env}-{app}-{role}-{region}-{instance}，比如 prod-web-fe-cn01。不要过于冗长，但要包含关键信息，自动化脚本也能读懂。
自动化：ARM、Bicep、Terraform 与脚本的选择
基础设施即代码（IaC）选型
Bicep 是微软推荐的更友好的 ARM 的抽象层，语法清晰；ARM 模板是更底层、更通用但易读性差；Terraform 是跨云的利器，适合混合云环境。选择原则：
- 如果团队只用 Azure，优先考虑 Bicep
- 需要跨云或已有 Terraform 经验，选 Terraform
- 复杂依赖且需要平台化，考虑模块化设计
示例：用 Azure CLI 与 Bicep 部署资源组
az group create --name rg-demo --location eastus
az deployment group create --resource-group rg-demo --template-file main.bicep
把部署脚本集成到 CI/CD，避免在门户上手工点击（手工很容易出差错，也容易被老板看到你在夜里改配置）。
监控与告警：别把问题留到用户来发现
监控体系构建
监控有三层：基础指标（CPU、内存、连接数）、日志（应用日志、诊断日志）与可观测性（分布式追踪）。使用 Azure Monitor 与 Log Analytics 建立集中化视图。
告警策略
- 设置多级告警：信息级、警告级、严重级，配合不同的通知渠道
- 避免告警疲劳：对频繁但可恢复的事件设置抑制或聚合
- 把告警与自动化修复结合：常见问题可触发自动化脚本先行修复
成本管理：把钱花在刀刃上
成本可视化
使用成本管理（Cost Management）和预算警告，结合标签做成本中心划分。每月生成成本报表，发现异常消费，比如某天某个测试环境把 VM 启成了上百个。
节约技巧
- 使用 Reserved Instances 或 Savings Plans 对长期稳定负载降本
- 开发与测试订阅使用自动启停策略，非工作时间关闭资源
- 选择合适的存储层（Hot/Cold/Archive）避免不必要的高价存储
安全加固：身份、网络与数据三管齐下
身份与访问
启用多因素认证（MFA），对关键账号使用条件访问策略（Conditional Access）。对自动化凭据实行定期轮换与密钥保管（Key Vault）。
Azure 代金券 网络与数据防护
- 使用虚拟网络（VNet）与网络安全组（NSG）限制流量
- 对敏感数据启用加密，使用 Key Vault 存储证书和密钥
- Azure 代金券 采用私有端点避免服务暴露到公共网络
备份与恢复：把后悔留给别人
备份策略要点
制定 RPO（可接受的数据丢失时长）与 RTO（可接受的恢复时长），根据业务重要性对资产分类并配置相应备份策略。对虚拟机、数据库、存储账户等关键资源启用自动备份并定期演练恢复。
灾备演练
每半年至少一次完整恢复演练。演练不仅验证技术可行性，也能检验文档、流程和人员准备度。把演练当成团队的节日，顺带把恢复步骤写成 SOP，别指望有人能靠记忆恢复系统。
运维自动化与常见脚本片段
典型自动化任务
- 按标签自动关闭非工作时间的资源
- 发现未加标签的资源并自动打标或告警
- 成本异常检测触发审批流程
示例脚本：用 Azure CLI 查找未打标签的资源
az resource list --query "[?tags == null].{name:name, type:type, id:id}"
把此类脚本放到计划任务或函数中，每天跑一次，及时发现问题。
常见问题与排错技巧
权限不足导致部署失败
错误通常表现为 403 或 401，排查顺序：
- 确认登录账号或服务主体是否在正确订阅/资源组下
- 检查 RBAC 角色和作用域（订阅/资源组/资源）
- 审计日志查看是否有拒绝事件
资源配额或配额上限问题
遇到配额上限（quota）导致创建失败，可以在订阅的配额页面申请提升，或把部分负载迁移到其他订阅/区域。
最佳实践清单（可直接照抄）
- 按管理组/订阅/资源组分层管理
- 制定并执行命名与标签规范
- 使用 RBAC 与托管身份替代共享凭据
- 先 Audit 再 Deny 的策略发布步骤
- 用 IaC 自动化所有基础设施变更
- 建立集中化监控与告警，并避免告警疲劳
- 启用成本管理并设置预算告警
- 定期进行备份与恢复演练
案例演练：一个小公司迁云后的管理上线流程
想象一个六人初创公司决定把核心服务上 Azure。推荐流程：
- 创建 Azure AD 租户，建立管理组与订阅结构（prod/dev/test）
- 设计命名和标签规范，并写成文档供团队遵守
- 用 Bicep 定义基础网络、关键资源与权限分配，CI/CD 自动部署
- 设置 Azure Policy 审计标签与禁止公网访问规则，审核两周后切换到 Deny
- 启用 Log Analytics，配置常用仪表盘和告警，绑定通知到团队群组和值班人
- 设定每月成本报告与预算警告，按标签分摊成本
- Azure 代金券 完成首轮备份并做恢复演练，记录 SOP
按照这个流程走，既能保证安全合规，又能快速迭代业务；另外，别忘了给团队庆祝一下上线，用披萨庆祝总是不会错的。
结语：把云管理做成一种习惯
云资源管理不是一次性的任务，而是一套持续运维的实践。小步快跑、逐步自动化、不断优化策略与成本，就能把混乱变成可控，把惊慌变成从容。最后的忠告：把复杂交给工具，把决策留给人，把流程写成文档并让新人能在两小时内上手——这样你的微软云账号就会像一台好用的咖啡机，早晨能准时给你热咖啡，而不是凌晨给你惊吓。
附录：常用命令速查表
- 创建资源组：az group create --name rg-name --location eastus
- 查看订阅：az account list
- 切换订阅：az account set --subscription "SUBSCRIPTION_ID"
- 列出资源：az resource list --resource-group rg-name
- 部署 Bicep：az deployment group create --resource-group rg-name --template-file main.bicep
