技能介绍

在 Azure 上从零搭建一套基础设施，最大的痛点往往不是「选哪个服务」，而是选完之后如何把资源组装成可维护、可复制的工程资产。直接在 Portal 里点鼠标，最终留下的只有一堆散落的资源，没有版本历史；手抄 ARM JSON 模板，又会陷入冗长语法和嵌套依赖的泥潭，改一次参数如同考古。

核心工作流

这套技能把架构落地拆成六个明确步骤，输入应用类型、预期规模和合规要求后，它先给出推荐的服务组合（比如 App Service Web 或 Microservices on AKS），在确认模式匹配团队运维能力后，直接产出 Bicep 模板。

Bicep 优先：技能明确反对在新建项目中手写 ARM JSON。Bicep 作为微软官方推荐的 IaC 语言，编译后即为 ARM JSON，但具备更干净的语法和模块复用能力。
自动化模板生成：通过 bicep_generator.py 产出的模板默认包含 Managed Identity（服务间认证无需密码）、Key Vault 引用、Diagnostic settings（对接 Azure Monitor）和 Network Security Groups，避免开发者手动遗漏安全基线。
成本前置分析：部署前会输出月度费用拆解、实例 Right-sizing 建议和预留实例（Reserved Instance）机会，在代码推上生产前暴露烧钱风险。

避坑与边界

技能内建了一份反模式清单，其中几条对工程化尤其关键：严禁将密钥硬编码在 App Settings 中（必须使用 Key Vault 引用）、PaaS 服务禁止暴露公网端点（需用 Private Endpoints 接入 VNet）、AKS 禁止单一节点池（建议拆分为 system/app/jobs 以隔离不同负载）。

需要注意的是，这套流程更适合标准的 IaaS/PaaS 组合。如果你的架构涉及特殊的第三方数据驻留要求或非标准网络拓扑，模板生成后仍需人工审查合规细节。部署失败时，技能提示优先排查 RBAC 权限和资源提供商（Resource Provider）注册状态，而非盲目重试。