Azure Compliance & Security Auditing

Azure Compliance & Security Auditing 是什么

Azure Compliance & Security Auditing 是 Azure 合规和安全审查入口，组合 Azure Quick Review、资源图查询与 Key Vault 密钥、机密、证书到期检查，对订阅或资源组生成有优先级的发现与整改建议。

适用场景与选择边界

适合上线前基线审计、周期性安全检查、发现过期或即将过期凭据、孤立资源和不符合最佳实践的配置。它不能提供正式认证、渗透测试或完整威胁建模，也不替代组织的法规映射和人工例外审批。线上性能事故应使用 Azure Diagnostics。

核心能力与工作机制

可运行 azqr 生成结构化扫描产物，列举订阅和资源组，读取 Key Vault 项目的到期元数据，并把发现按严重度、证据、资源范围和修复路径归类；它不把工具输出直接等同于法规认证。

实际工作流

先确认审计范围和标准，检查 azqr 与读取权限，运行资源评估并保留原始产物；随后检查 Key Vault 到期项、使用 Resource Graph 补充盘点，去重发现并分类优先级，最后提供可验证、可回退的整改计划。

输入、输出与交付物

需要订阅或资源组范围、希望核对的合规基线、Key Vault 范围和时间窗口，并说明是否只报告还是也要整改。输出包括扫描文件、发现清单、受影响资源、证据、优先级和建议；到期审计应区分已过期、临近到期和无到期时间项目，并给出复查日期。

依赖、账号与权限

需要 Azure 登录、资源读取权限和对相关 Key Vault 元数据的最小读取权限；azqr 必须可用。整改若涉及策略、网络或密钥轮换，需要额外角色且应与扫描身份分离。

限制与安全风险

扫描可能遗漏动态业务控制，也可能把合理例外列为风险；读取 Key Vault 时不得输出秘密值。自动整改会影响生产访问，不能从“审计”授权推断为可直接修改或删除资源。默认评估应保持只读，只生成本地报告和查询结果。策略调整、凭据轮换、关闭公共访问或删除孤立资源都属于独立变更，必须先确认所有者、维护窗口与回退。

适合谁使用

适合云安全、平台治理、DevOps 和需要做上线检查的团队；只想查单个服务运行错误的开发者使用专用诊断更直接。

上手与验收建议

先对非生产订阅或一个资源组试扫，校准严重度和误报，再扩展到更大范围。验收要能从每条发现回到具体资源与原始证据，并在整改后重新扫描。报告应写明扫描时间、范围、工具版本、未覆盖项和例外，避免以后误读为持续有效。

来源、版本与许可

本条目依据 Microsoft 官方 azure-skills 仓库固定提交中的完整 Azure Compliance & Security Auditing Skill、skills.sh 市场详情和仓库 MIT 许可证整理，核验日期为 2026 年 9 月 20 日。来源未提供官方中文展示名，因此导航保留官方英文名称。

常见问题

1. Azure Compliance & Security Auditing 主要解决什么问题？

Azure Compliance & Security Auditing 是 Azure 合规和安全审查入口，组合 Azure Quick Review、资源图查询与 Key Vault 密钥、机密、证书到期检查，对订阅或资源组生成有优先级的发现与整改建议。适合上线前基线审计、周期性安全检查、发现过期或即将过期凭据、孤立资源和不符合最佳实践的配置。

2. 开始前需要准备哪些输入和上下文？

需要订阅或资源组范围、希望核对的合规基线、Key Vault 范围和时间窗口，并说明是否只报告还是也要整改。需要 Azure 登录、资源读取权限和对相关 Key Vault 元数据的最小读取权限；azqr 必须可用。整改若涉及策略、网络或密钥轮换，需要额外角色且应与扫描身份分离。

3. 执行后会得到什么结果或文件？

输出包括扫描文件、发现清单、受影响资源、证据、优先级和建议；到期审计应区分已过期、临近到期和无到期时间项目，并给出复查日期。

4. 需要哪些账号、工具和最小权限？

需要 Azure 登录、资源读取权限和对相关 Key Vault 元数据的最小读取权限；azqr 必须可用。整改若涉及策略、网络或密钥轮换，需要额外角色且应与扫描身份分离。扫描可能遗漏动态业务控制，也可能把合理例外列为风险；读取 Key Vault 时不得输出秘密值。自动整改会影响生产访问，不能从“审计”授权推断为可直接修改或删除资源。

5. 它会修改本地文件或云端资源吗？

默认评估应保持只读，只生成本地报告和查询结果。策略调整、凭据轮换、关闭公共访问或删除孤立资源都属于独立变更，必须先确认所有者、维护窗口与回退。

6. 哪些需求不应该交给这个 Skill？

它不能提供正式认证、渗透测试或完整威胁建模，也不替代组织的法规映射和人工例外审批。线上性能事故应使用 Azure Diagnostics。

7. 遇到失败或结果异常时怎样处理？

azqr 或查询失败时先检查扩展、登录、订阅和权限，并保留失败范围；Key Vault 拒绝访问不能解释成“没有风险”。不支持的资源类型应明确列为未覆盖，而不是给出通过结论。

8. 如何验收结果确实可靠？

验收要能从每条发现回到具体资源与原始证据，并在整改后重新扫描。报告应写明扫描时间、范围、工具版本、未覆盖项和例外，避免以后误读为持续有效。