Microsoft AZ-104: Azure 订阅、治理和成本管理 — 学习指南

By Laurynas Brazys · 7 August 2026 · #microsoft #az-104 #certification #exam-prep #study-guide

属于 Microsoft Azure Administrator Associate AZ-104 — 学习指南. 使用经过验证的答案练习： Microsoft 考试中心, 或参加限时模拟考试： ExamRoll.io.

概述

Azure 订阅、治理和成本管理定义了如何大规模地构建、保护、标准化云资源并为其付费。一个完善的设计始于一个组织层级结构（管理组和订阅），应用最小权限访问（RBAC），强制执行标准与合规性（Policy、Blueprints、锁和标签），并持续优化开销（Cost Management 和 Advisor）。Azure Resource Manager (ARM) 是部署、分组和生命周期操作的基础，确保标准和控制从根管理组到单个资源都能得到一致的应用。

组织结构和访问控制

Management Groups 是用于将一个或多个订阅组织在单个根管理组下的顶层结构。你可以将管理组嵌套多达六层（不包括根），以反映组织或环境的边界（例如，公司 > 生产/非生产 > 业务单元）。在管理组级别应用的 RBAC 角色分配和 Azure Policy 分配会继承到所有子管理组、订阅、资源组和资源，除非在较低范围被明确覆盖。这种继承对于一致地强制执行标准至关重要；例如，在生产管理组上设置的“拒绝公共存储”策略会应用于每个生产订阅，无需对每个订阅进行单独配置。

订阅是计费和部署的隔离边界。常见的类型包括即用即付 (Pay-As-You-Go)、企业协议 (EA)、Microsoft 客户协议 (MCA)、CSP 以及基于额度的套餐（如 Visual Studio 订阅）。订阅分离了开销、配额和 RBAC 范围，是费用和预算的原子单元。在生命周期转换期间（例如，从开发租户迁移到生产租户、组织重组），经常需要在订阅之间移动资源。资源移动的支持情况因提供程序和资源而异；基于 ARM 的资源，如虚拟机、托管磁盘、存储帐户、虚拟网络，甚至 Recovery Services 保管库，通常可以在有约束条件的情况下移动。先决条件包括源和目标都在同一个 Azure Active Directory 租户中（跨租户移动受限）、两个订阅中都注册了资源提供程序、区域/SKU 兼容，以及没有阻止性的锁/策略。预计在移动过程中某些资源会出现短暂的不可用；请为有状态服务规划维护窗口。经典 (ASM) 资源无法移动。请务必使用门户中的“移动”操作或查阅资源提供程序文档来验证支持情况。

Azure RBAC 使用在特定范围内的角色分配来提供细粒度的、最小权限的访问。范围可以是管理组、订阅、资源组或单个资源；分配会向下继承。核心的内置角色是：

Owner：对所有资源的完全访问权限，包括角色分配。
Contributor：对资源拥有完全的创建/更新/删除权限，但无权分配角色。
Reader：只读访问权限。自定义角色允许你指定允许的 Actions 和 DataActions，并排除 NotActions 和 NotDataActions，它们在预期的分配范围或其上级范围定义。拒绝分配（由 Blueprints 或锁等特定服务创建）的优先级高于允许分配，可防止意外的权限提升。

治理、合规性与资源护栏

Azure Policy 在资源创建/更新时以及定期的合规性扫描中评估资源状态。一个策略定义 (policy definition) 表达了一条规则（带有可选参数）和一个效果 (effect)。您可以将相关的定义分组到计划 (initiatives) 中，以简化大规模分配。分配 (Assignments) 将定义或计划附加到某个范围（管理组、订阅、资源组或资源），并附带参数值，对于某些效果，还会附加用于修复的托管标识 (managed identity)。需要掌握的关键效果：

Deny：在请求时阻止不合规的创建/更新操作。
Audit：允许操作，但会记录不合规情况以供报告。
DeployIfNotExists：如果缺少相关资源或设置，则触发模板部署以使目标合规（例如，部署诊断设置或策略分配）。其他重要的效果包括 Append（在写入时添加标签等字段）和 Modify（修补属性）。策略可以强制执行允许的位置、SKU 限制、必需的标签、诊断设置和加密标准。例如，限制 Azure SQL Server 的位置可确保部署仅在批准的区域或资源组中进行。

Azure Blueprints 通过将构件 (artifacts)——策略分配、角色分配、ARM 模板和资源组声明——组合到一个版本化的蓝图中，将治理即代码 (governance-as-code) 进行打包。将蓝图分配给订阅或管理组，以一致地“印出”环境。蓝图分配可以应用构件级别的锁，其模式如 DoNotDelete 或 ReadOnly，以保护已部署的资源免于配置漂移。使用 Blueprints 来引导新订阅，为其配置强制性控件和基线基础架构。

资源锁 (Resource locks) 提供了防止意外修改的最后一道防线。应用 CanNotDelete 以防止删除但允许更新；应用 ReadOnly 以阻止写入和删除操作。锁会从更高范围继承，因此资源组上的 ReadOnly 锁会影响其包含的所有资源（例如，停止/启动虚拟机会失败，因为这些操作会执行写入）。锁会覆盖 RBAC 权限：即使是所有者 (Owner) 也无法在不先移除锁的情况下删除被锁定的资源。

标签 (Tags) 是资源组和资源上的键值对，用于对工作负载进行分类（例如部门、环境、成本中心）。标签继承不是自动的；为保证每个资源都有标签，请使用 Azure Policy (Append/Modify) 在创建/更新时强制执行或从资源组继承标签。标签驱动 Cost Management 中基于标签的成本报告，以便向各部门进行准确的成本分摊 (charge back)。要将虚拟机等单个资源与部门关联，请直接为每个虚拟机应用标签。

成本管理与优化

Azure Cost Management + Billing 为您提供预算、成本分析、导出和警报功能。预算在特定范围（订阅或资源组）定义，并可以按资源组、服务或标签进行筛选。配置阈值（例如 50%、80%、100%）以通过操作组发送警报，并可选择性地触发自动化（Logic App、Function）来缩减或关闭非关键工作负载；预算本身并不强制限制支出。成本分析允许您按时间、资源、计量单位 (meter)、资源组、订阅和标签进行透视分析，以了解成本驱动因素和趋势；可以安排将数据导出到存储中，以供 BI 工具提取使用。支出限制适用于基于信用额度的套餐（例如，免费试用、Visual Studio），当达到限额时，订阅会进入禁用状态以防止产生更多费用。即用即付 (Pay-As-You-Go) 或大多数 EA/MCA 协议不支持支出限制；应改用预算和自动化功能。

Azure Advisor 持续评估您的资源，并在成本、安全性、可靠性、性能和卓越运营五个方面提供可操作的建议。成本建议包括调整未充分利用的虚拟机的规模或将其关闭、购买预留 (reservations) 或节省计划 (savings plans)，以及消除空闲的公共 IP 或磁盘。可靠性建议包括可用性集/区和备份配置；性能建议涵盖计算/存储优化；安全性建议与 Defender for Cloud 集成；卓越运营则重点关注最佳实践配置。使用 Advisor 分数来跟踪进度，并酌情将建议集成到待办事项列表 (backlog) 或自动化修复流程中。

使用 Azure Resource Manager 进行部署和生命周期管理

ARM 是 Azure 的控制平面，可实现声明式、幂等的部署和一致的管理。资源组是用于划分生命周期和 RBAC 边界的逻辑容器；应将共享生命周期、权限和位置依赖关系的资源组织在同一资源组中。在资源组范围应用的 RBAC 和策略分配将约束其包含的所有资源，并且资源组级别的锁和标签会被继承，除非被策略或资源级别的操作所覆盖。

ARM 模板（以及作为其更高级语言的 Bicep）定义了资源、参数、变量、输出和依赖项。它们支持可重复的部署，并确保治理构件（例如，策略、角色分配）与工作负载一同被应用。使用模板规范（template specs）来对模板进行版本控制并在整个组织内共享。部署模式非常重要：

增量（Incremental）：创建/更新模板中定义的资源；不会移除模板中未定义的现有资源。
完全（Complete）：部署完成后，删除目标范围内未在模板中定义的资源——请谨慎使用此模式，以在资源组内强制执行严格的期望状态。部署历史记录的作用域可以是资源组、订阅或管理组。当单个模板部署多个资源时，您可以从目标范围（通常是资源组）的“部署”边栏选项卡中查看该部署及其模板，以审计变更和进行故障排查。

实际问题场景

星巴克收购了一家区域性连锁店，需要接入三个新的订阅，同时强制执行全局安全策略，实现部门级成本分摊，并将多个共享服务迁移到一个整合的“Corp-IT”订阅中，且不中断服务。

构建管理组层次结构

操作：创建一个根对齐的层次结构 Starbucks > Prod/NonProd > BusinessUnits (Retail, SupplyChain, CorpIT)。
原因：管理组提供分层的 RBAC 和策略继承，以便全局控制（例如，安全基线）能够自动应用到每个新订阅。

使用 RBAC 设定访问基线

操作：在 BusinessUnits 级别，为审计部门分配 Reader 角色，为 CorpIT 中的中央平台团队分配 Owner 角色，并在各自的范围为授权的业务单元管理员分配 Contributor 角色。创建一个允许 Microsoft.Resources/tags/write 操作的自定义“Tag-Editor”角色。
原因：在正确的范围上遵循最小权限原则，既能防止权限过大，又能支持业务单元的自治；自定义角色避免了为实现标签维护而授予完全的写入权限。

使用 Policy 和 Blueprints 强制执行治理

操作：编写一个计划（initiative），其中包含用于指定允许的位置、必需的标签（CostCenter、Department、Environment）、关键服务的诊断设置以及对存储账户“拒绝公共访问”的策略。将其与构件打包成一个 Azure Blueprint：包括计划分配、RBAC 角色分配、用于共享日志分析工作区和 DDoS 计划的 ARM 模板，以及一个标准的资源组布局。将该蓝图分配给每个新订阅，并对基线资源施加 DoNotDelete 锁。
原因：Blueprints 提供了一个版本化、可重复的登陆区，并带有锁以防止意外删除；Policy 确保每个资源在创建时都合规，并通过 DeployIfNotExists 修复配置漂移。

应用标签并保证继承

操作：使用 Modify 策略从资源组继承标签，并使用 Append 策略在资源创建/更新时添加缺失的标签。要求 CostCenter 的值必须与星巴克的财务系统相对应。
原因：原生继承不是自动的；Policy 确保所有资源都带有基于标签进行成本报告所需的元数据。

设置成本管理和警报

操作：在每个订阅和关键资源组范围创建预算，在适当时按标签筛选，并设置在达到 50%/80%/100% 阈值时向一个操作组发送警报，该操作组会触发一个 Logic App 来通知业务单元负责人，并可选择性地缩减开发/测试资源。按标签配置成本分析仪表板，并每日将数据导出到存储账户。
原因：预算和警报提供早期预警并触发近乎实时的纠正措施；标签透视功能可实现准确的成本分摊。

在订阅之间安全地迁移共享服务

操作：验证目标资源（虚拟机、托管磁盘、虚拟网络、存储账户、Recovery Services 保管库）是否支持移动操作。移除阻止移动的锁，确保资源提供程序已在源/目标订阅中注册，确认区域/SKU 的兼容性，并安排一个维护窗口。使用资源组范围的移动操作将资源移至 Corp-IT 订阅；移动后重新验证诊断和策略。
原因：在资源组边界进行移动可以保留依赖关系并最大限度地减少停机时间；预检查可避免因策略或提供程序不匹配而导致的移动失败。