从工作负载描述规划并部署企业级 Azure…

当需要根据工作负载或架构描述规划企业级 Azure 基础设施（着陆区、hub-spoke 网络、多区域容灾、身份与合规）并生成 Bicep 或 Terraform 时使用。

适用场景

解决思路

1. 将输入分为两类流程：绿地（仅新需求，直接跑完各阶段）与引用型/棕地（用户提供了已存在的资源、资源组、订阅、IaC/基础设施计划或需求文档）；棕地流程需先清点现有资源并引用它们（绝不重建），把新工作负载接入其中，且第 7 阶段仅做增量式附加部署（绝不修改或销毁被引用的资源）。
2. 按 7 阶段门控流水线执行，每阶段通过其门禁后才进入下一阶段：阶段 1 提取洞察（insights_get），阶段 2 研究最佳实践（get_azure_bestpractices_get、wellarchitectedframework_serviceguide_get、microsoft_docs_search/microsoft_docs_fetch），阶段 3 研究资源（bicepschema_get 获取最新 API 版本的资源 schema），阶段 4 生成计划，阶段 5 用户审批，阶段 6 生成 IaC，阶段 7 部署。
3. 阶段 1 使用 insights_get 获取用户现有 Azure 环境的洞察以指导规划决策，并将结果写入 <project-root>/.azure/insights.json。
4. 阶段 2 使用 get_azure_bestpractices_get 获取代码生成/运维/部署最佳实践，使用 wellarchitectedframework_serviceguide_get 获取目标服务的 WAF 服务指南，并用 microsoft_docs_search 与 microsoft_docs_fetch 检索 Microsoft Learn 文档。
5. 阶段 3 使用 bicepschema_get 获取任意 Azure 资源类型最新 API 版本的 Bicep schema 定义。
6. 阶段 4 生成基础设施计划并写入 <project-root>/.azure/infrastructure-plan.json，状态从 draft 流转到 approved 再到 deployed。
7. 阶段 5 必须获得用户明确批准（meta.status 为 approved）后才能继续；若未批准则返回阶段 4 修改。
8. 阶段 6 生成 IaC：Bicep 输出到 infra/main.bicep + infra/modules/*，Terraform 输出到 infra/main.tf + infra/modules/**；生成的 IaC 必须默认安全，且通过本地校验（az bicep build 或 terraform validate）零错误、通过 checkov 安全扫描且无未解决的高危/严重问题；必须展示命令输出并发出完成自检后才可推进。
9. 阶段 7 部署前必须获得明确且已确认风险的用户确认；绿地执行 az deployment group create 或 terraform apply，棕地执行增量式附加部署（仅 incremental，先做 what-if 预览，不销毁被引用资源）。
10. 处理错误：MCP 工具报错或不可用时重试一次，仍失败则回退到参考文件并通知用户；计划未批准时停止并提示用户；IaC 校验失败时修复代码并重新校验；SKU 或资源组合不兼容时在计划阶段修复；计划或 IaC 文件缺失时确认文件位于 <project-root>/.azure/ 与 <project-root>/infra/，缺失则按 workflow.md 重新创建。
11. 使用 CLI 命令辅助：az deployment group create、az bicep build、az resource list、terraform init、terraform plan、terraform validate、terraform apply、checkov。
12. 参考 workflow.md 执行 7 个阶段的详细步骤，参考 waf-checklist.md、resources/、constraints/、schema.md 与 referenced-workload.md 完成对应工作。

适用边界 · 注意事项

• 以应用为中心的工作流应优先使用 azure-prepare，而非本技能。
• 没有 Azure 订阅或无法使用 Azure MCP 工具/CLI 时无法执行部署阶段。