azure-enterprise-infra-planner

Azure 企业基础设施规划器

何时使用此技能

当用户希望执行以下操作时，启用此技能：

• 根据工作负载或架构描述规划企业级 Azure 基础设施
• 设计登陆区域、中心辐射式网络或多区域拓扑
• 设计网络基础设施：VNet、子网、防火墙、专用终结点、VPN 网关
• 规划身份、RBAC 和合规驱动的基础设施
• 为订阅范围或跨多个资源组的部署生成 Bicep 或 Terraform
• 规划灾难恢复、故障转移或跨区域高可用性拓扑

快速参考

属性	详情
MCP 工具	insights_get、get_azure_bestpractices_get、wellarchitectedframework_serviceguide_get、microsoft_docs_fetch、microsoft_docs_search、bicepschema_get
CLI 命令	az deployment group create、az bicep build、az resource list、terraform init、terraform plan、terraform validate、terraform apply、checkov
输出架构	schema.md
关键参考资料	workflow.md、waf-checklist.md、resources/、constraints/

工作流（从这里开始）

按照 workflow.md 中的分步说明，执行基础设施规划和预配的 7 个阶段。

架构

此技能采用包含 7 个阶段的门控流水线。输入经过分类后进入以下两种流程之一：

• 全新部署 — 仅包含新需求；按顺序执行各阶段。
• 基于现有环境（棕地） — 用户提供已有的内容（正在运行的资源／ 资源组／订阅、IaC 或基础设施计划，或需求文档）。执行相同阶段，并增加 referenced-workload.md：清点并引用现有资源 （绝不重新创建），将新工作负载接入这些资源，并且第 7 阶段仅增量部署 （只进行增量变更，绝不修改或销毁被引用的资源）。

只有通过当前阶段的门控后，才会进入下一阶段。第 5 阶段需要用户明确批准；第 6 阶段是 强化的自验证门控——生成的 IaC 必须默认安全，通过本地验证 （az bicep build／terraform validate）且无任何错误，通过 checkov 安全扫描且没有 未解决的高危／严重问题；技能还必须显示命令输出并在进入下一阶段前发出完成自检； 第 7 阶段需要用户明确确认部署并知悉风险。

flowchart TD
    IN([Input]) --> TRIAGE{Existing infra<br/>referenced?}
    TRIAGE -- "No (greenfield)" --> P1
    TRIAGE -- "Yes (referenced)" --> RW[/referenced-workload.md:<br/>inventory + assign roles<br/>reference, never recreate/]
    RW --> P1

    subgraph PIPE [7-phase gated pipeline]
        direction TB
        P1[Phase 1 · Extract insights] --> P2[Phase 2 · Research best practices]
        P2 --> P3[Phase 3 · Research resources]
        P3 --> P4[Phase 4 · Generate plan]
        P4 --> P5{Phase 5 · Verify<br/>user approves?}
        P5 -- "no" --> P4
        P5 -- "approved" --> P6[Phase 6 · Generate IaC]
        P6 --> VAL{Validate<br/>az bicep build /<br/>terraform validate}
        VAL -- "errors" --> P6
        VAL -- "clean" --> P7{Phase 7 · Deploy<br/>risk-ack confirm?}
    end

    P7 -- "greenfield" --> DEP[az deployment / terraform apply]
    P7 -- "referenced" --> DEPADD[Additive deploy · incremental only<br/>what-if preview · no destroy of<br/>referenced resources]
    DEP --> OUT([Deployed])
    DEPADD --> OUT

    classDef gate fill:#fff3cd,stroke:#d39e00,color:#000;
    classDef ref fill:#e2f0d9,stroke:#548235,color:#000;
    class P5,VAL,P7,TRIAGE gate;
    class RW,DEPADD ref;

产物（写入 <project-root>/）：.azure/insights.json（第 1 阶段）、 .azure/infrastructure-plan.json（第 4 阶段，状态为 draft→approved→deployed），以及 infra/main.bicep + infra/modules/* 或 infra/main.tf + infra/modules/**（第 6 阶段）。

MCP 工具

工具	用途
insights_get	获取用户现有 Azure 环境的见解，为规划决策提供指导
get_azure_bestpractices_get	代码生成、运维和部署方面的 Azure 最佳实践
wellarchitectedframework_serviceguide_get	特定 Azure 服务的 WAF 服务指南
microsoft_docs_search	在 Microsoft Learn 中搜索相关文档片段
microsoft_docs_fetch	根据 URL 获取 Microsoft Learn 页面的完整内容
bicepschema_get	获取任意 Azure 资源类型的 Bicep 架构定义（最新 API 版本）

错误处理

错误	原因	修复方法
MCP 工具出错或不可用	工具调用超时、连接错误或工具不存在	重试一次；回退到参考文件，如果问题仍未解决则告知用户
缺少计划审批	meta.status 不是 approved	停止操作，并在生成 IaC 或部署之前提示用户审批
IaC 验证失败	az bicep build 或 terraform validate 返回错误	修复生成的代码并重新验证；如果问题仍未解决则告知用户
配对约束违规	SKU 或资源组合不兼容	在继续生成 IaC 之前修复计划
未找到基础设施计划或 IaC 文件	文件写入了错误位置或未创建	确认文件存在于 <project-root>/.azure/ 和 <project-root>/infra/；如果缺失，请严格按照 workflow.md 重新创建文件