Reasoning Agent Azure Landing Zone Assessment Advisor

Azure着陆区评估引擎

基于人工智能推理的确定性治理评估

Azure着陆区治理审查通常通过手动研讨会、幻灯片和清单访谈进行。 这些参与难以扩展，在架构师之间不一致，很少产生可重复的治理见解。

该项目是一个具有多阶段AI推理层的确定性Azure着陆区评估引擎。它被设计为一个现场可用的架构评估工具，而不是一个实验性的人工智能助手。该引擎使用实时平台遥测技术评估企业Azure环境，并生成可重复、可审核和可信任的确定性治理结果。AI仅用作权威平台证据之上的推理和编排层，为现实环境提供可扩展和一致的Azure着陆区治理审查。

该平台分为两层：

确定性评估引擎

使用实时Azure遥测和官方数据评估Azure着陆区姿态 Azure着陆区审查清单.评分控制、计算成熟度并生成客户就绪的交付成果——所有这些都没有人工智能。

AI推理层

消耗确定性输出并执行结构化的多步推理：

1. 依赖图影响分析
2. 基于结构约束的主动排序
3. 因果“为什么风险”链构建
4. 使用Microsoft Learn MCP进行基础修复

AI没有得分。它对得分过高的证据进行了推理。

结果是 由真实Azure遥测技术支持的可重复、证据驱动的治理评估。

此工具仅使用只读访问。 它需要Azure Reader角色（RBAC），并且不会对您的环境进行任何更改——无需写入、无需部署、无需修改配置。在生产租户中安全运行。

运行一个命令——获得评分评估、高管简报和可追溯的30-60-90转型计划。

______________________________________________________________________

发动机产生什么

📸 演示走查

以下屏幕截图显示了使用以下命令对真实Azure测试租户执行的完整Azure着陆区评估的输出 只读访问.

______________________________________________________________________

评估执行环境

扫描程序在收集平台信号之前会发现租户范围、管理组和订阅。

这验证了访问权限，确认了范围，并确保了评估开始前的信号可用性。

Execution Context

______________________________________________________________________

企业准备门

确定性就绪门决定了平台基础是否为企业级着陆区的采用做好了准备。

该闸门汇总了关键控制故障和平台成熟度指标。

Foundation Gate

______________________________________________________________________

企业就绪阻止程序

结构差距阻碍了企业规模着陆区的采用。

这些阻断器直接来源于失败的控制和依赖图分析。

Enterprise Readiness Blockers

______________________________________________________________________

主要商业风险

通过根本原因分析和支持性控制证据对平台风险进行确定性排名。

Top Business Risks

______________________________________________________________________

转型路线图

依赖关系已排序 30-60-90项补救措施 由控制图生成。

每项举措都解决了多个失败的控制问题，并解锁了平台功能。

30-60-90 Roadmap

______________________________________________________________________

ALZ设计区域细分

在治理、网络、身份、安全和平台设计领域进行详细的成熟度评分。

Design Area Breakdown

______________________________________________________________________

车间决策漏斗

CSA研讨会便利化视图，连接：

平台阻断器→ 商业风险→ 补救措施

Workshop Decision Funnel

______________________________________________________________________

关键问题和行动方案

推理引擎识别最关键的平台风险，并提供与架构一致的补救指导。

Critical Issues

______________________________________________________________________

CSA工作簿交付成果

评估自动生成客户就绪的Excel输出。

执行摘要

Excel Executive Summary

30-60-90转型计划

Excel Roadmap

完全控制可追溯性

Excel Control Details

______________________________________________________________________

交互式报告

打开完整的交互式演示报告

👉 查看HTML评估报告

由真实的Azure测试/实验室生成 Contoso租户 使用只读访问。

建筑特征

______________________________________________________________________

端到端架构

架构原理——单向数据流 确定性评估 动态 AI推理层。在人工智能执行之前，控制判断和风险评分是最终的。

Azure Tenant / Demo
        |
        v
Deterministic ALZ Assessment
(Resource Graph + Policy + Defender)
        |
        v
Control Scoring Engine
        |
        |------- one-way feed ------+
        |                           v
        +---------> CSA Workbook   AI Reasoning Engine
        |                           |
        |                           v
        |                     MCP Grounding Layer
        |            (Microsoft Learn retrieval + patterns)
        |                           |
        |                           v
        |                         WHY Reasoning Layer
        |
        +---------------------------+
                    |
                    v
          Traceable Deliverables

数据收集

• Azure资源图（28个批处理查询）
• 政策+合规
• 云+安全评估卫士
• 身份+RBAC（通过Microsoft Graph）
• 成本管理+顾问
• 监测+诊断
• 管理组层次结构

评估引擎

• 信号总线路由平台遥测控制评估器
• ALZ控制包评分：通过/失败/部分/手动
• 加权到期+风险模型

AI推理引擎

为什么是风险代理（确定性推理层）

• 失败的控制->依赖关系图影响
• 根本原因->级联效应
• 解决该问题的路线图行动
• Microsoft学习修正参考

______________________________________________________________________

先决条件

所需的Azure资源提供程序

该工具使用以下命令查询Azure资源图和ARM API 只读 电话。必须在目标订阅上注册以下资源提供程序，所有信号才能返回数据。默认情况下，大多数都是在使用过该服务的任何订阅上注册的，但如果信号返回空，则最常见的原因是缺少提供商注册。

要查看注册状态：

az provider show -n Microsoft.RecoveryServices --query "registrationState" -o tsv

要注册缺少的提供程序（需要参与者或所有者）：

az provider register -n Microsoft.RecoveryServices

注： 如果订阅中不存在资源类型（例如，没有AKS集群），评估器将返回 不适用 --不是错误。缺少提供商注册只在您 *有* 这些资源，但信号返回为空。

______________________________________________________________________

快速开始

1.克隆存储库

git clone https://github.com/rebmid/Reasoning-Agent-Azure-Landing-Zone-Assessment-Advisor.git
cd Reasoning-Agent-Azure-Landing-Zone-Assessment-Advisor

2.创建虚拟环境

Windows（PowerShell）：

python -m venv .venv
.\.venv\Scripts\Activate.ps1

macOS/Linux：

python3 -m venv .venv
source .venv/bin/activate

3.安装依赖项

pip install -r requirements.txt

4.配置环境变量

创建一个 .env 项目根目录中的文件（此文件被git忽略）：

AZURE_OPENAI_ENDPOINT=https://.openai.azure.com/
AZURE_OPENAI_KEY=

该工具需要一个 gpt-4.1 Azure OpenAI资源上的部署（或任何聊天完成模型）。

没有这些凭据，评估仍在运行——所有确定性评分、控制评估和数据收集工作正常。但是，将跳过11遍AI推理管道，这意味着这些报告部分将为空： - 30-60-90转型路线图 - 高管简报和主要商业风险 - 企业级准备和阻断 - 关键问题和行动方案 - 研讨会决策漏斗智能问题 - Microsoft Learn MCP接地 使用 --no-ai 明确跳过AI，或省略 .env 文件自动跳过。

5.使用Azure进行身份验证

az login

如果您有多个租户，请选择正确的租户：

az login --tenant 

6.运行评估

python scan.py                    # scans the default subscription
python scan.py --demo             # demo mode -- no Azure connection required
python scan.py --mg-scope  # scope to a management group (recommended for CSA)
python scan.py --tenant-wide      # all visible subscriptions (large tenants: use --mg-scope instead)

请参阅 CLI参考 适用于所有可用模式和标志。

该工具将：

1. 发现您的Azure执行上下文（租户、订阅、身份）
2. 从GitHub获取最新的ALZ检查表（~255个控件）
3. 针对您的环境运行所有评估器
4. 使用加权域评分对每个控件进行评分
5. 运行11遍AI推理流水线（需要 .env --参见步骤4）
6. 通过MCP获取Microsoft Learn文档中的基本建议
7. 将所有工件输出到 out/ 目录

______________________________________________________________________

配置

环境变量

所有变量都可以在 .env 项目根目录中的文件（通过自动加载 python-dotenv)或者作为系统环境变量。

Azure OpenAI模型

该工具默认为 gpt-4.1 部署名称。要使用其他模型，请修改 AOAIClient 初始化中 ai/engine/aoai_client.py.

API版本

违约： 2024-02-15-preview.可配置 AOAIClient.__init__().

______________________________________________________________________

输出工件

所有输出都写入 out/ 目录：

另外， assessment.json 作为便利副本写入项目根目录。

______________________________________________________________________

运作原理

1.数据收集

这 收藏家 模块通过资源图、Defender、策略、标识、成本管理、监控和管理组端点查询Azure API：

• 资源图 --ViewModel、防火墙、公共IP、NSG、路由表、存储帐户、密钥库、私有端点、诊断设置、Contoso对等、网关、Bastion、WAF/Front Door、私有DNS区域、磁盘加密、标签、自定义角色、策略豁免
• 防御者 --安全计划、安全评分、安全评估
• 政策 --政策定义、分配、合规状态、豁免
• 身份 --RBAC卫生、PIM使用和成熟度、破玻璃账户、条件访问、Entra ID日志、服务主体风险
• 成本管理 --预算、成本警报、预测准确性、闲置资源
• 监控 --工作空间拓扑、警报操作映射、操作组、可用性信号、更改跟踪、更新管理器
• 顾问 --跨支柱建议（安全性、成本、可靠性、性能）
• 管理组 --完整层次树

所有查询都使用 AzureCliCredential --与您通过验证的身份相同 az login.

2.评估与评分

这 信号总线 架构通过注册评估人员对收集的数据进行路由：

1. ALZ检查表从GitHub实时获取（8个设计领域约255个控件）
2. 每个控件都与一个评估器（59个自动）匹配或标记 Manual 如果不存在自动检查
3. 评估人员发出 Pass, Fail, Partial，或 Info 有证据的判决
4. 这 评分引擎 应用域权重和严重性乘数来生成综合风险评分
5. 自动化覆盖范围 经过计算——59个控件有自动评估器（约23%），其余控件需要与客户对话

3.人工智能推理引擎

AI层是一个 消费者 确定性评分输出——它通过以下方式接收评分控制、风险等级和证据 build_advisor_payload() 并制作咨询内容。它从不修改或反馈确定性的判断。

当AI启用时 11道推理流水线 针对Azure OpenAI运行：

这 AOAIClient 包括内置弹性：

• JSON围栏剥离 --从模型输出中删除markdown代码围栏
• 截断修复 --当输出被切断时，关闭悬挂的括号和字符串
• 重试循环 --对无效JSON响应最多重试2次

4.通过Microsoft Learn MCP接地

该工具使用 官方MCP Python SDK （可流式HTTP传输）连接到Microsoft文档API：

如果无法访问MCP 后备方案 使用公共学习搜索REST API提供标题+URL+描述。

接地线路用于：

• 转型路线图中的每一项举措
• 每个已识别的差距
• 目标架构

5.报告生成

HTML报告 (report.html):

• Foundation Gate——具有通过/失败阻断器的企业级就绪
• 顶级商业风险——通过根本原因分析进行确定性排名
• 30-60-90转型路线图及成熟度轨迹
• 设计区域细分——按8个官方ALZ设计区域（A-H）分组的控制
• 研讨会决策漏斗——每个领域的拦截器、风险和智能问题
• 关键问题和行动方案

CSA工作簿 (CSA_Workbook_v1.xlsm):

• 看 CSA工作簿深度学习 在......下面

______________________________________________________________________

CSA工作簿深度学习

该工作簿作为HTML报告的补充 面向客户的交付成果 --准备用于CSA业务的3页Excel文件：

第0页： 0_Executive_Summary

表1： 1_30-60-90_Roadmap

分阶段转型计划，其中每个行动项包括：

• 阶段 （30/60/90天）
• 行动 和 检查表ID （标准ALZ检查表ID，例如。 A01.01)
• CAF纪律 对齐
• 所有者 和 成功标准
• 依赖项
• 相关控制 --映射自 checklist_id 从项目控制到检查表ID
• 相关风险 --反向映射通过 top_business_risks[].affected_controls

第2页： 2_Control_Details

平板中的所有~255个控件：

______________________________________________________________________

为什么要进行风险推理(--why)

经过全面评估后，深入了解 为什么 特定域被标记为最高风险：

python scan.py --why Networking --demo

这运行a 6步因果推理流程 根据现有的评估数据：

AI输出包括：

• 根本原因 --为什么域名是最高风险
• 业务影响 --与证据相关的具体后果
• 修复序列 --基于依赖关系原理和学习URL的有序补救步骤
• 级联效应 --哪些下游控制将自动改进

输出保存到 out/why-{domain}.json.使用 --no-ai 在没有人工智能叙述的情况下获得原始证据有效载荷。

______________________________________________________________________

飞行前模式

在运行完整评估之前，请验证您的Azure权限：

python scan.py --preflight

飞行前探头检查：

• 订阅可见性
• 资源图查询访问
• 管理组读取权限
• 路虎卫士API访问
• 策略读取权限

结果保存到 out/preflight.json 并打印到带有通过/失败指示器的控制台上。

______________________________________________________________________

评分模型

域权重

严重性权重

状态乘数

综合风险评分 =所有控件的（严重性_重量x状态_乘数x域_重量）之和

______________________________________________________________________

ALZ设计区域测绘

这些ID与 checklist_ids 在ALZ控制包和CSA工作簿中的ID列中。

______________________________________________________________________

故障排除

______________________________________________________________________

借助AI辅助构建

该项目是使用GitHub Copilot作为AI对程序员开发的，用于代码生成、重构和测试脚手架。

所有架构、控制逻辑、Azure集成和推理工作流均由作者Rebekah Midkiff设计和实现。