如何访问Azure回收站？已删VM仍触发Defender告警如何解决？

关于回收站永久删除的问题 #

Azure虚拟机删除后默认会在回收站保留14天（若删除时未勾选“永久删除”选项），但你提到Azure资源中已无该VM记录，大概率是以下两种情况：

• VM已过回收站保留期，自动被永久删除；
• 删除VM时直接选择了永久删除，未进入回收站。

这时候无法再通过回收站操作该资源，因为它已不在回收站的保留列表内。

解决告警持续的步骤 #

• 确认VM及关联资源的彻底清理
  用Azure CLI执行以下命令排查残留：

  # 查看已删除的VM列表
  az vm list-deleted --subscription <你的订阅ID>
  

  如果TestVM1仍在列表中，执行永久删除命令：

  az vm delete --ids <VM的资源ID> --yes --no-wait --permanent
  

  同时排查关联的磁盘、网络资源，避免残留资源触发告警：

  # 查找关联TestVM1的磁盘
  az disk list --query "[?tags.VMName=='TestVM1']"
  

  找到残留资源后直接删除即可。

• 清理Defender告警缓存与设备状态

  1. 登录Azure Portal进入Microsoft Defender for Cloud，找到对应告警，手动标记为「已解决」或「误报」；
  2. 在Defender的「设备发现」模块搜索TestVM1，若设备仍显示为活跃状态，手动标记为「已退役」，阻止后续告警生成。

• 排查SQL Server关联痕迹
  告警提及Microsoft SQL Server，需确认：

  • 是否有独立的SQL Server/托管实例与TestVM1存在关联（比如数据同步、备份关联）；
  • 这些关联资源是否存在恶意软件残留，需对其进行安全扫描并清理。

内容的提问来源于stack exchange，提问作者Christy