Azure Automation Hybrid Worker跨账户订阅脚本运行方案咨询

关于Automation Hybrid Worker的可用性结论 #

原生场景下无法直接覆盖所有跨账户VM，强行适配的维护成本极高，不推荐使用

• Automation Account的信任边界和其所属的Azure AD租户强绑定，默认只能纳管同租户下已配置RBAC权限的订阅内VM，跨独立Azure账户（对应不同Azure AD租户）的VM无法直接加入同一个Automation Account的Hybrid Worker组
• 如果硬要套Hybrid Worker方案，你需要给每个独立Azure账户/租户单独部署一套Automation Account，逐台给VM安装代理、配置对应环境的注册密钥。我自己在跨3个独立租户的环境里试过这套逻辑，光维护Worker在线状态、同步脚本版本、归集不同账户下的执行日志就占了日常运维近1/3的工作量，你这个十余个订阅、数百台VM的规模下，维护成本会高到完全没法接受
• 就算是同租户跨订阅的场景，你也需要给Automation Account的托管身份逐个配置所有订阅的操作权限，跨独立账户的场景依然绕不开多套Automation Account拆分维护的问题。

可满足需求的Azure原生服务方案 #

按落地复杂度和适配性排序，有两个生产可用的方案：

• 优先方案：Azure Arc启用服务器 + 自定义脚本扩展
  这个方案对跨账户、跨订阅甚至非Azure环境的VM兼容性最好：你只需要在所有目标VM上安装Arc连接计算机代理，通过跨租户注册流程把所有VM统一投影到你指定的管理租户Arc资源池即可，整个过程不会改变VM原本的所属权，也不影响原账户下的正常运维操作。所有VM完成Arc入网后，你可以直接通过门户、API、CLI批量下发PowerShell/Bash脚本，支持按标签、资源组、订阅维度灵活筛选目标机器，自动回传脚本执行状态和输出日志，跑数百台VM完全没有性能压力，后续还能复用Arc做统一补丁管理、安全基线检查等运维操作。
• 无代理方案：Azure Lighthouse跨租户委派 + VM Run Command
  如果你不想在VM上额外安装代理，可以先通过Azure Lighthouse把所有不同账户、不同订阅下VM的脚本执行相关权限，永久委派给你统一运维所用的Azure AD租户下的指定安全组。权限配置完成后，你可以通过Azure Resource Graph一次性查询出所有目标VM，直接调用Azure原生的Run Command接口批量下发脚本，不需要在VM内部署额外组件，所有执行记录都会存在对应VM的活动日志里方便审计。这个方案的限制是仅支持纯Azure VM，非Azure机器无法覆盖，同时要注意给长脚本配置足够的执行超时时间，避免脚本被强制中断。

实操提醒：不管选哪个方案，批量执行脚本前一定要先挑3-5台非核心业务的VM做灰度验证，确认脚本逻辑不会影响业务运行后再全量推送，避免批量操作引发生产故障。

内容的提问来源于stack exchange，提问作者Ken