如何自动检测Azure DevOps IaaS仓库与Azure门户配置不一致

针对代码库存储的IaC配置和Azure门户实际生效配置不一致（即配置漂移）的问题，可直接基于Azure DevOps Pipeline加Azure原生能力落地全自动化检测，不需要额外采购第三方工具，具体实现路径如下：

核心实现逻辑 #

定时/实时拉取Azure侧实际运行的资源配置，和代码仓库对应分支的基准配置做结构化比对，过滤合法系统变更后输出差异明细，触发告警跟踪闭环，从流程上避免门户随意手改不回写的问题。

具体落地步骤 #

• 配置实际环境扫描任务
  在Azure DevOps里新建独立的检测Pipeline，配置两种触发规则：一是按周期定时触发（生产环境建议每2小时扫一次，测试环境可以每天扫2次）；二是接Azure活动日志的事件触发，只要监测到非Pipeline部署服务主体对高敏感资源（网络安全组、数据库、权限配置）做了写操作，立刻触发扫描。
  扫描任务用Azure CLI/Az PowerShell模块按资源组维度拉取全量资源配置，如果你用Terraform管理资源直接执行terraform plan -refresh-only，用Bicep/ARM的话直接跑az deployment group what-if，工具会自动输出实际环境和代码基准的差异，不用自己写逐字段比对逻辑。
  *踩过的坑：一定要提前配置字段过滤规则，把Azure平台自动更新的不可配置字段（比如资源内部ID、部署时间戳、系统生成的托管身份标识、平台默认推送的安全代理配置）加入忽略列表，否则每次扫描会出上百条无效误报，我第一次搭的时候在这步浪费了快3个小时排查。
• 多环境基准对齐
  扫描任务里同步拉取代码仓库对应分支的基准配置：生产环境对应master分支的配置文件，测试/预发环境对应develop分支的配置文件，和扫描出来的实际环境配置做环境维度的一一匹配，不要跨环境比对导致结果错乱。
• 差异结果校验
  对工具输出的差异列表做二次过滤，排除已经提交变更审批、还未执行部署的预期配置项，剩下的就是未同步的违规手改配置。结果里要明确标注：差异资源ID、差异字段路径、代码库存档的期望值、门户实际值、操作人（从Azure活动日志里直接捞取对应操作的账号信息）。
• 告警与闭环管控
  一旦检测到有效差异，Pipeline自动做三个动作：一是把差异明细推送到团队运维群/对应负责人的工作邮箱；二是在Azure DevOps里自动创建优先级为中/高的工作项，绑定对应资源的运维负责人，跟踪处理进度；三是如果是生产环境的核心配置漂移，直接临时锁死该资源组的后续部署Pipeline权限，避免下次部署直接覆盖手改配置引发线上故障，直到漂移处理完成再解锁。
  处理漂移的时候只允许两个操作：要么回滚门户上的违规手改配置，和代码库基准保持一致；要么把验证过的合理变更提交到对应代码分支，合并后更新基准配置，不允许直接把门户配置自动同步回代码库，防止误操作的错误配置直接流入基准。

可选优化项 #

• 把每次扫描的漂移结果归档到DevOps报表，按月统计漂移频次、高频漂移的资源类型、常发起手改操作的账号，反向优化运维流程，从规则上减少不必要的门户操作。
• 给核心资源配置变更前置校验：如果检测到用户在门户修改核心资源配置，直接弹出提示要求同步提交代码变更，否则操作会被自动回滚（适合管控严格的生产环境）。

注意：刚上线检测规则的时候建议先开1-2周的观察模式，只告警不做部署锁定这类强制动作，把过滤规则调优到误报率低于5%之后再开强制管控，避免影响正常运维操作。

内容的提问来源于stack exchange，提问作者Luc