Azure Automation IaC调度任务咨询：VM部署、脚本执行与销毁

Hey Ruslan, 作为IaC新手能想到用代码化+自动化来管理这些重复任务，思路非常对！我来逐个解答你的问题：

1. 你的需求完全属于Azure Automation的范畴 #

Azure Automation就是为这类重复、自动化的云管理任务设计的——从VM的全生命周期管理（部署→配置→销毁）到后续的日志清理、资源合规检查等，都能轻松覆盖。你提到的多步骤工作流，正好是它的核心应用场景之一。

2. 完全可以用Git+Pull Requests实现代码化管理与自动更新 #

Azure Automation支持直接和GitHub、Azure Repos等Git仓库集成，实现源代码控制：

• 你可以把Runbooks、VM部署的Bicep/ARM模板、甚至要运行的PowerShell脚本都以文本形式存在Git仓库里
• 配置好源代码控制同步后，当你合并Pull Request到指定分支（比如main），Azure Automation会自动把仓库里的内容同步到你的自动化账户中
• 这样既可以实现版本回溯、多人协作，还能保证生产环境的自动化内容和代码仓库一致，避免手动操作的失误

3. 推荐使用Runbooks，而非DSC #

先明确两者的定位：

• Runbooks：用于执行一次性、线性的工作流，完全匹配你“部署VM→运行脚本→销毁VM”的步骤化需求。你可以用PowerShell Runbooks（最灵活）或者Graphical Runbooks（可视化编排步骤）来编写整个流程。
• DSC（Desired State Configuration）：是配置管理工具，用来保证VM始终处于你定义的“期望状态”（比如必须安装某软件、某服务必须运行），适合长期运行的VM的配置维护，不适合你这种临时创建后销毁的场景。

所以对你的需求来说，Runbooks是最优选择。

4. 如何在新VM上上传并运行PowerShell脚本？ #

给你推荐几种实用的方法，按便捷度排序：

方法一：用Invoke-AzVMRunCommand直接远程执行 #

这是最简单的方式，不需要提前上传脚本。在你的Runbook中，创建VM之后，直接用这个Azure PowerShell cmdlet把脚本内容传给VM并执行：

# 先定义你的脚本逻辑
$targetScript = @"
# 示例：下载文件到VM本地
Invoke-WebRequest -Uri "https://example.com/your-file.exe" -OutFile "C:\temp\installer.exe"

# 你的其他更新远程资源的逻辑
Write-Host "完成文件下载与资源更新"
"@

# 在目标VM上执行脚本
Invoke-AzVMRunCommand -ResourceGroupName "你的资源组名称" `
                      -VMName "刚创建的VM名称" `
                      -CommandId "RunPowerShellScript" `
                      -ScriptString $targetScript

注意：你的Azure Automation账户需要有Microsoft.Compute/virtualMachines/runCommand/action权限，用托管身份配置权限更安全。

方法二：部署VM时用自定义脚本扩展 #

如果你的VM部署是用Bicep/ARM模板实现的，可以直接在模板中加入自定义脚本扩展，VM启动后会自动下载并运行脚本：

• 可以把脚本内容直接嵌入模板（适合短脚本）
• 也可以把脚本存到Azure存储账户，模板中指定存储路径和SAS令牌（适合长脚本）

方法三：上传脚本到VM本地后运行 #

如果需要先把脚本传到VM，你可以在Runbook中用Copy-Item结合PowerShell远程（WinRM），或者用Azure存储账户的Blob共享，让VM下载脚本后再执行。不过这种方法步骤更多，不如前两种高效。

额外小建议 #

• 把VM的部署逻辑用Bicep/ARM模板编写，和Runbooks一起放到Git仓库，实现端到端的IaC管理
• 给Azure Automation账户启用系统托管身份，避免手动管理凭据，提升安全性
• 给Runbook设置调度时，可以选择按固定时间触发，或者结合Azure Monitor事件触发（比如特定条件满足时执行）

内容的提问来源于stack exchange，提问作者irriss