如何获取Azure RunAs Account证书过期预警？

针对你遇到的RunAs Account证书过期导致VM定时启动任务失效，需要提前获取过期预警的问题，我整理了几个实用的方案，你可以根据自己的场景选择：

• 使用Azure Monitor自定义日志警报
  这是最灵活的方式，通过Kusto查询追踪证书过期时间并设置预警：

  1. 进入Azure Monitor的「警报」页面，新建警报规则
  2. 选择你的目标Azure Automation账户作为资源
  3. 信号类型选「日志」，编写如下Kusto查询（可根据需求调整预警天数）：

     AutomationAccountResources
     | where ResourceType == "Microsoft.Automation/automationAccounts/certificates"
     | where Name contains "RunAsCertificate"
     | extend ExpiryTime = todatetime(properties.expiryTime)
     | extend DaysUntilExpiry = datetime_diff('day', ExpiryTime, now())
     | where DaysUntilExpiry < 30 // 提前30天触发预警
     

  4. 设置警报触发条件为「查询结果数大于0」，然后配置邮件、Teams或短信等通知渠道，确保第一时间收到提醒。

• 启用Azure Automation原生监控与诊断
  Azure Automation本身支持对RunAs账户的状态监控：

  1. 进入你的Automation账户，在「账户设置」里找到「RunAs账户」，可以直接查看当前证书的过期时间
  2. 开启Automation账户的诊断日志，将日志发送到Log Analytics工作区，之后就可以基于这些原生日志创建类似上面的警报规则，更贴合Automation的运行场景。

• 编写PowerShell Runbook定期检查并通知
  如果你需要更定制化的通知逻辑，可以创建一个自动化Runbook定期扫描证书状态：

  $automationAccountName = "你的自动化账户名称"
  $resourceGroupName = "对应的资源组名称"
  $alertThresholdDays = 30
  
  # 获取RunAs证书详情
  $runAsCert = Get-AzAutomationCertificate -AutomationAccountName $automationAccountName `
                                          -ResourceGroupName $resourceGroupName `
                                          -Name "RunAsCertificate"
  
  $daysUntilExpiry = ($runAsCert.ExpiryTime - (Get-Date)).Days
  
  # 当剩余天数小于阈值时发送通知
  if ($daysUntilExpiry -lt $alertThresholdDays) {
      $notificationMsg = "警告：RunAs Account证书将在$daysUntilExpiry天后过期，请及时更新！"
      # 这里可以集成Azure Logic Apps、SendGrid或企业邮件系统发送通知
      # 示例：调用Logic Apps触发器发送Teams消息
      # Invoke-RestMethod -Uri "你的Logic Apps HTTP触发器URL" -Method Post -Body @{Message = $notificationMsg}
  }
  

  给这个Runbook设置每周或每日的执行计划，确保持续监控证书状态。

• 用Azure Policy批量管控合规性
  如果你的环境中有多个Automation账户，推荐用Azure Policy批量检查证书过期情况：

  1. 创建自定义Policy规则，检查所有Automation账户的RunAs证书是否在预警阈值内
  2. 当证书即将过期时，Policy会标记该资源为不合规，同时你可以配置Policy的自动通知，或者在Azure门户的合规性仪表盘中集中查看风险状态。

内容的提问来源于stack exchange，提问作者Cyril