Azure

Kết nối subscription Azure của bạn để cho phép các agent CloudThinker phân tích chi phí, kiểm tra tuân thủ và quản lý hạ tầng trên Microsoft Azure. Azure xác thực bằng service principal (đăng ký ứng dụng + client secret + tenant ID); các role assignment của principal xác định những gì mỗi agent có thể đọc.

Yêu cầu trước

Một subscription Azure với quyền Owner hoặc User Access Administrator.
Quyền tạo app registration trong Microsoft Entra ID.
Đã đăng ký xác thực đa yếu tố cho tài khoản. Security defaults chặn việc đăng ký ứng dụng nếu chưa có.

Reader cộng Cost Management Reader là đủ cho mọi agent chỉ đọc. Chỉ thêm role ghi khi bạn muốn agent thay đổi tài nguyên Azure.

Thiết lập

Azure CLI
Azure portal

Chọn subscription

az login
az account set --subscription <subscription-id>

Tạo service principal

az ad sp create-for-rbac --name cloudthinker \
  --role Reader \
  --scopes /subscriptions/<subscription-id>

Sao chép kết quả. password chỉ hiển thị một lần.

{
  "appId": "00000000-0000-0000-0000-000000000000",
  "displayName": "cloudthinker",
  "password": "the-client-secret",
  "tenant": "00000000-0000-0000-0000-000000000000"
}

Thêm quyền đọc chi phí

az role assignment create --assignee <appId> \
  --role "Cost Management Reader" \
  --scope /subscriptions/<subscription-id>

Thêm kết nối trong CloudThinker

Vào Connections → Azure và nhập appId vào APP_ID, password vào CLIENT_SECRET, tenant vào TENANT_ID. Chọn AZURE_DEFAULT_REGION, rồi nhấn Connect.Trạng thái thành công: kết nối hiển thị trạng thái Connected.

Đăng ký ứng dụng

Vào Azure Portal → Microsoft Entra ID → App registrations → New registration. Đặt tên cloudthinker, giữ nguyên loại tài khoản mặc định, rồi nhấn Register.

Sao chép các định danh

Ở trang tổng quan của ứng dụng, sao chép Application (client) ID và Directory (tenant) ID.

Tạo client secret

Vào Certificates & secrets → New client secret. Đặt thời hạn 12 tháng rồi nhấn Add. Sao chép Value của secret ngay lập tức.

Gán các role

Vào Subscriptions → subscription của bạn → Access control (IAM) → Add role assignment. Gán Reader cho app registration, rồi lặp lại với Cost Management Reader.

Thêm kết nối trong CloudThinker

Vào Connections → Azure và nhập client ID vào APP_ID, giá trị secret vào CLIENT_SECRET, directory ID vào TENANT_ID. Chọn AZURE_DEFAULT_REGION, rồi nhấn Connect.Trạng thái thành công: kết nối hiển thị trạng thái Connected.

Sao chép client secret ngay sau khi tạo. Azure không hiển thị lại. Chạy az ad sp credential reset --id <appId> để cấp secret mới.

Thanh toán theo Microsoft Customer Agreement

Subscription pay-as-you-go mua trực tuyến dùng Microsoft Customer Agreement (MCA). Cost Management trả về Given subscription doesn't have valid WebDirect/AIRS offer type cho subscription MCA, nên Optimize đọc chi phí ở scope billing profile. Cấp quyền cho service principal ở scope đó: vào Cost Management + Billing → billing account của bạn → Billing profiles → profile của bạn → Access control (IAM) → Add, rồi gán Billing profile reader cho app registration. Role assignment ở subscription không bao gồm scope thanh toán.

Chi tiết kết nối

Trường	Mô tả	Ví dụ
APP_ID	Application (client) ID của app registration	`00000000-0000-0000-0000-000000000000`
CLIENT_SECRET	Giá trị secret từ Certificates & secrets	—
TENANT_ID	Directory (tenant) ID của Microsoft Entra ID	`00000000-0000-0000-0000-000000000000`
AZURE_DEFAULT_REGION	Region mặc định cho các lệnh Azure CLI	`East US`

Subscription không phải là một trường của kết nối. CloudThinker tự phát hiện mọi subscription mà service principal đọc được.

Quyền cần thiết

Role	Scope	Cho phép
Reader	Subscription	Kiểm kê tài nguyên, kiểm tra bảo mật, phân tích hiệu năng
Cost Management Reader	Subscription	Chi tiêu, dự báo và khuyến nghị chi phí của Optimize
Billing profile reader	Billing profile MCA	Optimize cho subscription Microsoft Customer Agreement
Contributor	Subscription	Tùy chọn. Thao tác ghi tài nguyên có cổng phê duyệt

Chỉ Reader thì không có dữ liệu chi phí. Reader cấp */read, còn truy vấn Cost Management là một POST action không khớp với */read.

Chỉ gán Contributor khi bạn muốn agent thay đổi tài nguyên. Mọi lệnh ghi vẫn chờ bạn phê duyệt trong chat.

Khả năng của agent

Sau khi kết nối, các agent có thể phân tích và tối ưu tài nguyên Azure của bạn.

Agent	Khả năng trên Azure
Alex	Phân tích chi phí, right-sizing VM, khuyến nghị Reserved Instance, tối ưu tài nguyên
Oliver	Phát hiện từ Security Center, kiểm tra Microsoft Entra ID, kiểm tra tuân thủ, vi phạm chính sách
Tony	Hiệu năng SQL Database, tối ưu Cosmos DB, tinh chỉnh PostgreSQL
Kai	Quản lý cụm AKS, tối ưu container, phân tích workload

Kiểm tra kết nối

Run an Azure account check and list the connected subscriptions and resource groups

Prompt ví dụ

Analyze Azure VM costs over the last 30 days and right-sizing opportunities
Audit Azure Security Center findings and flag high-severity policy violations
Check AKS cluster health and any failing pods or resource pressure

Khắc phục sự cố

Đăng nhập bị chặn bởi security defaults

az login hoặc portal trả về AADSTS530035: Access has been blocked by security defaults. Security defaults yêu cầu xác thực đa yếu tố trước khi bạn đăng ký ứng dụng. Đăng ký một phương thức tại aka.ms/mfasetup rồi đăng nhập lại. Cờ --use-device-code và --allow-no-subscriptions không vượt qua được điều này.

Xác thực thất bại

Kiểm tra APP_ID, CLIENT_SECRET và TENANT_ID. Xác nhận secret chưa hết hạn và app registration nằm trong tenant bạn đã nhập. Kiểm tra không có chính sách conditional access nào chặn service principal đăng nhập.

Client secret hết hạn

Chạy az ad sp credential reset --id <appId>, hoặc vào Microsoft Entra ID → App registrations → ứng dụng của bạn → Certificates & secrets để tạo secret mới. Cập nhật CLIENT_SECRET trong kết nối.

Optimize không có dữ liệu chi phí

Optimize báo Azure Cost Management is not readable. Gán Cost Management Reader trên subscription. Nếu subscription dùng Microsoft Customer Agreement, gán thêm Billing profile reader trên billing profile. Role assignment cần vài phút để lan truyền.

Cost Management trả về 429

Subscription mới bị Cost Management giới hạn tần suất rất chặt, và truy vấn trả về 429 Too many requests. Đây không phải lỗi cấu hình. Chờ vài phút rồi tải lại Optimize.

Thiếu tài nguyên

Kiểm tra role Reader đã được gán trên mọi subscription bạn muốn thấy. Tài nguyên trong subscription mà service principal không đọc được sẽ không xuất hiện.

Bảo mật

Quyền tối thiểu — chỉ cấp các quyền mà agent cần cho trường hợp sử dụng của bạn; bắt đầu với quyền chỉ đọc và mở rộng sau.
Chỉ đọc theo mặc định — sử dụng thông tin xác thực chỉ đọc trừ khi bạn muốn agent thực hiện thay đổi qua kết nối này.
Xoay vòng thông tin xác thực — xoay vòng khóa và token theo lịch trình thông thường của bạn; CloudThinker sẽ lấy giá trị mới khi bạn cập nhật kết nối.
Thu hồi khi bàn giao — xóa thông tin xác thực tại nhà cung cấp khi bạn xóa một kết nối hoặc khi đồng nghiệp rời nhóm.

Đặt thời hạn secret — luôn đặt thời hạn cho client secret và xoay vòng trước khi hết hạn.
Giới hạn scope của role — gán Reader và Cost Management Reader trên các subscription CloudThinker cần, không mặc định gán ở cấp management group.

Tổ chức

Agent

Tự động hóa & Tự chủ

Kết nối

Cài đặt nền tảng

Bảo mật

Thanh toán

Yêu cầu trước

Thiết lập

Thanh toán theo Microsoft Customer Agreement

Chi tiết kết nối

Quyền cần thiết

Khả năng của agent

Kiểm tra kết nối

Prompt ví dụ

Khắc phục sự cố

Bảo mật

Liên quan

Kết nối AWS

Agent Oliver

​Yêu cầu trước

​Thiết lập

​Thanh toán theo Microsoft Customer Agreement

​Chi tiết kết nối

​Quyền cần thiết

​Khả năng của agent

​Kiểm tra kết nối

​Prompt ví dụ

​Khắc phục sự cố

​Bảo mật

​Liên quan

Kết nối AWS

Agent Oliver

Yêu cầu trước

Thiết lập

Thanh toán theo Microsoft Customer Agreement

Chi tiết kết nối

Quyền cần thiết

Khả năng của agent

Kiểm tra kết nối

Prompt ví dụ

Khắc phục sự cố

Bảo mật

Liên quan