Azure Resource Lookup: inventário antes de mudar a nuvem

ANÁLISE EDITORIAL

Inventariar o ambiente antes de alterá-lo parece uma etapa óbvia, mas costuma ser justamente o ponto em que automações de nuvem começam a trabalhar com uma visão incompleta. A Azure Resource Lookup transforma pedidos como “quais recursos existem nesta assinatura?” ou “liste os App Services deste grupo” em um fluxo explícito de descoberta. A Skill faz parte do repositório oficial microsoft/azure-skills, mantido pela Microsoft, e foi selecionada porque resolve uma tarefa operacional recorrente sem misturar inventário com implantação.

Esta curadoria foi feita em 30 de agosto de 2026. Na consulta, o repositório tinha 1.434 estrelas, a Skill declarava versão 1.2.1, o repositório oferecia a release v1.2.36 e o commit auditado era 8bcae3112896668ae0a4d02b44dddc0424d88c8c. A licença conferida é MIT. Esses dados registram o estado analisado, não prometem compatibilidade eterna nem substituem uma nova conferência quando o pacote for instalado.

Ilustração editorial exclusiva do Bastidores da IA. Não é captura de tela, interface real, logotipo da Microsoft, resultado de consulta nem prova de acesso a uma assinatura Azure.

O que esta Skill faz de verdade

A Azure Resource Lookup orienta um agente a listar, localizar e resumir recursos do Azure em uma ou várias assinaturas. Ela começa verificando se existe uma ferramenta dedicada para o tipo pedido, como máquinas virtuais, armazenamento ou Kubernetes. Quando a cobertura dedicada não basta, o fluxo usa o Azure Resource Graph, serviço de consulta sobre metadados de recursos. O arquivo original está no SKILL.md fixado no commit auditado.

O resultado é um inventário, não uma implantação. A Skill pode contar recursos por tipo e região, listar itens por grupo, identificar discos sem vínculo, IPs públicos sem configuração associada e recursos sem etiquetas obrigatórias. Ela também cobre App Services e Container Apps por consultas no Resource Graph quando não há uma operação de listagem equivalente no conjunto de ferramentas citado pelo projeto. O panorama oficial do Azure Resource Graph explica que o serviço consulta recursos em escala, usando as permissões que a identidade já possui.

A Skill não corrige, remove, liga, desliga ou reconfigura nada. Ela tampouco calcula economia automaticamente. Uma consulta pode revelar candidatos a revisão, como um disco sem vínculo, mas a conclusão operacional exige confirmação humana, documentação do serviço e análise de dependências.

Para quem serve

O caso mais forte é o de administradores Azure, equipes de plataforma, operações, segurança e FinOps que precisam saber o que existe antes de abrir uma mudança. Também é útil para desenvolvedores que receberam uma assinatura nova, consultores que precisam delimitar escopo e responsáveis por governança que querem medir cobertura de tags. Em todos esses cenários, a Skill organiza a descoberta e obriga a explicitar assinatura, grupo de recursos, tipo, região e limite de resultados.

Ela serve ainda como etapa preparatória para diagnóstico. Antes de investigar um aplicativo, o operador pode confirmar nome, tipo, grupo, região e estado de provisionamento. Antes de uma migração, pode contar recursos por tipo e assinatura. Antes de cobrar uma correção de tags, pode produzir uma lista objetiva dos itens sem Environment ou CostCenter. O diretório oficial pode ser conferido no caminho fixado no GitHub.

Não é a melhor escolha para alterar recursos, analisar custos em profundidade, consultar outras nuvens ou monitorar telemetria em tempo real. Esses pedidos precisam de ferramentas e controles próprios.

Compatibilidade e pré-requisitos

O pacote é documental e segue a convenção de Agent Skills. Para uso completo, o cliente de agente precisa reconhecer arquivos SKILL.md e ter uma forma autorizada de executar consultas Azure. O fluxo original menciona Azure MCP e Azure CLI. Se a rota escolhida for a CLI, são necessários o executável az, autenticação em um tenant permitido e a extensão resource-graph. A referência oficial de comandos está na documentação do grupo az graph.

Também é indispensável ter pelo menos leitura nos recursos consultados. A própria Skill trata AuthorizationFailed como falta de acesso e recomenda conferir RBAC. O Azure Resource Graph não amplia privilégios: uma identidade vê apenas o que suas atribuições permitem. Em ambientes com muitas assinaturas, o operador deve saber quais IDs pertencem ao trabalho e evitar uma varredura genérica no tenant.

A linguagem usada nas consultas é um subconjunto de KQL. Não assuma que toda construção do Azure Data Explorer funciona da mesma forma no Resource Graph. Consulte a linguagem de consulta documentada pela Microsoft antes de adaptar filtros complexos.

Instalação recomendada

A instalação mais auditável é copiar apenas a pasta azure-resource-lookup para o diretório de Skills do projeto ou usar o mecanismo documentado pelo cliente compatível, sempre fixando a revisão aprovada. O repositório contém muitas outras Skills, hooks e materiais. Baixar o catálogo inteiro pode ser conveniente, mas amplia a superfície revisada. Para um uso controlado, prefira o diretório específico no commit auditado.

O ZIP local do Bastidores contém somente SKILL.md, references/azure-resource-graph.md, LICENSE e ORIGEM.md. Não inclui Azure CLI, extensão Resource Graph, MCP, Node.js, scripts, executáveis, dependências, credenciais, tokens, inventários ou dados. O pacote documental não autoriza alterações em assinaturas e não instala ferramentas externas.

Depois de copiar os arquivos, abra-os no editor e compare o conteúdo com o commit auditado. A instalação só termina quando o agente reconhece a Skill e o operador confirma que nenhuma credencial foi adicionada ao pacote.

Configuração antes do primeiro uso

Comece declarando o tenant e a assinatura permitidos. Em seguida, liste as assinaturas acessíveis e confirme, fora do agente quando necessário, qual delas pertence à solicitação. Nunca escolha silenciosamente a primeira assinatura retornada. Para um pedido restrito a um grupo de recursos, registre também o nome exato do grupo. Para ambientes grandes, defina um limite inicial, por exemplo 50 registros, e amplie somente depois de avaliar a forma da resposta.

Na CLI, confirme a conta ativa com comandos de leitura e instale a extensão Resource Graph apenas se a política do ambiente permitir. A instalação de extensão é uma mudança na estação local, não no Azure, mas ainda pode exigir aprovação. A Skill sugere az extension add --name resource-graph; verifique a orientação atual na primeira consulta com Azure CLI.

Defina quais campos podem aparecer na saída. Nomes de recursos, grupos, assinaturas, regiões, tags e IDs podem revelar arquitetura e convenções internas. Em uma conversa compartilhada, reduza a projeção ao mínimo necessário e não cole resultados completos em tickets públicos.

Primeiro uso seguro

Faça uma pergunta pequena e verificável: “conte os recursos por tipo na assinatura aprovada, limitando a saída aos dez tipos mais frequentes”. Antes de executar, o agente deve repetir o escopo e informar que a consulta é somente leitura. Se houver mais de uma assinatura disponível, ele deve pedir ou confirmar o ID correto. O primeiro uso não deve procurar recursos órfãos nem produzir recomendações de exclusão.

Uma consulta simples pode partir da tabela Resources, resumir por type e ordenar pela contagem. Para nomes de assinatura, a referência da Skill mostra como associar Resources a ResourceContainers. O arquivo com padrões pode ser conferido em azure-resource-graph.md.

Compare uma pequena amostra com o Portal ou com uma listagem dedicada. Diferenças podem vir de escopo, latência de indexação, filtro incorreto ou permissão. Não compense uma resposta vazia removendo filtros indiscriminadamente.

Como o inventário deve funcionar

O fluxo recomendado tem cinco decisões. Primeiro, classificar o pedido: inventário, busca por tipo, auditoria de tags, estado de provisionamento ou candidato órfão. Segundo, escolher a rota mais específica. Uma ferramenta dedicada pode oferecer detalhes melhores para um único serviço; o Resource Graph é mais adequado para cruzar tipos e assinaturas. Terceiro, fixar escopo e limite. Quarto, executar a consulta e preservar a expressão usada. Quinto, entregar resultado, campos omitidos e limitações.

Para comparar tipos, use igualdade sem diferenciar maiúsculas e minúsculas, como a Skill recomenda com =~. Para campos dentro de properties, converta valores dinâmicos quando necessário. Para arrays, como sub-redes, use expansão apenas se o volume estiver controlado. A coleção oficial de consultas iniciais oferece exemplos que devem ser preferidos quando houver dúvida.

“Órfão” é um rótulo de triagem, não uma sentença. Um disco sem managedBy, um IP sem ipConfiguration ou uma interface sem máquina associada precisa ser investigado antes de qualquer ação. Backup, retenção, automação temporária e dependências fora do Resource Graph podem justificar o recurso.

Resultado esperado

Uma boa resposta traz uma tabela curta com nome, tipo, grupo, região e assinatura, seguida da consulta utilizada, do horário e do escopo. Se o pedido for contagem, ela inclui o total e informa se houve limite ou paginação. Se for auditoria de tags, mostra quais chaves foram testadas e diferencia tag ausente de valor vazio. Se for estado, explica que o dado vem de metadados indexados e pode não ser telemetria em tempo real.

O resultado também deve separar observação de interpretação. “O campo managedBy está vazio” é observação. “O disco pode ser removido” é hipótese e exige confirmação. Da mesma forma, encontrar publicNetworkAccess habilitado não prova exposição efetiva sem examinar regras, endpoints e controles do serviço.

Quando a consulta falhar, a saída útil registra o erro, o escopo tentado e a correção sugerida, sem inventar recursos. Quando voltar vazia, ela informa que não foram encontrados registros com aqueles filtros, em vez de afirmar que o ambiente não possui o serviço.

Permissões, privacidade e riscos

O Resource Graph é uma superfície de leitura, mas a informação retornada pode ser sensível. Nomes podem revelar clientes, projetos e ambientes. Tags podem conter responsáveis, centros de custo e classificações internas. IDs de assinatura e de recurso facilitam correlação com outros dados. Por isso, aplique privilégio mínimo, limite projeções e retenha somente o necessário para a tarefa.

A documentação oficial explica que as consultas respeitam as permissões do Azure RBAC. Veja os detalhes de permissões no Resource Graph. Evite conceder Reader no tenant inteiro apenas para simplificar uma consulta. Prefira assinatura ou grupo coerente com o trabalho.

O principal risco operacional é transformar um inventário em ação sem novo gate. Uma lista de recursos sem tag não autoriza alteração em massa. Uma lista de candidatos órfãos não autoriza exclusão. Uma lista de estados diferentes de Succeeded não autoriza reinício. A etapa de mudança precisa de plano, impacto, aprovação e possibilidade de reversão.

Erros comuns

Extensão ausente: se az graph não existir, confirme a política local antes de instalar resource-graph. AuthorizationFailed: valide tenant, assinatura ativa e atribuição RBAC; não tente contornar o bloqueio com outra identidade sem autorização. BadRequest: confira tabela, coluna e sintaxe KQL. Campos em properties variam por tipo e versão do provedor.

Resultado vazio: verifique ID da assinatura, nome do grupo e grafia do tipo. Use uma consulta de contagem mais ampla dentro do mesmo escopo para distinguir ausência real de filtro errado. Resultado grande: aplique --first, projeção de colunas e filtro por assinatura. Paginação e limites devem aparecer no relatório.

Dado desatualizado: o Resource Graph não é monitoramento em tempo real. Para incidentes ou métricas, consulte o serviço apropriado. Conclusão precipitada: não use um único campo para recomendar exclusão. A Skill ajuda a localizar candidatos; a validação de dependências continua sendo humana e específica do recurso.

Versão, licença e origem verificadas

A curadoria fixou o commit 8bcae3112896668ae0a4d02b44dddc0424d88c8c. Nele, o frontmatter da Skill declara autor Microsoft, versão 1.2.1 e licença MIT. A licença do repositório foi conferida no arquivo LICENSE fixado. A página de release v1.2.36 registra o estado publicado do projeto consultado.

O repositório tinha 1.434 estrelas na consulta de 30/08/2026. Estrelas indicam interesse, não revisão de segurança. O que sustentou a publicação foi a combinação de manutenção oficial, licença redistribuível, conteúdo inspecionável, finalidade clara e pacote documental pequeno.

SHA-256 do ZIP local: d083d7c46d02298f09765daf941c228ee790c15e6bb5a68d72efe28c6033acf8. Recalcule o hash depois de baixar. Se for diferente, não use o arquivo até esclarecer a origem.

Checklist antes de automatizar

• Confirme tenant, assinatura, grupo de recursos e limite de resultados.
• Valide que a identidade tem somente o acesso de leitura necessário.
• Revise a consulta KQL e os campos projetados antes da execução.
• Não exponha nomes, tags ou IDs em conversas e tickets públicos.
• Compare uma amostra com uma fonte independente do mesmo ambiente.
• Registre consulta, horário, escopo, limite e possíveis atrasos de indexação.
• Trate “órfão”, “sem tag” e “falhou” como candidatos a investigação.
• Abra um novo gate para qualquer correção, exclusão ou mudança de estado.
• Fixe a origem ou revalide a versão antes de repetir o procedimento.

O pacote local serve para auditoria documental e instalação controlada. O botão de download entrega somente os arquivos permitidos; o botão separado do repositório abre a origem oficial. Se a necessidade for implantar, corrigir ou remover recursos, pare aqui e inicie um fluxo de mudança próprio.