Azure CLI 新增 Compute Gallery 镜像版本防误删功能解析

在 Azure 计算服务的最新更新中，Azure CLI 即将为 Compute Gallery 镜像版本管理引入一项重要的安全功能——"BlockDeletionBeforeEndOfLife"（生命周期结束前阻止删除）。这项功能将于 2024 年 3 月 API 版本 2024-03-03 中正式支持，预计在 2025 年 4 月的 Azure CLI 版本中发布。

功能背景

在云计算环境中，镜像管理是企业 IT 运维的关键环节。Compute Gallery（原 Shared Image Gallery）作为 Azure 中管理虚拟机镜像的核心服务，其镜像版本的生命周期管理直接影响着业务连续性。传统镜像管理中，管理员可能会因为误操作而提前删除尚未到达生命周期的镜像版本，导致依赖这些镜像的部署流程中断。

技术实现

新功能通过在镜像版本创建和更新时添加 block-deletion-before-end-of-life 布尔参数来实现防护机制。该参数具有以下特点：

1. 可选参数，默认值为 null
2. 当设置为 true 时，系统将在镜像的 end-of-life-date 之前阻止任何删除操作
3. 与现有的安全策略（如 allowDeletionOfReplicatedLocations）协同工作

使用场景

这项功能特别适用于以下场景：

• 企业合规要求：满足金融、医疗等行业对关键镜像保留期的合规性要求
• CI/CD 管道保护：防止自动化流程中意外删除生产环境依赖的基础镜像
• 多团队协作：在大型组织中避免不同团队间的误操作影响

CLI 命令示例

创建带防删除保护的镜像版本：

az sig image-version create \
    --resource-group MyResourceGroup \
    --gallery-name MyGallery \
    --gallery-image-definition MyImage \
    --gallery-image-version 1.0.0 \
    --end-of-life-date "2025-12-31" \
    --block-deletion-before-end-life true

更新现有镜像版本的防删除设置：

az sig image-version update \
    --resource-group MyResourceGroup \
    --gallery-name MyGallery \
    --gallery-image-definition MyImage \
    --gallery-image-version 1.0.0 \
    --end-of-life-date "2025-12-31" \
    --block-deletion-before-end-of-life true

技术细节

在底层实现上，该功能通过 Compute Gallery API 的 safetyProfile 属性进行控制。当启用该功能时，API 请求体中会包含如下结构：

"safetyProfile": {
    "allowDeletionOfReplicatedLocations": false,
    "blockDeletionBeforeEndOfLife": true
}

系统会在以下情况阻止删除操作：

1. 当前日期早于 end-of-life-date
2. blockDeletionBeforeEndOfLife 参数为 true
3. 尝试通过任何方式（CLI、Portal、API等）删除镜像版本

最佳实践建议

1. 生命周期规划：建议为关键业务镜像设置合理的 end-of-life-date，通常比实际使用周期延长1-2个迭代周期
2. 权限管理：结合 Azure RBAC，仅授权必要人员修改 block-deletion-before-end-of-life 设置
3. 监控告警：通过 Azure Monitor 设置镜像版本接近生命结束期的告警
4. 文档记录：在团队内部明确记录各镜像版本的生命周期策略

总结

Azure CLI 即将推出的这项功能为云环境中的镜像管理提供了额外的保护层，特别适合对系统稳定性要求高的生产环境。通过简单的命令行参数即可实现关键镜像的防误删保护，大大降低了因人为操作失误导致业务中断的风险。建议企业在功能发布后评估将其纳入标准镜像管理流程。