cirro-azcli-ext

一个 Azure CLI 扩展，用于被动收集 Azure 资源数据到与 Cirro (https://github.com/bishopfox/cirro) 架构兼容的 SQLite 数据库中。它还会将所有 CLI 调用记录到一个 JSON-lines 文件中。

挂接到 knack 事件：

• EVENT_INVOKER_POST_PARSE_ARGS — 记录命令参数
• EVENT_INVOKER_FILTER_RESULT — 将资源数据写入 SQLite

设置

1. 安装扩展

az extension add --source dist/cirro_azcli_ext-*.whl

2. 禁用命令索引

az config set core.use_command_index=false

Azure CLI 会按命令索引延迟加载扩展。禁用它可确保此 扩展会为所有命令加载，从而可以观察每次调用。

工作原理

当任何 az 命令从远程 Azure 端点（ARM、Graph、Key Vault 等）返回数据时，该扩展会对每个结果项进行分类，并将其写入相应的 SQLite 表：

仅限本地的命令（version、extension、config 等）会被跳过。

数据库模式（与 Cirro 兼容）

ARM 资源

CREATE TABLE resources (
    id TEXT PRIMARY KEY, sub_id TEXT, rg_id TEXT, resource_type TEXT, data TEXT
);

Key Vault 项

CREATE TABLE keyVaultItems (
    id TEXT PRIMARY KEY, item_type TEXT, data TEXT
);

通用表（18 张表，每张 id TEXT PRIMARY KEY, data TEXT）

applications · administrativeUnits · conditionalAccessPolicies · devices · directoryRoles · eligibleArmRBAC · eligibleRoleAssignments · groups · managementGroupEntities · namedLocations · organization · oauth2PermissionGrants · policies · roleAssignments · servicePrincipals · subscriptions · tenants · users

配置

az config set cirro.db_path=/var/data/cirro_collect.db

命令

az cirro status          # show log stats and per-table row counts
az cirro status --tail 5 # show last 5 argument log entries