No Azure IaaS, quem é o responsável por aplicar as atualizações do sistema operacional convidado (guest OS) em uma VM?

Em um cenário de IaaS (Infraestrutura como Serviço) no Azure, o cliente é responsável pela manutenção do sistema operacional convidado (guest OS) da máquina virtual, incluindo a aplicação de atualizações e patches de segurança. O Azure gerencia a infraestrutura subjacente (hardware, virtualização, rede), mas o controle sobre o OS dentro da VM é do usuário. Azure Firewall e Microsoft Defender são serviços de segurança que protegem a rede e os recursos, mas não aplicam atualizações do sistema operacional. Azure AD (Active Directory) é um serviço de gerenciamento de identidade e acesso, não relacionado à manutenção do guest OS.