Os ServerAdmins devem ter permissão para criar máquinas virtuais apenas no grupo de recursos RG1 e para conectar essas VMs a redes virtuais existentes apenas no grupo de recursos RG2. Usando o princípio do menor privilégio, quais duas atribuições de função RBAC satisfazem esses requisitos?

Para satisfazer os requisitos com o menor privilégio, os administradores precisam de permissões distintas para criar VMs e para conectar essas VMs a redes. A função "Virtual Machine Contributor para RG1" permite a criação e gerenciamento de máquinas virtuais dentro do RG1, que é onde as VMs devem ser criadas. Para conectar essas VMs a redes virtuais existentes no RG2, uma função RBAC personalizada é necessária. Esta função personalizada deve ter permissões específicas para associar interfaces de rede a redes virtuais (como Microsoft.Network/networkInterfaces/join/action) e deve ser aplicada com escopo para RG2. A função "Network Contributor para RG2" seria muito permissiva, pois permite criar e gerenciar redes, o que excede o requisito de apenas conectar VMs a redes existentes. As opções de "Contributor no escopo da assinatura" ou "função RBAC personalizada com escopo para a assinatura" concederiam privilégios excessivos em toda a assinatura. "Network Contributor para RG1" não é relevante para redes em RG2.