Sua automação de integração precisa de permissão para conectar novos servidores ao Azure Arc, e sua equipe de operações precisa gerenciar extensões e configuração de convidado em servidores habilitados para Arc, mas não deve excluir recursos. Como você deve atribuir funções e organizar os recursos?

A função Azure Connected Machine Onboarding (Integração de Máquina Conectada do Azure) permite que um service principal (entidade de serviço) integre servidores ao Azure Arc, atendendo ao requisito de automação. Atribuí-la no escopo da assinatura ou grupo de gerenciamento garante que a automação possa integrar servidores em toda a hierarquia. A função Azure Connected Machine Resource Administrator (Administrador de Recursos de Máquina Conectada do Azure) concede à equipe de operações permissões para gerenciar extensões e configurações de convidado em servidores habilitados para Arc, mas não para excluí-los, o que está alinhado com a necessidade de gerenciamento sem permissões de exclusão. Atribuí-la no escopo do grupo de recursos onde os servidores estão localizados limita o acesso apenas aos recursos relevantes. A função Virtual Machine Contributor (Colaborador de Máquina Virtual) é muito permissiva e não é específica para o Azure Arc. Manter servidores habilitados para Arc no mesmo grupo de recursos que VMs de produção do Azure pode complicar o controle de acesso e não é uma prática recomendada para segregação de responsabilidades.