Você precisa garantir que todas as máquinas virtuais atuais e futuras no grupo de recursos RG-AVD, usadas para hosts de sessão do Azure Virtual Desktop, tenham uma identidade gerenciada atribuída pelo sistema habilitada e carreguem as tags Role=AVD e Environment=Prod. A aplicação deve corrigir automaticamente as VMs não conformes existentes. O que você deve fazer?

A atribuição de definições de Azure Policy internas com o efeito DeployIfNotExists (DIFE) é a solução mais eficaz. As políticas DIFE podem implantar recursos (como identidades gerenciadas) e modificar configurações (como tags) automaticamente em recursos existentes e novos que não estão em conformidade. A execução de tarefas de correção garante que as VMs existentes sejam atualizadas. Usar o Azure Blueprints para bloquear o grupo de recursos não adiciona as tags ou a identidade; ele apenas impede alterações não conformes. Um runbook do Azure Automation é uma solução manual e reativa, não proativa e automatizada como a política. Exigir tags e identidade em um modelo ARM depende da conformidade do desenvolvedor e não corrige automaticamente recursos existentes ou futuros que não usam o modelo.