Você tem uma assinatura que contém um usuário chamado User1. Você precisa permitir que User1 crie identidades gerenciadas aplicando o princípio do menor privilégio. O que você deve fazer?

A função de Colaborador de Identidade Gerenciada permite que o User1 crie, leia, atualize e exclua identidades gerenciadas. Atribuir essa função a um grupo de recursos adere ao princípio do menor privilégio, pois limita o escopo da permissão apenas aos recursos dentro desse grupo, em vez de conceder permissões mais amplas em toda a assinatura ou diretório. As outras opções são incorretas: A função de Administrador de Identidade Híbrida do Azure AD é para gerenciar a sincronização de identidades entre o Active Directory local e o Azure AD, não para criar identidades gerenciadas. A função de Operador de Identidade Gerenciada permite apenas ler e atribuir identidades gerenciadas, não criá-las. Unidades Organizacionais (OUs) são um conceito do Active Directory local e não são usadas diretamente para atribuir funções de RBAC do Azure. A função de Administrador de Usuário do Azure AD é para gerenciar usuários no Azure AD, não identidades gerenciadas.