你有一个包含名为User1的用户的订阅。你需要允许User1创建托管标识，同时应用最小权限原则。你应该怎么做？

正确答案是创建一个资源组，并为User1分配托管标识参与者角色。托管标识参与者角色（Managed Identity Contributor role）允许用户创建、读取、更新和删除托管标识，这正是User1所需权限。将其分配到资源组级别，可以确保User1只能在该资源组内创建托管标识，从而遵循最小权限原则。 其他选项不正确： 混合身份管理员 Azure AD 角色权限过高，不符合最小权限原则，且管理组主要用于策略和权限的继承，不是创建托管标识的直接容器。 托管标识操作员角色（Managed Identity Operator role）主要用于管理现有托管标识的分配，不包括创建新标识的权限。 组织单位 (OU) 是Active Directory Domain Services (AD DS) 的概念，与Azure AD中的托管标识创建无关，且用户管理员 Azure AD 角色权限过高。