你需要确保资源组 RG-AVD 中用于 Azure Virtual Desktop 会话主机的每台当前和未来的虚拟机都启用了系统分配的托管标识，并带有 Role=AVD 和 Environment=Prod 标签。强制执行必须自动修复现有不合规的虚拟机。你应该怎么做？

正确答案是“分配内置的 Azure Policy 定义，这些定义在虚拟机上部署系统分配的托管标识 (DeployIfNotExists) 并附加所需的标签，然后在 RG-AVD 上运行修复任务。” Azure Policy 允许您定义和强制执行组织标准，确保资源合规性。使用“DeployIfNotExists”效果的策略定义可以自动为不合规的虚拟机部署系统分配的托管标识和所需的标签。修复任务可以自动修复现有不合规的资源。 “使用 Azure Blueprints 锁定资源组并阻止不包含这些标签的更新”不适用于自动修复现有虚拟机。 “创建一个 Azure Automation runbook，每天运行以添加标识和标签”是一种手动方法，不如 Azure Policy 自动且集成。 “在 ARM 模板中要求标签和标识，并依赖开发人员只使用该模板”依赖于人工操作，无法强制执行或自动修复现有资源。