您将为三个主机池配置“连接时启动VM”，这些主机池的会话主机VM位于两个不同的订阅中。您将为所有池使用单个Microsoft Entra应用注册（服务主体），并且希望启动VM所需的权限最少。您应该为服务主体应用哪个RBAC分配？

正确的RBAC分配是在包含会话主机VM的每个资源组上分配Desktop Virtualization Power On Off Contributor。此角色专门为“连接时启动VM”功能设计，提供启动和停止虚拟机所需的最小权限，而不会授予不必要的广泛权限。由于会话主机VM位于不同的订阅中，并且您希望使用单个服务主体，因此必须在每个包含这些VM的资源组上授予此权限。 分配Owner角色权限过高，违反了最小权限原则。Virtual Machine Contributor角色虽然允许管理VM，但可能不完全覆盖“连接时启动VM”所需的特定操作，且权限仍可能超出所需。Desktop Virtualization Contributor角色主要用于管理Azure Virtual Desktop对象（如主机池、应用程序组），而不是直接管理VM的电源状态。Reader角色权限不足，无法执行启动VM的操作。