您的入职自动化需要连接新服务器到 Azure Arc 的权限，并且您的运维团队需要管理 Arc 启用服务器上的扩展和访客配置，但不能删除资源。您应该如何分配角色和组织资源？

将 Azure Connected Machine Onboarding 角色分配给用于入职的服务主体，作用域为订阅或管理组，允许服务主体将服务器连接到 Azure Arc，这是入职自动化所需的权限。将 Azure Connected Machine Resource Administrator 角色分配给运维团队，作用域为放置 Arc 启用服务器的资源组，使团队能够管理扩展和访客配置，但不能删除资源，这符合运维团队的需求。Virtual Machine Contributor 角色不适用于 Arc 启用服务器。将 Arc 启用服务器与生产 Azure VM 放在同一个资源组中可能会导致权限过度，不符合最小权限原则。