您的公司有300个订阅，分布在三个部门：零售、制造和研发。您需要强制执行一项组织范围的策略，该策略拒绝创建公共IP，为每个部门应用不同的允许位置策略，授予审计员租户范围的Reader访问权限，并允许订阅所有者管理自己的资源。您应该实施什么样的管理组和分配设计？

此设计通过管理组的层次结构有效地满足了所有要求。Root - Corp - {Retail, Manufacturing, R&D} 结构允许在不同级别应用策略和角色。在Corp管理组应用拒绝公共IP策略，确保了整个组织的合规性。在每个部门管理组应用允许位置策略，实现了部门特定的配置。在Root管理组将Reader角色分配给Auditors组，确保了审计员对所有订阅的租户范围读取权限。保留订阅所有者在订阅级别的RBAC，允许他们管理自己的资源，同时遵守更高层级的策略。 其他选项不满足所有要求： 扁平层次结构或在每个订阅单独分配策略会导致管理复杂且不一致。 在每个资源组分配策略无法实现组织范围的策略，并且审计员需要对每个订阅单独分配权限。 Azure Lighthouse 用于跨租户管理，不适用于单个租户内的策略和角色分配。 在Root管理组分配所有策略无法实现部门特定的允许位置策略。