ServerAdmins 必须被允许仅在资源组 RG1 中创建虚拟机，并将这些虚拟机连接到仅在资源组 RG2 中存在的虚拟网络。使用最小权限，哪两个 RBAC 角色分配满足这些要求？

ServerAdmins 需要在 RG1 中创建虚拟机，这要求他们拥有在 RG1 中创建和管理虚拟机的权限。Virtual Machine Contributor 角色提供了在资源组中创建和管理虚拟机的能力，因此将其分配给 RG1 范围是合适的。 同时，ServerAdmins 需要将这些虚拟机连接到 RG2 中的虚拟网络。直接在 RG2 上分配 Network Contributor 角色会赋予他们对 RG2 中所有网络资源的广泛控制，这超出了“仅连接到虚拟网络”的最小权限原则。因此，创建一个作用域为 RG2 的自定义 RBAC 角色，该角色仅包含连接虚拟网络所需的特定权限（例如 Microsoft.Network/virtualNetworks/subnets/join/action），能够更好地满足最小权限原则。 订阅范围的 Contributor 角色和订阅范围的自定义 RBAC 角色都提供了过于宽泛的权限，不符合最小权限原则。RG1 的 Network Contributor 角色与在 RG2 中连接虚拟网络的需求不符。