Ihre Onboarding-Automatisierung benötigt die Berechtigung, neue Server mit Azure Arc zu verbinden, und Ihr Betriebsteam muss Erweiterungen und Gastkonfigurationen auf Arc-fähigen Servern verwalten, darf aber keine Ressourcen löschen. Wie sollten Sie Rollen zuweisen und Ressourcen organisieren?

Die Rolle "Azure Connected Machine Onboarding" ist korrekt, da sie die minimal erforderlichen Berechtigungen für einen Dienstprinzipal bereitstellt, um Server in Azure Arc zu integrieren, ohne unnötige Rechte zu gewähren. Die Zuweisung auf Abonnement- oder Verwaltungsgruppenebene ermöglicht das Onboarding über mehrere Ressourcengruppen hinweg. Die Rolle "Azure Connected Machine Resource Administrator" ist für das Betriebsteam korrekt, da sie die Verwaltung von Erweiterungen und Gastkonfigurationen auf Arc-fähigen Servern erlaubt, aber keine Berechtigung zum Löschen von Ressourcen beinhaltet, was den Anforderungen entspricht. Die Rolle "Virtual Machine Contributor" ist falsch, da sie für Azure-VMs und nicht für Arc-fähige Server gedacht ist und zudem Löschberechtigungen enthält. Das Beibehalten von Arc-fähigen Servern in derselben Ressourcengruppe wie Produktions-Azure-VMs ist falsch, da dies die Zugriffssteuerung unnötig komplex machen und das Prinzip der geringsten Rechte verletzen würde, indem es dem Betriebsteam möglicherweise Zugriff auf Produktions-VMs gewährt.