Los administradores de servidores deben poder crear máquinas virtuales solo en el grupo de recursos RG1 y conectar esas máquinas virtuales a redes virtuales existentes solo en el grupo de recursos RG2. Utilizando el principio de privilegio mínimo, ¿qué dos asignaciones de roles de RBAC satisfacen estos requisitos?

Para crear máquinas virtuales en RG1, se necesita el rol de Colaborador de máquina virtual (Virtual Machine Contributor) en el ámbito de RG1. Este rol permite crear y administrar máquinas virtuales, pero no gestionar redes. Para conectar esas máquinas virtuales a redes virtuales existentes en RG2, se requiere un rol que permita la acción de "Microsoft.Network/virtualNetworks/subnets/join/action" en RG2. El rol de Colaborador de red (Network Contributor) es demasiado permisivo, ya que permite la gestión completa de redes. Por lo tanto, un rol de RBAC personalizado con ámbito en RG2 que solo incluya la acción de unión a subredes cumple con el principio de privilegio mínimo. Los roles con ámbito de suscripción son demasiado amplios y violan el principio de privilegio mínimo.