Su automatización de incorporación necesita permiso para conectar nuevos servidores a Azure Arc, y su equipo de operaciones necesita administrar extensiones y la configuración de invitados en servidores habilitados para Arc, pero no debe eliminar recursos. ¿Cómo debe asignar roles y organizar los recursos?

Para la incorporación, el rol Azure Connected Machine Onboarding permite al "service principal" conectar nuevos servidores a Azure Arc sin otorgar permisos excesivos, y asignarlo a nivel de suscripción o grupo de administración es apropiado para la automatización. Para el equipo de operaciones, el rol Azure Connected Machine Resource Administrator les permite administrar extensiones y configuraciones de invitados en servidores habilitados para Arc, como se solicita, sin la capacidad de eliminar recursos, y asignarlo al grupo de recursos específico es una práctica de menor privilegio. Asignar el rol Virtual Machine Contributor no es apropiado, ya que está diseñado para máquinas virtuales de Azure y no para servidores habilitados para Arc, y otorgarlo a nivel de suscripción daría demasiados permisos. Mantener los servidores habilitados para Arc en el mismo grupo de recursos que las máquinas virtuales de producción de Azure no es una buena práctica de seguridad, ya que mezcla diferentes tipos de recursos y podría complicar el control de acceso.