Vous allez configurer le démarrage de la VM à la connexion (Start VM on Connect) pour trois pools d'hôtes dont les VM d'hôtes de session résident dans deux abonnements différents. Vous utiliserez une seule inscription d'application Microsoft Entra (principal de service) pour tous les pools et souhaitez le privilège le moins élevé requis pour démarrer les VM. Quelle attribution RBAC devez-vous appliquer au principal de service ?

Le rôle « Desktop Virtualization Power On Off Contributor » est le rôle le moins privilégié qui permet au principal de service de démarrer et d'arrêter les machines virtuelles d'hôtes de session, ce qui est exactement ce que le démarrage de la VM à la connexion (Start VM on Connect) nécessite. L'appliquer au niveau du groupe de ressources garantit que le principal de service n'a des autorisations que sur les VM pertinentes, respectant ainsi le principe du moindre privilège. Le rôle « Propriétaire » est trop permissif. Le rôle « Virtual Machine Contributor » sur les ressources de pool d'hôtes n'est pas suffisant car il ne gère pas les opérations de démarrage/arrêt spécifiques à Azure Virtual Desktop. Le rôle « Desktop Virtualization Contributor » au niveau de l'espace de travail est trop large et ne cible pas les opérations de VM. Le rôle « Lecteur » est insuffisant car il n'accorde aucune permission d'écriture ou de contrôle.