Vous avez 15 abonnements Azure et un tenant Azure AD avec un groupe de sécurité nommé Group1. Vous allez acheter des abonnements supplémentaires. Assurez-vous que Group1 peut gérer les attributions de rôles pour tous les abonnements existants et futurs tout en respectant le principe du moindre privilège et en minimisant l'effort administratif. Que devez-vous faire ?

Pour permettre à Group1 de gérer les attributions de rôles pour tous les abonnements existants et futurs, il faut lui accorder les permissions nécessaires au niveau le plus élevé de la hiérarchie Azure, qui est le groupe d'administration racine. Le rôle "Administrateur de l'accès utilisateur" est le rôle le plus approprié car il permet de gérer l'accès aux ressources Azure (y compris les attributions de rôles) sans accorder un contrôle total sur les ressources elles-mêmes, respectant ainsi le principe du moindre privilège. Attribuer le rôle "Propriétaire" au groupe d'administration racine donnerait à Group1 un contrôle total sur toutes les ressources, ce qui enfreindrait le principe du moindre privilège. Créer un nouveau groupe d'administration ne serait pas efficace car il faudrait ensuite y déplacer tous les abonnements existants et futurs, ce qui augmenterait l'effort administratif et ne garantirait pas la couverture de tous les abonnements futurs par défaut.