La tua azienda ha 300 sottoscrizioni suddivise in tre divisioni: Retail, Manufacturing e R&D. È necessario applicare una policy a livello di organizzazione che neghi la creazione di IP pubblici, applicare diverse policy di località consentite per divisione, concedere l'accesso Reader a livello di tenant agli Auditor e consentire ai proprietari delle sottoscrizioni di gestire le proprie risorse. Quale progettazione di gruppi di gestione e assegnazione dovresti implementare?

La gerarchia proposta (Root - Corp - {Retail, Manufacturing, R&D}) è la soluzione più efficiente. Assegnare la policy "Deny Public IPs" al gruppo di gestione "Corp" garantisce che si applichi a tutte le sottoscrizioni dell'organizzazione. Le policy "Allowed Locations" specifiche per divisione possono essere assegnate ai rispettivi gruppi di gestione (Retail, Manufacturing, R&D), permettendo la granularità richiesta. Concedere il ruolo "Reader" agli Auditor a livello "Root" assicura l'accesso di sola lettura a tutte le risorse. Mantenere l'RBAC a livello di sottoscrizione per i proprietari rispetta il requisito di gestione delle proprie risorse. Le altre opzioni non soddisfano tutti i requisiti in modo scalabile o efficiente: una gerarchia piatta o l'assegnazione per gruppo di risorse sono meno gestibili, Azure Lighthouse non è per questo scenario, e assegnare tutte le policy solo a Root non permette la granularità per divisione.