Si configurerà Avvia VM alla connessione per tre pool di host le cui VM host di sessione risiedono in due sottoscrizioni diverse. Si utilizzerà una singola registrazione dell'app Microsoft Entra (service principal) per tutti i pool e si desidera il privilegio minimo richiesto per avviare le VM. Quale assegnazione RBAC si dovrebbe applicare al service principal?

L'assegnazione del ruolo "Desktop Virtualization Power On Off Contributor" a livello di gruppo di risorse che contiene le VM host di sessione è la soluzione a privilegio minimo. Questo ruolo concede specificamente le autorizzazioni necessarie per avviare e arrestare le VM host di sessione, che è l'obiettivo della funzione "Avvia VM alla connessione". Poiché le VM si trovano in due sottoscrizioni diverse, il service principal necessita di questa assegnazione per ogni gruppo di risorse pertinente. Assegnare "Proprietario" a ogni sottoscrizione è un privilegio eccessivo. "Virtual Machine Contributor" è troppo ampio e non specifico per Azure Virtual Desktop. "Desktop Virtualization Contributor" a livello di area di lavoro non fornisce le autorizzazioni necessarie per le operazioni sulle VM sottostanti. "Lettore" non concede alcuna autorizzazione per avviare o arrestare le VM.