あなたの会社には、Retail、Manufacturing、R&D の 3 つの部門にまたがる 300 のサブスクリプションがあります。パブリック IP の作成を拒否する組織全体のポリシーを適用し、部門ごとに異なる許可ロケーションポリシーを適用し、テナント全体の閲覧者アクセスを監査人に付与し、サブスクリプション所有者が自身のリソースを管理できるようにする必要があります。どのような管理グループと割り当て設計を実装すべきですか？

この設計は、管理グループの階層とAzureポリシーの継承を効果的に利用しています。Root管理グループの下にCorp管理グループを配置し、その下に各部門の管理グループを配置することで、組織全体のポリシー（パブリックIP拒否）をCorpレベルで適用し、部門固有のポリシー（許可ロケーション）を各部門管理グループで適用できます。これにより、ポリシーの重複を避け、管理を簡素化できます。監査人にはRootレベルで閲覧者ロールを付与することで、テナント全体の可視性を確保し、サブスクリプション所有者は引き続き自身のサブスクリプションでリソースを管理できます。 他の選択肢は、ポリシーの適用範囲が不適切であったり、管理が複雑になったり、要件を満たせないため不適切です。