15個のAzureサブスクリプションと、Group1という名前のセキュリティグループを持つAzure ADテナントがあります。今後、追加のサブスクリプションを購入する予定です。最小限の特権に従い、管理作業を最小限に抑えながら、Group1が既存および将来のすべてのサブスクリプションのロール割り当てを管理できるようにする必要があります。どうすればよいですか？

ルート管理グループにGroup1をユーザーアクセス管理者ロールとして割り当てることで、Group1は既存および将来のすべてのサブスクリプションのロール割り当てを管理できます。これは、管理グループがサブスクリプションの階層的なコンテナとして機能し、ルート管理グループに付与されたアクセス許可がすべての下位サブスクリプションに継承されるためです。ユーザーアクセス管理者ロールは、リソースへのユーザーアクセスを管理するために必要なアクセス許可を付与し、最小限の特権の原則に準拠しています。所有者ロールはより広範な権限を持ち、リソースの削除など、ロールの管理以外の操作も許可するため、最小限の特権に反します。新しい管理グループを作成しても、既存のすべてのサブスクリプションをカバーできない可能性があります。