2つの異なるサブスクリプションにセッションホストVMが存在する3つのホストプールに対して、Start VM on Connect を構成します。すべてのプールで単一のMicrosoft Entraアプリ登録 (サービスプリンシパル) を使用し、VMを起動するために必要な最小限の特権を付与したいと考えています。サービスプリンシパルに適用すべきRBAC割り当ては何ですか？

Start VM on Connect を構成するには、サービスプリンシパルがセッションホストVMの電源状態を変更できる必要があります。Desktop Virtualization Power On Off Contributor ロールは、この目的のために設計されており、VMの起動と停止に必要な最小限の権限を提供します。これを各リソースグループに割り当てることで、必要なVMのみにアクセスを制限できます。Ownerロールは過剰な権限であり、セキュリティリスクを高めます。Virtual Machine ContributorはVMの管理権限を与えますが、Start VM on Connect に特化しておらず、必要以上の権限を含む可能性があります。Desktop Virtualization ContributorはホストプールなどのAzure Virtual Desktopリソースの管理用であり、VMの電源操作には直接関係ありません。ReaderロールはVMの電源操作を許可しません。