Je onboarding-automatisering heeft toestemming nodig om nieuwe servers te verbinden met Azure Arc, en je operations-team moet extensies en gastconfiguratie op Arc-enabled servers beheren, maar mag geen resources verwijderen. Hoe moet je rollen toewijzen en resources organiseren?

De Azure Connected Machine Onboarding-rol geeft de service principal de minimale rechten die nodig zijn om servers te verbinden met Azure Arc, wat essentieel is voor automatisering. Het toewijzen op abonnements- of beheergroepbereik zorgt ervoor dat de automatisering servers in de hele omgeving kan onboarden. De Azure Connected Machine Resource Administrator-rol biedt het operations-team de mogelijkheid om extensies en gastconfiguratie te beheren op Arc-enabled servers, zonder de rechten om de servers te verwijderen, wat voldoet aan de vereiste om verwijdering te voorkomen. Het toewijzen op resourcegroepniveau past het principe van minimale privileges toe. De Virtual Machine Contributor-rol is te breed en geeft onnodige rechten, zoals het beheren van Azure VM's. Het plaatsen van Arc-enabled servers in dezelfde resourcegroep als productie Azure VM's is geen best practice voor toegangscontrole, omdat het de scheiding van taken bemoeilijkt en het risico op overbevoegdheid vergroot.