ServerAdmins moeten alleen virtuele machines kunnen maken in resourcegroep RG1 en die VM's alleen kunnen verbinden met bestaande virtuele netwerken in resourcegroep RG2. Welke twee RBAC-roltoewijzingen voldoen aan deze vereisten, uitgaande van het principe van minimale privileges?

De rol 'Virtual Machine Contributor' voor RG1 is correct omdat deze gebruikers in staat stelt VM's te maken en te beheren binnen RG1, wat voldoet aan de vereiste om VM's in die resourcegroep te maken. Een aangepaste RBAC-rol met bereik tot RG2 is correct omdat dit de meest precieze manier is om de benodigde netwerkrechten te verlenen zonder overbodige privileges. Deze aangepaste rol zou de actie Microsoft.Network/virtualNetworks/join/action moeten bevatten, zodat de VM's kunnen worden gekoppeld aan virtuele netwerken in RG2. De 'Network Contributor'-rol voor RG2 is te breed, omdat deze meer rechten geeft dan alleen het koppelen aan virtuele netwerken. De 'Contributor'-rol op abonnementsniveau is veel te breed en schendt het principe van minimale privileges. Een aangepaste RBAC-rol met bereik tot het abonnement is ook te breed. De 'Network Contributor'-rol voor RG1 is irrelevant, aangezien de virtuele netwerken zich in RG2 bevinden.