Jaki jest najlepszy sposób na przyznanie zespołowi uprawnień do uruchamiania i zatrzymywania maszyn wirtualnych tylko w określonej grupie zasobów?

Najlepszym rozwiązaniem jest użycie niestandardowej roli RBAC (Role-Based Access Control) z określonymi akcjami. Pozwala to na precyzyjne zdefiniowanie uprawnień do uruchamiania i zatrzymywania maszyn wirtualnych (Microsoft.Compute/virtualMachines/start/action, Microsoft.Compute/virtualMachines/restart/action, Microsoft.Compute/virtualMachines/deallocate/action) w ramach konkretnej grupy zasobów, bez nadawania zbędnych uprawnień. Przypisanie roli Contributor na poziomie subskrypcji dałoby zbyt szerokie uprawnienia, umożliwiając zarządzanie wszystkimi zasobami. Zastosowanie blokady ReadOnly na maszynie wirtualnej uniemożliwiłoby jakiekolwiek operacje modyfikacji, w tym uruchamianie i zatrzymywanie. Przyznanie roli Owner w grupie zasobów również jest zbyt szerokie, dając pełną kontrolę nad wszystkimi zasobami w tej grupie.