Каким из перечисленных ресурсов может быть назначена роль Contributor для VM1?

Правильный ответ — «Только Managed1 и App1». Роль Contributor для VM1 может быть назначена субъектам безопасности, которые могут действовать как удостоверения. Managed1 (управляемое удостоверение) и App1 (субъект-служба приложения) являются такими удостоверениями и могут быть назначены роли. Group1 — это группа безопасности Azure AD, которая может содержать пользователей или другие группы, но сама по себе не является удостоверением, которому напрямую назначаются роли для ресурсов. VM2 — это виртуальная машина, а не субъект безопасности, которому можно назначить роль для другой виртуальной машины.