User1 должен иметь возможность назначать политику корневой группе управления клиента. Что следует сделать, чтобы это разрешить?

Для назначения политики на корневую группу управления клиента требуются разрешения уровня каталога, которые предоставляет роль Global administrator в Azure Active Directory. Эта роль позволяет управлять всеми аспектами Azure AD и, следовательно, назначать политики на самом высоком уровне иерархии Azure. После назначения этой роли User1 сможет настроить управление доступом для ресурсов Azure, включая назначение политик на корневую группу управления. Назначение роли Owner для подписки Azure недостаточно, так как эта роль предоставляет права только в пределах одной подписки, а не на уровне корневой группы управления, которая охватывает весь клиент. Изменение политик условного доступа также не предоставит необходимых разрешений для назначения политик на корневом уровне. Создание новой группы управления и назначение User1 владельцем этой группы также не решит задачу, поскольку политика должна быть назначена на корневую группу управления, а не на новую, дочернюю группу.