Вашей автоматизации адаптации требуются разрешения для подключения новых серверов к Azure Arc, а вашей операционной группе необходимо управлять расширениями и гостевой конфигурацией на серверах с поддержкой Arc, но она не должна удалять ресурсы. Как следует назначить роли и организовать ресурсы?

Роль Azure Connected Machine Onboarding (Подключение компьютеров Azure) необходима для подключения новых серверов к Azure Arc, предоставляя необходимые разрешения для регистрации ресурсов. Назначение этой роли субъекту-службе в области подписки или группы управления обеспечивает возможность автоматизации адаптации. Роль Azure Connected Machine Resource Administrator (Администратор ресурсов подключенных компьютеров Azure) позволяет операционной группе управлять расширениями и гостевой конфигурацией на серверах с поддержкой Arc, но не дает разрешений на удаление ресурсов, что соответствует требованию безопасности. Назначение этой роли в области группы ресурсов, где размещены серверы Arc, обеспечивает гранулярный контроль. Роль Virtual Machine Contributor (Участник виртуальной машины) не подходит, так как она предназначена для управления виртуальными машинами Azure, а не серверами Arc. Размещение серверов Arc в той же группе ресурсов, что и рабочие виртуальные машины Azure, не является лучшей практикой для контроля доступа, поскольку это может привести к избыточным разрешениям.