Вы настроите Start VM on Connect для трех пулов хостов, чьи виртуальные машины сеансовых хостов находятся в двух разных подписках. Вы будете использовать одну регистрацию приложения Microsoft Entra (субъект-службу) для всех пулов и хотите получить наименьшие привилегии, необходимые для запуска виртуальных машин. Какое назначение RBAC следует применить к субъекту-службе?

Для включения Start VM on Connect с наименьшими привилегиями субъекту-службе требуется разрешение только на запуск и остановку виртуальных машин. Роль Desktop Virtualization Power On Off Contributor предоставляет именно эти права. Применение этой роли к каждой группе ресурсов, содержащей виртуальные машины сеансовых хостов, обеспечивает необходимый доступ без избыточных разрешений. Назначение Owner для подписки предоставляет слишком широкие права. Virtual Machine Contributor для пула хостов некорректно, так как роль должна быть на уровне виртуальных машин или их групп ресурсов. Desktop Virtualization Contributor в области рабочей области не предоставляет прав на управление питанием ВМ. Reader для подписок не дает никаких прав на изменение состояния ВМ.