您將為三個主機集區設定「連線時啟動 VM」(Start VM on Connect)，這些主機集區的會話主機 VM 位於兩個不同的訂閱中。您將使用單一 Microsoft Entra 應用程式註冊 (服務主體) 來處理所有集區，並且希望以最低權限啟動 VM。您應該為服務主體套用哪種 RBAC 指派？

正確答案是「在包含會話主機 VM 的每個資源群組上指派 Desktop Virtualization Power On Off Contributor」。此角色專為「連線時啟動 VM」功能設計，提供啟動和停止虛擬機器所需的最低權限，而不會授予過多的存取權。由於會話主機 VM 位於不同的訂閱中，且您希望以最低權限原則操作，因此在每個包含這些 VM 的資源群組上指派此角色是最佳選擇。 「在包含會話主機的每個訂閱上指派 Owner」授予過多的權限，不符合最低權限原則。「在每個主機集區資源上指派 Virtual Machine Contributor」不適用，因為「連線時啟動 VM」功能需要特定的桌面虛擬化權限，且此角色權限過廣。「在工作區範圍指派 Desktop Virtualization Contributor」權限過高，且不直接控制個別 VM 的啟動與停止。「在兩個訂閱上指派 Reader」僅提供讀取權限，無法執行啟動 VM 的操作。