您的公司擁有 300 個訂閱，分佈在三個部門：零售、製造和研發。您需要強制執行組織範圍的政策，拒絕建立公用 IP、為每個部門套用不同的允許位置政策、授予稽核員租用戶範圍的 Reader 存取權，並允許訂閱擁有者管理自己的資源。您應該實作哪種管理群組和指派設計？

此設計利用管理群組的階層結構來有效率地套用政策和權限。建立 Root - Corp - {Retail, Manufacturing, R&D} 階層允許在 Corp 層級套用全組織的政策 (拒絕公用 IP)，該政策會繼承到所有子管理群組和訂閱。部門特定的允許位置政策則在各自的部門管理群組層級套用。將 Reader 角色在 Root 層級指派給稽核員群組，確保他們對所有訂閱都具有租用戶範圍的唯讀存取權。保留訂閱的 RBAC 給擁有者，符合讓他們管理自己資源的要求。 其他選項不符合所有要求：扁平階層需要重複指派，效率低下；在資源群組層級指派政策無法實現租用戶範圍的控制；Azure Lighthouse 用於跨租用戶管理，不適用於此內部場景；僅在 Root 指派所有政策無法實現部門特定的允許位置。