您的安全團隊希望僅在需要時才授予工程師生產訂閱的臨時擁有者權限。要求：權限分配必須有時間限制（最長 8 小時），需要值班經理的批准和啟用時的多重要素驗證 (MFA)，並且每季重新認證。您應該如何配置？（請選擇兩項）

正確答案是使用 Azure AD PIM for Azure resources 讓工程師有資格擔任擁有者，並制定啟用策略，要求批准和 MFA，並將持續時間限制為 8 小時，以及為訂閱擁有者角色建立定期 PIM 存取審查，要求每季證明，並移除未回應的使用者。Azure AD PIM (Privileged Identity Management) 專為管理臨時、基於時間的角色分配而設計，符合所有要求：臨時權限、批准、MFA 和時間限制。PIM 的存取審查功能則能滿足每季重新認證的需求。直接分配權限不符合臨時性或批准要求。Azure AD 存取審查用於 Microsoft 365 群組成員資格，而非直接管理 Azure 資源角色。Azure Policy 無法動態地在 8 小時後移除角色，且無法滿足批准和 MFA 的要求。