您需要確保資源群組 RG-AVD 中用於 Azure Virtual Desktop 工作階段主機的每個現有和未來的虛擬機器都已啟用系統指派的受控身分識別，並帶有 Role=AVD 和 Environment=Prod 標籤。強制執行必須自動補救現有的不合規 VM。您應該怎麼做？

正確答案是透過 Azure Policy 實現自動化和強制執行。內建的 Azure Policy 定義，例如「部署系統指派的受控識別以存取 Azure Key Vault」或自訂策略，可以設定為在虛擬機器上部署系統指派的受控識別 (DeployIfNotExists 效果)，並強制執行所需的標籤。在 RG-AVD 上執行補救任務將會自動修復現有的不合規 VM。 Azure Blueprints 雖然可以鎖定資源，但其主要功能是部署和管理環境，而不是動態修復不合規的資源。Azure Automation Runbook 是一種手動或排程的自動化方式，但它不如 Azure Policy 的即時強制執行和自動補救功能有效。依賴 ARM 範本和開發人員的遵守是一種被動方法，無法確保現有或未來不合規 VM 的自動修復。