Virtual Machine Contributor + Network Contributor

Cada role isoladamente é intencionalmente limitada (VM Contributor não gerencia rede; Network Contributor não gerencia VMs) — um design que existe justamente para dificultar que uma única identidade reconfigure tanto o host quanto o caminho de rede ao mesmo tempo. Combinadas, essa segregação por design é anulada.

Abertura de uma regra de NSG para expor uma VM comprometida à internet, ou redirecionamento de tráfego de uma VM sensível para uma rede controlada pelo atacante.

• Manter VM Contributor e Network Contributor em equipes/times distintos (compute vs. networking).
• Auditar alterações de NSG/rota correlacionadas com alterações de configuração de VM na mesma janela de tempo.
• Usar Azure Firewall/Network Security Groups centralizados geridos por uma equipe de rede independente.

• https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles