Virtual Machine Data Access Administrator (preview) + Virtual Machine Contributor

Virtual Machine Contributor gerencia as máquinas virtuais no plano de controle, mas não concede acesso ao sistema operacional. Virtual Machine Data Access Administrator (preview) faz exatamente isso: atribui Virtual Machine Administrator Login e Virtual Machine User Login. A separação entre administrar a VM e administrar quem entra na VM é o que impede que a operação de infraestrutura se transforme em acesso ao dado que roda dentro dela.

Uma identidade de operação de infraestrutura obtém sessão administrativa no sistema operacional de qualquer VM do escopo — incluindo VMs de produção com dados regulados — sem passar por concessão de acesso revisada.

• Manter a concessão de login em VM fora do perfil de operação de infraestrutura.
• Usar a condição ABAC da role para restringir quais roles podem ser atribuídas e a quais principals.
• Exigir Azure Bastion e acesso Just-in-Time para qualquer sessão administrativa em VM de produção.
• Alertar sobre atribuição de Virtual Machine Administrator Login feita por quem também tem Virtual Machine Contributor.

• https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles