认识账号、目录与资源权限
Microsoft Entra ID 管理组织账号、身份验证方式、组和目录角色。Azure 资源的访问权限由 Azure RBAC 管理。先区分这两类权限，再给账号分配它实际需要的能力。
| 需求 | 对应权限或设置 |
|---|---|
| 创建、管理普通组织用户 | Entra 用户管理员 / User Administrator |
| 创建测试资源，管理资源访问 | 测试资源组上的 Azure 角色；本教程管理员使用 Owner |
| 看见 AVD 发布的桌面 | 应用程序组上的 Desktop Virtualization User |
| 以普通用户登录 Entra 加入的演示 VM | VM 上的 Virtual Machine User Login |
| 配置租户级 AVD 单一登录前置设置 | 符合官方要求的 Entra 应用管理角色；User Administrator 不覆盖该项 |
资源组 Owner 不等于 Entra 全局管理员；Entra 用户管理员也不会自动获得 Azure 资源权限。 给普通 AVD 测试用户分配桌面与登录权限即可，不必授予 Owner 或用户管理员。
本教程使用两种账号
Section titled “本教程使用两种账号”- 演示管理员账号：在限定测试资源组中创建资源，并在 Entra 中演示用户管理。
- 桌面测试用户：作为普通成员，通过 Windows App 使用发布的桌面。
把 Azure 访问限定到一个测试资源组，可以减少 Portal 中展示的资源信息。它不会把成员账号与整个 Entra 目录完全隔离；用户管理的演示和截图还需要留意目录中的其他账号。
下一步：创建一个普通测试用户。