参照：
https://docs.microsoft.com/en-us/azure/aks/kubernetes-walkthrough

ボックス 1: はい
NSG1 の受信セキュリティ ルールは、10.10.2.0/24 (または VM2 と VM3 が配置されているサブネット 2) から 10.10.1.0/24 (または VM1 が配置されているサブネット 1) までの TCP ポート 1433 を許可しますが、NSG2 の受信セキュリティ ルールは TCP ポートをブロックします。 10.10.2.5 (または VM2) から 10.10.1.5 (または VM1) への 1433。ただし、NSG1 ルールの優先順位は NSG2 ルールよりも高くなります (または値が低くなります)。
ボックス 2: はい
VM1 からの通信を明示的にブロックするルールはありません。したがって、通信を許可するデフォルトのルールが適用されます。
ボックス 3: はい
どちらも Subnet2 上にある VM2 と VM3 の間の通信を明示的にブロックするルールはありません。したがって、通信を許可するデフォルトのルールが適用されます。
参照：
https://docs.microsoft.com/en-us/azure/virtual-network/security-overview

Explanation:
ボックス 1: いいえ
仮想ネットワークはルートでは許可されず、継承されます。許可されたオーバーライドを拒否します。
ボックス 2: はい
ユーザーが必要な RBAC 権限を持っている場合は、管理グループ上に仮想マシンを作成できます。
ボックス 3: はい
ユーザーが必要な RBAC 権限を持っている場合、サブスクリプションを管理グループ間で移動できます。
参照：
https://docs.microsoft.com/en-us/azure/governance/management-groups/overview
https://docs.microsoft.com/en-us/azure/governance/management-groups/manage#moving-management-groups-and-subscriptions

ユーザーに役割を割り当てる
1. ディレクトリの全体管理者または特権ロール管理者のアカウントを使用して、Azure portal にサインインします。
2. [Azure Active Directory] ​​を選択し、[ユーザー] を選択して、リストから特定のユーザーを選択します。
3. 選択したユーザーに対して、[ディレクトリ ロール]、[ロールの追加] の順に選択し、[ディレクトリ ロール] リストから適切な管理者ロール (条件付きアクセス管理者など) を選択します。
4. [選択] を押して保存します。
参照：
https://docs.microsoft.com/en-us/azure/active-directory/fundamentals/active-directory-users-assign-role-azure-portal