Azure70-533の問題集でAADに関する問題があったのですが、下記がなぜ３．が回答になるかわからず、ご教示頂けると幸いです。
具体的には、仮想マシン共同作成者であれば仮想マシンを作成できてしまうため、問題で書いてある状態を再現できないと思て散ます。
■問題
経営陣はAzure Active Directory（Azure AD）のユーザーに対してAzureのアクセス許可を構成するように求めています。
ユーザーは、仮想マシン（VM）上ですべての操作を実行できる必要があります。
ユーザーがVMの可用性セットを作成および管理することを許可してはなりません。
必要最小限の管理作業で必要なアクセス権限を実装する必要があります。
アクセス権限をどのように割り当てる必要がありますか？
■選択肢
１．Windows PowerShellを使用して、仮想マシン共同作成者ロールからカスタムロールを作成し、NotActionsを使用してロールのアクセス許可をカスタマイズする。
２．Azureポータルからカスタムロールを実装し、適切なアクセス権限を追加してロールをカスタマイズする。
（正解）３．WindowsPowerShellを使用して、クラシック仮想マシン共同作成者ロールをユーザーに割り当てる。
４．仮想マシン共同作成者ロールをユーザーに割り当てる。
よろしくお願いします。