Você bloqueia uma conta de armazenamento para redes selecionadas. Requisitos: (1) Permitir acesso de seus intervalos de IP públicos locais, (2) permitir que uma VM do Azure em uma sub-rede específica acesse a conta e (3) permitir que o Azure Data Factory (um serviço confiável da Microsoft) continue operando. Qual configuração atende a todos os requisitos?

As três opções corretas abordam os requisitos específicos. Adicionar os intervalos de IP públicos locais às regras de rede IP permite o acesso de sua rede local (requisito 1). Adicionar a sub-rede da VM às regras de rede virtual e habilitar o endpoint de serviço Microsoft.Storage nessa sub-rede permite que a VM do Azure acesse a conta de armazenamento com segurança (requisito 2). Habilitar a exceção "Permitir serviços do Azure na lista de serviços confiáveis" garante que serviços como o Azure Data Factory possam acessar a conta de armazenamento, mesmo com o firewall ativado (requisito 3). A concessão da função Storage Blob Data Contributor é para controle de acesso baseado em identidade, não para regras de firewall de rede. Adicionar os IPs públicos de saída da VM não é o método preferencial ou mais seguro; endpoints de serviço são a melhor prática para VMs na mesma rede virtual.