Você tem VM1 e VM2 que devem ter permissão para se conectar apenas ao storage1 e devem ser impedidas de acessar quaisquer outras contas de armazenamento. O storage1 ainda deve ser acessível pela internet. Qual solução você deve usar?

Uma política de ponto de extremidade de serviço (service endpoint policy) permite filtrar o tráfego de saída de uma rede virtual para serviços específicos do Azure, como contas de armazenamento. Ao usar uma política de ponto de extremidade de serviço, você pode permitir que VM1 e VM2 acessem apenas o storage1, enquanto bloqueia o acesso a outras contas de armazenamento. O storage1 permanece acessível pela internet porque a política controla o acesso da VNet ao serviço, não o acesso público ao serviço. Um network security group (NSG) filtraria o tráfego com base em endereços IP e portas, o que não é granular o suficiente para permitir o acesso a uma conta de armazenamento específica e bloquear outras. Um private link e um private endpoint tornariam o storage1 acessível apenas pela rede privada, o que contradiz o requisito de que o storage1 deve ser acessível pela internet.