你有一个名为 storage1 的 Azure Data Lake Storage Gen2 账户，以及一个部署到托管虚拟网络中的名为 synapsews1 的 Azure Synapse 工作区。为了允许 synapsews1 访问 storage1，你应该配置哪个网络构造？

正确答案是私有终结点。私有终结点允许 Azure Synapse 工作区 (synapsews1) 通过 Azure 骨干网络安全地连接到 Azure Data Lake Storage Gen2 账户 (storage1)，而无需暴露在公共互联网上。这是访问 PaaS 服务的推荐安全方式。 对等互连（peering）用于连接两个或多个虚拟网络，使它们能够像在同一个网络中一样进行通信，但它不直接用于 PaaS 服务的安全访问。网络安全组 (NSG) 用于过滤虚拟网络中 Azure 资源的网络流量，但它本身不提供从托管虚拟网络到 PaaS 服务的私有连接。虚拟网络网关（virtual network gateway）用于在本地网络与 Azure 虚拟网络之间或不同 Azure 虚拟网络之间发送加密流量，通常用于 VPN 或 ExpressRoute 连接，不适用于此处 PaaS 服务的私有访问场景。