您有 VM1 和 VM2，它们必须只允许连接到 storage1，并且必须阻止访问任何其他存储账户。Storage1 必须仍然可以从互联网访问。您应该使用哪种解决方案？

服务终结点策略允许您为服务终结点流量定义精细的访问控制。在这种情况下，您可以创建一个策略，明确允许 VM1 和 VM2 访问 storage1，并隐式拒绝访问所有其他存储账户。同时，由于策略仅影响通过服务终结点从 VNet 到存储账户的流量，storage1 仍然可以从互联网公开访问。 网络安全组 (NSG) 无法区分不同存储账户的流量，只能基于 IP 地址、端口等进行过滤，因此无法满足只允许访问 storage1 的需求。私有链接和私有终结点将存储账户的访问限制在私有网络中，这将阻止 storage1 从互联网访问，不符合要求。