本地Active Directory同步到Azure AD。Server1上的App1使用LDAP对抗本地域。Server1将迁移到Subscription1中的VM，但必须阻止该订阅访问本地网络。哪种解决方案能确保App1在遵守安全策略的同时继续运行？

正确的答案是Azure AD Domain Services (Azure AD DS)。App1使用LDAP与本地Active Directory通信。当Server1迁移到Azure VM且无法访问本地网络时，App1将无法连接。Azure AD DS提供托管域服务，包括LDAP支持，与Azure AD同步，并允许Azure VM加入域。这样，App1可以在Azure中继续使用LDAP，而无需直接连接到本地网络，满足了安全策略。 Azure AD Application Proxy用于发布内部Web应用到外部用户，不适用于LDAP。在虚拟机上安装Active Directory Domain Services角色会创建新的域控制器，但需要与现有本地域建立信任或复制，这通常需要网络连接，与“阻止该订阅访问本地网络”的策略冲突。Azure VPN gateway用于连接Azure虚拟网络与本地网络，这同样与禁止访问本地网络的要求相悖。