Contoso 希望确保其订阅中只有两个特定的存储账户（stg01 和 stg02）可以通过 Microsoft 骨干网从财务子网访问。他们计划使用服务终结点并附加额外的限制。哪种配置可以将子网的访问权限限制为仅限这些存储账户？

正确答案是创建包含特定存储账户资源 ID 的服务终结点策略，并将其与子网关联，同时在子网上启用 Microsoft.Storage 服务终结点。这是因为服务终结点策略允许您进一步限制通过服务终结点访问特定 Azure 服务的资源，确保只有策略中明确列出的存储账户可以从该子网访问。 其他选项不正确： 在子网上启用 Microsoft.Storage 服务终结点，然后在子网的 NSG 入站规则中列出允许的存储账户名称：NSG 规则无法按存储账户名称进行过滤，它们主要基于 IP 地址、端口和协议。 为两个存储账户使用 Private Endpoints，并将私有终结点 NIC 放置在财务子网中，以将访问权限仅限制为 stg01 和 stg02：私有终结点虽然可以提供专用访问，但它与服务终结点的使用场景和配置方式不同，且题目明确要求使用服务终结点并附加额外限制。 配置存储账户的防火墙，允许来自服务终结点的子网公共 IP 范围，并拒绝所有其他存储账户：服务终结点流量通过 Azure 骨干网，不使用子网的公共 IP。此外，这种方法无法精确到只允许特定的存储账户。