VNet1 托管着一个名为 Pool1 的 Azure Virtual Desktop 主机池。你需要确保所有来自 Pool1 的出站流量都通过 Azure Firewall，并且应用 TLS 检查。你必须配置哪两个资源？（每个正确答案一分。）

要对 Azure Firewall 的出站流量执行 TLS 检查，需要将 TLS/SSL 证书存储在 Azure Key Vault 中。Azure Firewall 将使用 Key Vault 中的证书来解密和重新加密 TLS 流量。为了让 Azure Firewall 能够安全地访问 Key Vault 中的证书，需要为 Azure Firewall 配置一个托管标识 (Managed Identity)。托管标识提供了一个自动管理的身份，使 Azure 服务能够向支持 Azure AD 身份验证的资源进行身份验证，而无需在代码中管理凭据。因此，Azure Key Vault 用于存储证书，而托管标识用于授权防火墙访问 Key Vault。其他选项与此场景无关：Azure Private DNS zone 用于私有 DNS 解析；private endpoint 用于私有连接；Azure NAT gateway 用于简化出站连接；Microsoft Entra enterprise app 和 managed identity 是不同的身份验证机制，但在此场景中，managed identity 更适合服务间身份验证。