VNet1 有一个名为 Subnet1 的子网。您必须确保连接到 Subnet1 的资源只能访问 storage1 和 storage3，同时最大限度地减少管理开销。您应该实施哪种配置？

正确答案是服务终结点策略。服务终结点策略允许您为通过服务终结点连接的 Azure 服务（如 Azure 存储）筛选出站流量。通过创建服务终结点策略并将其关联到 Subnet1，您可以明确指定 Subnet1 中的资源只能访问 storage1 和 storage3，从而满足访问控制要求并最小化管理开销。 应用程序安全组 (ASG) 用于对虚拟机进行分组，并定义网络安全组 (NSG) 中的网络安全规则，但它们不直接控制对特定存储帐户的访问。Azure Private Link 提供对 Azure 服务的私有连接，但它不是用于限制对特定存储帐户访问的机制。服务标签代表一组 IP 地址前缀，可用于简化 NSG 规则的创建，但它们无法像服务终结点策略那样提供对特定存储帐户的细粒度控制。