Contoso möchte sicherstellen, dass nur zwei bestimmte Speicherkonten (stg01 und stg02) in ihrem Abonnement über das Microsoft-Backbone von einem Finanz-Subnetz aus zugänglich sind. Sie planen, Service Endpoints mit einer zusätzlichen Einschränkung zu verwenden. Welche Konfiguration schränkt den Zugriff vom Subnetz nur auf diese Speicherkonten ein?

Die korrekte Option ist, eine Service Endpoint Policy zu erstellen, die explizit die Ressourcen-IDs von stg01 und stg02 enthält, diese Richtlinie dem Subnetz zuzuordnen und den Microsoft.Storage Service Endpoint im Subnetz zu aktivieren. Dies stellt sicher, dass der Zugriff auf Azure Storage über das Microsoft-Backbone erfolgt und nur die angegebenen Speicherkonten vom Finanz-Subnetz aus erreichbar sind. Die anderen Optionen sind nicht korrekt, weil: Das Auflisten von Speicherkontonamen in NSG-Regeln ist nicht möglich; NSGs filtern auf IP-Ebene. Private Endpoints würden den Zugriff über das Microsoft-Backbone ermöglichen, aber sie sind nicht die primäre Methode, um den Zugriff auf bestimmte Speicherkonten zu beschränken, wenn Service Endpoints mit Richtlinien eine direktere Lösung bieten. Private Endpoints würden auch zusätzliche Kosten und Komplexität durch die Verwaltung von DNS-Einträgen und IP-Adressen im Subnetz verursachen. Das Konfigurieren der Speicherkonto-Firewall mit dem öffentlichen IP-Bereich des Subnetzes ist nicht granular genug, um nur bestimmte Speicherkonten zuzulassen, und würde den Zugriff auf alle Speicherkonten erlauben, die diese IP-Bereiche in ihrer Firewall konfiguriert haben. Service Endpoint Policies bieten eine präzisere Kontrolle.