Eine Workload in Tenant A muss privat auf ein Speicherkonto in Tenant B zugreifen. Das VNet in Tenant A muss den Speicherendpunkt in eine private IP auflösen und weiterhin NSGs in Workload-Subnetzen erzwingen. Welche zwei Aktionen sollten Sie durchführen? Wählen Sie zwei aus.

Um einen privaten Zugriff über Tenants hinweg zu ermöglichen, muss ein Private Endpoint in Tenant A erstellt werden, der auf die Ressourcen-ID des Speicherkontos in Tenant B verweist. Der Besitzer in Tenant B muss diese Verbindung genehmigen. Dies stellt sicher, dass der Datenverkehr privat über das Azure-Backbone geleitet wird. Damit die Workload in Tenant A den Speicherkonto-Endpunkt in eine private IP-Adresse auflösen kann, ist eine private DNS-Zone (privatelink.blob.core.windows.net) erforderlich. Diese Zone muss mit dem VNet in Tenant A verknüpft sein und einen A-Record für den Private Endpoint des Speicherkontos enthalten. Dienstendpunkte bieten keinen tenantübergreifenden privaten Zugriff. VNet-Peering allein macht das Speicherkonto nicht privat; es würde weiterhin über seinen öffentlichen Endpunkt zugänglich sein, es sei denn, der öffentliche Zugriff wird explizit verweigert, was dann den Zugriff über Peering blockieren würde. Netzwerkrichtlinien für Private Endpoints sind standardmäßig deaktiviert und müssen nicht beibehalten werden, um NSGs anzuwenden.