VNet1 verfügt über ein Subnetz namens Subnet1. Sie müssen sicherstellen, dass die mit Subnet1 verbundenen Ressourcen nur auf storage1 und storage3 zugreifen können, während der administrative Aufwand minimiert wird. Welche Konfiguration sollten Sie implementieren?

Eine Dienstendpunktrichtlinie (Service Endpoint Policy) ermöglicht es Ihnen, den ausgehenden Datenverkehr von einem virtuellen Netzwerk zu Azure-Diensten selektiv zu filtern. In diesem Szenario können Sie eine Richtlinie erstellen, die den Zugriff von Subnet1 auf storage1 und storage3 explizit zulässt, während der Zugriff auf andere Speicherkonten blockiert wird. Dies minimiert den administrativen Aufwand, da Sie keine einzelnen IP-Adressen verwalten müssen. Eine Anwendungssicherheitsgruppe (Application Security Group) wird verwendet, um Netzwerksicherheitsgruppen (NSGs) zu vereinfachen, indem sie Ressourcen nach Anwendungen gruppiert, aber sie steuert nicht den Zugriff auf externe Azure-Dienste. Azure Private Link erstellt private Endpunkte für Azure-Dienste, um den Zugriff über das private Netzwerk zu ermöglichen, aber es ist keine Filterlösung für den Zugriff auf bestimmte Ressourcen innerhalb eines Dienstes. Ein Dienst-Tag (Service Tag) ist eine vordefinierte Gruppe von IP-Adresspräfixen für Azure-Dienste, die in NSGs verwendet werden können, aber es bietet keine Granularität, um den Zugriff auf spezifische Instanzen eines Dienstes zu beschränken.