Contoso quiere asegurarse de que solo se pueda acceder a dos Storage Accounts específicas (stg01 y stg02) en su suscripción desde una subred de finanzas a través de la red troncal de Microsoft. Planean usar Service Endpoints con una restricción adicional. ¿Qué configuración restringirá el acceso desde la subred solo a esas cuentas de almacenamiento?

La opción correcta es crear una Service Endpoint Policy. Esta política permite especificar qué recursos de un servicio (en este caso, cuentas de almacenamiento específicas) pueden ser accedidos a través de un Service Endpoint. Al incluir los IDs de recursos explícitos de stg01 y stg02 en la política y asociarla a la subred, se asegura que solo esas dos cuentas sean accesibles a través de la red troncal de Microsoft, una vez que el Service Endpoint de Microsoft.Storage esté habilitado en la subred. Habilitar el Service Endpoint y usar reglas de NSG no permite especificar cuentas de almacenamiento individuales, solo el servicio en general. Los Private Endpoints son para acceder a servicios de forma privada dentro de la VNet, no para restringir el acceso a recursos específicos del mismo servicio desde una subred. Configurar el firewall de las cuentas de almacenamiento con rangos de IP públicas no utiliza la red troncal de Microsoft de forma optimizada y no restringe el acceso a nivel de subred de la misma manera que una Service Endpoint Policy.