Usted bloquea una cuenta de almacenamiento a redes seleccionadas. Requisitos: (1) Permitir el acceso desde sus rangos de IP públicas locales, (2) permitir que una VM de Azure en una subred específica acceda a la cuenta, y (3) permitir que Azure Data Factory (un servicio de confianza de Microsoft) continúe operando. ¿Qué configuración cumple con todos los requisitos?

Para cumplir con los requisitos, debe configurar las reglas de red del firewall de la cuenta de almacenamiento. 1. Acceso desde rangos de IP públicas locales: Agregue los rangos de IP públicas de su red local directamente a las reglas de red de IP de la cuenta de almacenamiento. Esto permite que los dispositivos de su red local se conecten. 2. Acceso de una VM de Azure: Agregue la subred específica donde reside la VM a las reglas de red virtual de la cuenta de almacenamiento. Además, habilite el punto de conexión de servicio Microsoft.Storage en esa subred. Esto enruta el tráfico de la VM directamente a Azure Storage a través de la red troncal de Azure, sin pasar por Internet público. 3. Acceso de Azure Data Factory (servicio de confianza): Habilite la excepción "Permitir que los servicios de Azure en la lista de servicios de confianza accedan a esta cuenta de almacenamiento". Azure Data Factory es un servicio de confianza de Microsoft y esta configuración le permitirá seguir operando sin necesidad de reglas de IP o VNet específicas para el servicio. La opción de conceder el rol Storage Blob Data Contributor a la identidad administrada de Data Factory es una configuración de autorización, no de red, y no anula las restricciones del firewall. Agregar las IP públicas salientes de la VM no es la forma más segura ni recomendada; los puntos de conexión de servicio son preferibles para el tráfico dentro de Azure.