Contoso vuole garantire che solo due specifici Storage Account (stg01 e stg02) nella loro sottoscrizione possano essere accessibili da una subnet finanziaria tramite il backbone Microsoft. Hanno intenzione di utilizzare Service Endpoints con una restrizione aggiuntiva. Quale configurazione limiterà l'accesso dalla subnet solo a questi storage account?

La risposta corretta è creare una Service Endpoint Policy. Questa policy consente di specificare in modo granulare quali risorse (in questo caso, specifici account di archiviazione tramite i loro ID risorsa) possono essere accessibili tramite un Service Endpoint. Associando la policy alla subnet e abilitando il Service Endpoint per Microsoft.Storage, si garantisce che solo stg01 e stg02 siano raggiungibili dalla subnet finanziaria tramite il backbone Azure, bloccando l'accesso a tutti gli altri account di archiviazione. Abilitare il Service Endpoint e usare le NSG non è sufficiente perché le NSG operano a livello di IP e non possono distinguere tra diversi account di archiviazione all'interno dello stesso servizio Azure. I Private Endpoint sono una soluzione valida per l'accesso privato, ma la domanda specifica l'uso del backbone Microsoft con una restrizione aggiuntiva, che è esattamente lo scopo delle Service Endpoint Policies. Configurare il firewall degli storage account non è la soluzione ottimale perché non limita l'accesso dalla subnet a specifici account di archiviazione, ma piuttosto controlla chi può accedere agli account di archiviazione stessi.