Un carico di lavoro nel Tenant A deve accedere privatamente a un account di archiviazione nel Tenant B. La VNet nel Tenant A deve risolvere l'endpoint di archiviazione a un IP privato e continuare a imporre gli NSG sulle sottoreti del carico di lavoro. Quali due azioni è necessario eseguire? Scegliere due.

Per accedere privatamente a un account di archiviazione in un tenant diverso, è necessario creare un Private Endpoint nel tenant del carico di lavoro (Tenant A) che punti all'ID risorsa dell'account di archiviazione nel Tenant B. Il proprietario dell'account di archiviazione nel Tenant B deve quindi approvare questa connessione in sospeso. Questo garantisce che il traffico verso l'account di archiviazione venga instradato attraverso la rete privata di Azure. Inoltre, per risolvere l'endpoint di archiviazione a un IP privato e mantenere l'applicazione degli NSG, è fondamentale configurare correttamente la risoluzione DNS. Questo si ottiene creando e collegando una zona DNS privata (privatelink.blob.core.windows.net) alla VNet nel Tenant A e assicurandosi che contenga il record A per l'IP privato del Private Endpoint. Abilitare gli endpoint di servizio non fornisce accesso privato tra tenant e non risolve l'endpoint a un IP privato. Mantenere le policy di rete del Private Endpoint abilitate non è sufficiente per la risoluzione DNS privata e l'accesso tra tenant. Il peering VNet tra tenant non rende l'account di archiviazione privato senza un Private Endpoint e non è la soluzione appropriata per questo scenario specifico di accesso privato a un servizio PaaS.