ストレージアカウントを「選択されたネットワーク」にロックダウンします。要件は次のとおりです。(1) オンプレミスのパブリックIP範囲からのアクセスを許可する、(2) 特定のサブネット内のAzure VMがアカウントにアクセスできるようにする、(3) Azure Data Factory (信頼されたMicrosoftサービス) が引き続き動作できるようにする。すべての要件を満たす構成はどれですか？

オンプレミスからのアクセスには、パブリックIP範囲をIPネットワークルールに追加します。Azure VMからのアクセスには、VMが属するサブネットを仮想ネットワークルールに追加し、そのサブネットでMicrosoft.Storageサービスエンドポイントを有効にする必要があります。これにより、トラフィックがAzureバックボーンネットワーク経由で安全にルーティングされます。Azure Data Factoryのような信頼されたMicrosoftサービスがアクセスできるようにするには、「信頼されたMicrosoftサービスによるこのストレージアカウントへのアクセスを許可します」という例外を有効にする必要があります。Data FactoryマネージドIDにロールを付与するだけでは、ファイアウォールルールをバイパスできません。VMのアウトバウンドパブリックIPを追加する方法は、VMのIPが変わる可能性があり、またサービスエンドポイントを使用する方がセキュリティが高く推奨されます。