Contoso wil ervoor zorgen dat slechts twee specifieke Storage Accounts (stg01 en stg02) in hun abonnement toegankelijk zijn vanuit een finance-subnet via de Microsoft-backbone. Ze zijn van plan Service Endpoints te gebruiken met een aanvullende beperking. Welke configuratie beperkt de toegang vanuit het subnet tot alleen die storage accounts?

De juiste configuratie is het aanmaken van een Service Endpoint Policy met expliciete resource-ID's voor stg01 en stg02, deze te koppelen aan het subnet, en vervolgens het Microsoft.Storage service-eindpunt in te schakelen op het subnet. Service Endpoint Policies bieden gedetailleerde controle over welke specifieke Azure-resources toegankelijk zijn via een service-eindpunt, waardoor toegang tot alleen de gespecificeerde storage accounts mogelijk is. Het inschakelen van het service-eindpunt en het vermelden van namen in NSG-regels is onvoldoende, omdat NSG's geen specifieke Azure-resources kunnen filteren. Private Endpoints zouden werken, maar de vraag specificeert het gebruik van Service Endpoints met een aanvullende beperking. Het configureren van de firewall van de storage accounts om het openbare IP-bereik van het subnet toe te staan, is minder veilig en schaalt slecht, omdat het afhankelijk is van het IP-adresbereik en niet van de identiteit van de resources.