Een workload in Tenant A moet privé toegang krijgen tot een Storage account in Tenant B. De VNet in Tenant A moet het opslag-eindpunt omzetten naar een privé-IP en NSG's blijven afdwingen op workload-subnetten. Welke twee acties moet u uitvoeren? Kies er twee.

Om privétoegang tot een opslagaccount in een andere tenant te realiseren, moet u een Private Endpoint aanmaken. Dit Private Endpoint wordt in Tenant A aangemaakt en verwijst naar de resource-ID van het opslagaccount in Tenant B. De eigenaar van het opslagaccount in Tenant B moet deze verbinding vervolgens goedkeuren om de verbinding tot stand te brengen. Daarnaast is een correcte DNS-resolutie essentieel. U maakt in Tenant A een privé DNS-zone aan met de naam privatelink.blob.core.windows.net (voor blob storage) en koppelt deze aan het VNet. Deze zone moet een A-record bevatten die de FQDN van het opslagaccount omzet naar het privé-IP-adres van het Private Endpoint. Dit zorgt ervoor dat verkeer naar het opslagaccount binnen het VNet blijft en via het Private Endpoint verloopt, terwijl NSG's op het subnet van de workload van kracht blijven. De andere opties zijn incorrect omdat: Service-eindpunten bieden geen privétoegang over tenants heen en zetten de FQDN niet om naar een privé-IP. Het uitschakelen van netwerkbeleid voor privé-eindpunten zou NSG-regels op het Private Endpoint subnet uitschakelen, wat niet de bedoeling is. VNet-peering tussen tenants is complexer en maakt het opslagaccount niet privé op de manier die een Private Endpoint biedt. Bovendien is "Use remote gateways" niet direct relevant voor het privé maken van een opslagaccount via peering.