VNet1 ma podsieć o nazwie Subnet1. Musisz zapewnić, że zasoby podłączone do Subnet1 mogą uzyskiwać dostęp tylko do storage1 i storage3, minimalizując jednocześnie narzut administracyjny. Jaką konfigurację należy wdrożyć?

Poprawna odpowiedź to zasada punktu końcowego usługi (service endpoint policy). Zasady punktów końcowych usługi pozwalają na filtrowanie ruchu wychodzącego z podsieci do usług Azure Storage, ograniczając dostęp tylko do określonych kont magazynu (storage1 i storage3 w tym przypadku). Minimalizuje to narzut administracyjny, ponieważ konfiguracja jest zarządzana centralnie dla podsieci. Grupa zabezpieczeń aplikacji (application security group) służy do grupowania maszyn wirtualnych i definiowania reguł sieciowych na podstawie tych grup, a nie do filtrowania dostępu do konkretnych zasobów PaaS. Azure Private Link tworzy prywatne połączenie z usługą PaaS, ale nie służy do ograniczania dostępu do wybranych instancji usługi w ramach publicznego punktu końcowego. Tag usługi (service tag) to predefiniowany tag reprezentujący zakres adresów IP usług Azure, używany w sieciowych grupach zabezpieczeń, ale nie pozwala na precyzyjne filtrowanie ruchu do konkretnych kont magazynu.