Contoso хочет убедиться, что только две конкретные учетные записи хранения (stg01 и stg02) в их подписке могут быть доступны из финансовой подсети через магистральную сеть Microsoft. Они планируют использовать Service Endpoints с дополнительным ограничением. Какая конфигурация ограничит доступ из подсети только к этим учетным записям хранения?

Правильный ответ — создание политики конечных точек службы (Service Endpoint Policy). Эта политика позволяет явно указать, к каким учетным записям хранения разрешен доступ из подсети, используя их полные идентификаторы ресурсов. Связав эту политику с подсетью и включив конечную точку службы Microsoft.Storage, вы гарантируете, что только stg01 и stg02 будут доступны, а все остальные учетные записи хранения будут заблокированы. Неправильные варианты: Использование NSG для фильтрации по именам учетных записей хранения невозможно, так как NSG работают на уровне IP-адресов и портов, а не на уровне имен ресурсов. Private Endpoints обеспечивают частный доступ, но не ограничивают доступ из подсети только к определенным учетным записям хранения, если не настроены дополнительные правила. Брандмауэр учетных записей хранения разрешает доступ по IP-адресам, но не может быть динамически связан с Service Endpoint для разрешения только определенных учетных записей хранения из подсети, а также не предоставляет гранулярного контроля над тем, какие учетные записи хранения доступны.