VNet1 содержит подсеть Subnet1. Необходимо обеспечить, чтобы ресурсы, подключенные к Subnet1, могли получать доступ только к storage1 и storage3, минимизируя при этом административные издержки. Какую конфигурацию следует реализовать?

Политика конечной точки службы (Service Endpoint Policy) позволяет фильтровать трафик к службам Azure, таким как Azure Storage, из виртуальной сети. Вы можете указать, к каким именно учетным записям хранения (storage1 и storage3) разрешен доступ из Subnet1, обеспечивая гранулированный контроль и минимизируя административные издержки, так как не нужно управлять IP-адресами. Группа безопасности приложений (Application Security Group) используется для группировки виртуальных машин и определения правил безопасности на основе этих групп, а не для ограничения доступа к конкретным экземплярам служб Azure. Azure Private Link создает частное подключение к службе, но не является механизмом фильтрации доступа к нескольким конкретным экземплярам службы из подсети. Тег службы (Service Tag) представляет собой группу IP-адресов службы Azure, но не позволяет фильтровать доступ к отдельным экземплярам этой службы.