Contoso, aboneliklerindeki yalnızca iki belirli Depolama Hesabına (stg01 ve stg02) bir finans alt ağından Microsoft omurgası üzerinden erişilebilmesini sağlamak istiyor. Ek bir kısıtlama ile Service Endpoints kullanmayı planlıyorlar. Hangi yapılandırma, alt ağdan yalnızca bu depolama hesaplarına erişimi kısıtlar?

Doğru cevap, Service Endpoint Policy (Hizmet Uç Noktası İlkesi) kullanmaktır. Bu ilke, belirli bir hizmet uç noktası etkinleştirilmiş alt ağdan yalnızca belirtilen Azure kaynaklarına (bu durumda stg01 ve stg02 depolama hesapları) erişimi kısıtlamanıza olanak tanır. İlke, kaynak kimliklerini kullanarak hassas kontrol sağlar ve Microsoft omurgası üzerinden güvenli erişimi garanti eder. Diğer seçenekler neden yanlış: Alt ağın NSG gelen kurallarında depolama hesabı adlarını listelemek mümkün değildir; NSG'ler IP adresleri veya hizmet etiketleri ile çalışır, belirli kaynak adlarıyla değil. Private Endpoints (Özel Uç Noktalar) kullanmak, erişimi kısıtlar ancak Microsoft omurgası üzerinden değil, özel IP adresleri üzerinden çalışır ve soruda belirtilen "Microsoft omurgası üzerinden erişim" kısıtlamasına uymaz. Depolama hesaplarının güvenlik duvarını alt ağın genel IP aralığına izin verecek şekilde yapılandırmak, yalnızca o alt ağdan gelen trafiğe izin verir, ancak alt ağdaki diğer depolama hesaplarına erişimi kısıtlamaz ve Service Endpoint Policy'nin sağladığı hassas kontrolü sunmaz.