Contoso 希望確保其訂閱中只有兩個特定的 Storage Accounts (stg01 和 stg02) 可以透過 Microsoft 骨幹網路從財務子網路存取。他們計劃使用 Service Endpoints 並附加額外的限制。哪種配置能將子網路的存取限制為僅限這些儲存帳戶？

正確答案是建立一個服務端點策略 (Service Endpoint Policy)，因為它專為精細控制服務端點流量而設計。透過在策略中明確指定 stg01 和 stg02 的資源 ID，並將其與子網路關聯，可以確保只有這些特定的儲存帳戶可以透過服務端點從該子網路存取。同時，在子網路上啟用 Microsoft.Storage 服務端點是建立此連接的必要步驟。 在子網路的 NSG 入站規則中列出儲存帳戶名稱是無效的，因為 NSG 處理 IP 位址和連接埠，而非資源名稱。使用 Private Endpoints 雖然能提供私人連線，但它會將儲存帳戶的流量完全從 Microsoft 骨幹網路中移出，且需要為每個儲存帳戶建立一個私人端點，這與題目中「透過 Microsoft 骨幹網路」的要求不符。設定儲存帳戶的防火牆來允許子網路的公共 IP 範圍，雖然可以限制存取，但無法精確到特定的儲存帳戶，因為服務端點的公共 IP 範圍是共用的，且無法區分是哪個儲存帳戶的流量。