Fabrikam 在多訂閱環境中執行 Azure Firewall Policy 階層：一個全域父策略和透過 Firewall Manager 套用的每個中樞子策略。他們需要確保針對來自可疑 /24 IP 範圍的流量，在兩個特定中樞強制執行高優先順序的 DENY 規則，但在其他中樞則允許。哪兩種組態可以在保留其他中樞中的本地允許規則的同時實現此目標？

選項一正確。在父策略中建立高優先順序的 DENY 規則集合群組，並將其範圍設定為特定的資源群組，可以確保這些規則僅應用於包含這些中樞的資源群組，同時在其他中樞保持本地允許規則。選項四也正確。在父策略中建立 DENY 規則集合群組，並使用策略指派篩選器指定目標虛擬中樞，可以精確地將這些高優先順序的 DENY 規則應用於選定的兩個中樞，而不會影響其他中樞。選項二錯誤，因為子策略中的規則優先級在繼承後可能無法覆蓋父策略，且 'Override' 旗標主要用於規則集合群組的行為，而非單獨規則的優先級。選項三錯誤，因為低優先順序的子策略規則不會覆蓋高優先順序的父策略 DENY 規則。選項五錯誤，'Policy Inheritance Override' 主要是用於控制子策略是否完全繼承父策略，而不是選擇性地停用特定規則。