storage1 的 private endpoint 部署在 VNet1 的 Subnet1 中。Site1 (地端部署) 透過 Site-to-Site VPN 連線到 VNet1。您想要使用網路安全群組 (NSG) 來控制從 Site1 到 storage1 的存取。您應該採取的首要行動是什麼？

正確答案是「在 Subnet1 上啟用/設定 private endpoint 的網路原則」。當您使用 Private Endpoint 時，Azure 預設會停用網路安全群組 (NSG) 和使用者定義路由 (UDR) 的功能。為了讓 NSG 能夠控制從 Site1 透過 VPN 到 storage1 private endpoint 的流量，您必須在 Subnet1 上明確啟用 Private Endpoint 的網路原則。 「在 Subnet1 上建立子網路委派」是用於將特定 Azure 服務的資源部署到子網路中，與控制 Private Endpoint 流量無關。「將路由表與 Subnet1 關聯」是在啟用 Private Endpoint 網路原則後，如果需要自訂路由行為才考慮的步驟，並非首要行動。「將 NAT gateway 與 Subnet1 關聯」是用於子網路中虛擬機器對外連線的 SNAT，與控制 Private Endpoint 流量無關。