VNet1 有一個名為 Subnet1 的子網路。您必須確保連接到 Subnet1 的資源只能存取 storage1 和 storage3，同時將管理負擔降到最低。您應該實作哪種組態？

正確答案是服務端點原則 (service endpoint policy)。服務端點原則允許您為透過服務端點存取 Azure 儲存體帳戶的虛擬網路服務端點流量，篩選出特定的儲存體帳戶。這表示您可以明確地允許 Subnet1 只能存取 storage1 和 storage3，同時拒絕所有其他儲存體帳戶的存取，從而將管理負擔降到最低。 應用程式安全群組 (application security group) 用於對虛擬機器進行分組，並定義網路安全群組 (NSG) 規則，但不直接控制對特定儲存體帳戶的存取。Azure Private Link 透過私人 IP 位址提供對 Azure 服務的私人存取，但其主要目的是將流量保持在 Azure 骨幹網路內，而不是篩選特定儲存體帳戶的存取。服務標籤 (service tag) 代表一組 IP 位址前綴，用於簡化 NSG 規則的建立，但無法精細控制到特定儲存體帳戶的存取。