vnet 中的多个子网需要通过专用终结点/服务终结点访问同一存储帐户

Question

这种理解是否正确？
为了实现将 vnet 中的多个子网连接到单个存储帐户的目标，使用：
1.Service Endpoint——需要在每个子网中创建一个服务端点
2.私有端点——vnet 中的单个私有端点足以满足此 vnet 的所有子网（并且与服务端点不同，同一私有端点也可以跨对等 vnet 工作）。

问候，
阿迪亚加格

Answer 1

这种理解是正确的。 服务端点是在子网级别创建的，需要在那里指定，就像这里的 Terraform 示例一样：

resource "azurerm_subnet" "database-subnet" {
  name = "database-subnet"
  address_prefixes = ["10.0.2.0/24"]
  resource_group_name = var.resourcegroup_name
  virtual_network_name = azurerm_virtual_network.vnet1.name
  service_endpoints = [ "Microsoft.Sql" ]
}

另一方面，专用端点在您自己的 vnet 中为您提供一个 IP，代表 PaaS 服务的特定实例（如 Azure SQL 数据库服务中的特定数据库）。 该内部 IP 可从您的所有子网访问。 默认情况下，子网内路由在 Azure 中完成，因此无需设置某种自定义/用户定义的路由。

当在子网上将服务端点与网络安全组 (nsg) 一起使用时，必须确保在 nsg 规则中最好地使用“服务标签”，否则当 PaaS 服务更改其 IP 时系统可能会中断- nsg 规则中可能使用的范围。 因此在该场景中使用服务标签而不是 IP 范围。

当然，就像在链接问题的一个答案中简要提到的那样，这两个选项之间还有更多区别。 我只想很快提到定价：服务端点是完全免费的，而服务端点按小时 + 通过它们发送的数据量定价。