vnet 中的多個子網需要通過專用終結點/服務終結點訪問同一存儲帳戶

Question

這種理解是否正確？
為了實現將 vnet 中的多個子網連接到單個存儲帳戶的目標，使用：
1.Service Endpoint——需要在每個子網中創建一個服務端點
2.私有端點——vnet 中的單個私有端點足以滿足此 vnet 的所有子網（並且與服務端點不同，同一私有端點也可以跨對等 vnet 工作）。

問候，
阿迪亞加格

Answer 1

這種理解是正確的。 服務端點是在子網級別創建的，需要在那里指定，就像這里的 Terraform 示例一樣：

resource "azurerm_subnet" "database-subnet" {
  name = "database-subnet"
  address_prefixes = ["10.0.2.0/24"]
  resource_group_name = var.resourcegroup_name
  virtual_network_name = azurerm_virtual_network.vnet1.name
  service_endpoints = [ "Microsoft.Sql" ]
}

另一方面，專用端點在您自己的 vnet 中為您提供一個 IP，代表 PaaS 服務的特定實例（如 Azure SQL 數據庫服務中的特定數據庫）。 該內部 IP 可從您的所有子網訪問。 默認情況下，子網內路由在 Azure 中完成，因此無需設置某種自定義/用戶定義的路由。

當在子網上將服務端點與網絡安全組 (nsg) 一起使用時，必須確保在 nsg 規則中最好地使用“服務標簽”，否則當 PaaS 服務更改其 IP 時系統可能會中斷- nsg 規則中可能使用的范圍。 因此在該場景中使用服務標簽而不是 IP 范圍。

當然，就像在鏈接問題的一個答案中簡要提到的那樣，這兩個選項之間還有更多區別。 我只想很快提到定價：服務端點是完全免費的，而服務端點按小時 + 通過它們發送的數據量定價。