ある企業がAzure VMからAzure Storageへのアクセスをパブリックインターネットを経由せずにMicrosoftのバックボーンネットワーク上で行いたいと考えている。かつAzure StorageのファイアウォールでVNetからのアクセスのみを許可したい。最も適切な構成はどれか。

正解: C

Service Endpointを使用すると、VNetからAzure Storage（やSQL DBなど）へのトラフィックがMicrosoftバックボーンネットワーク経由になり、インターネットを経由しない。StorageアカウントのファイアウォールでそのVNet/サブネットを許可することでVNet外からのアクセスを制限できる。ただしStorageのパブリックエンドポイント自体は残る点に注意（Private Endpointとの違い）。選択肢BはVMのパブリックIPを許可する方法で、インターネット経由となるため要件（バックボーン経由）を満たさない。選択肢DのPrivate Endpointも要件を満たす有効な手段だが、StorageアカウントのプライベートIPが割り当てられるためDNS設定の変更が必要で、本問では「ファイアウォールでVNetを許可する」という文脈からService Endpointが最適解として提示されている。選択肢Aは個人のクライアントのリモートアクセス向けであり、この要件には不適切で過剰な構成である。