azure - vnet 中的多个子网需要通过专用终结点/服务终结点访问同一存储帐户

Question

这种理解正确吗？
为了实现将 vnet 中的多个子网连接到单个存储帐户的目标，请使用:
1.服务端点-需要在每个子网中创建一个服务端点
2.专用端点 - vnet 中的单个专用端点足以用于该 vnet 的所有子网(并且相同的专用端点也可以跨对等 vnet 工作，与服务端点不同)。

问候，
阿迪亚·加尔格

Answer 1

这个理解是正确的。服务端点是在子网级别创建的，需要在那里指定，就像这里的 Terraform 示例一样:

resource "azurerm_subnet" "database-subnet" {
  name = "database-subnet"
  address_prefixes = ["10.0.2.0/24"]
  resource_group_name = var.resourcegroup_name
  virtual_network_name = azurerm_virtual_network.vnet1.name
  service_endpoints = [ "Microsoft.Sql" ]
}

另一方面，专用终结点为您提供自己的 vnet 中的 IP，代表 PaaS 服务的特定实例(例如 Azure SQL 数据库服务中的特定数据库)。该内部 IP 可从您的所有子网访问。子网内路由默认在 Azure 中完成，因此无需设置某种自定义/用户定义的路由。

在子网上将服务端点与网络安全组 (nsg) 一起使用时，必须确保在 nsg 规则中最好地使用“服务标签”，否则当 PaaS 服务发生更改时，系统可能会崩溃它们的 IP 范围可能已在 nsg 规则中使用。因此，在这种情况下，使用服务标签而不是 IP 范围。

当然，就像链接问题的答案之一中简要提到的那样，这两个选项之间还存在进一步的差异。我只想快速提及定价:服务端点完全免费，而服务端点则按每小时+按通过它们发送的数据量定价。