正解: プライベート エンドポイント ネットワーク ポリシー
既定ではプライベート エンドポイントを含むサブネットには NSG のフィルタリングが適用されないため、まず該当サブネットでプライベート エンドポイント ネットワーク ポリシーを有効化する必要があります。
解説: プライベート エンドポイントを介したトラフィックは、サブネットに関連付けられた NSG では既定でフィルタリングされません。これを変更するには、対象のサブネットで「Private endpoint network policies (privateEndpointNetworkPolicies)」を有効化する必要があります。有効化後は、NSG ルールの送信先 (Destination) としてプライベート エンドポイントの IP アドレスやサブネット範囲を指定して受信トラフィックを許可/拒否できるようになり、storage1 へのアクセス制御を NSG で行えるようになります。サービス エンドポイントは別のプライベート アクセス方式 (パブリック IP 経由) であり、プライベート エンドポイント環境では不要で、Azure Private Link サービスはサービス公開側 (プロバイダー側) の概念のため利用シーンが異なります。アプリケーション セキュリティ グループ自体は NSG ルール対象の整理に役立つものの、ネットワーク ポリシーの有効化が前提です。
各選択肢の検討:
- Azure Private Link サービス: 自社サービスをプライベート公開する側で使用するもので、消費側でストレージへの NSG 制御を有効化する手段ではない。
- アプリケーション セキュリティ グループ: NSG ルールのグルーピング機能であり、プライベート エンドポイントへの NSG 適用を有効化する前提条件は別途必要。
- プライベート エンドポイント ネットワーク ポリシー: 有効化することで NSG/UDR をプライベート エンドポイントに適用できるようになる正規の方法であり、本問の正解。
- サービス エンドポイント: VNet サービス エンドポイントは別方式のアクセス手段で、プライベート エンドポイント経由トラフィックの NSG 適用には関係しない。
参考: Microsoft Learnプライベート エンドポイント ネットワーク ポリシーを管理するAzure プライベート エンドポイントの概要