为何Azure VM磁盘公网访问合规建议用专用端点而非直接禁用？

问题背景 #

合规要求推荐通过启用带专用端点的专用访问链接管控Azure VM磁盘访问，而非直接禁用磁盘公网访问。但我手动禁用部分磁盘公网访问后未发现业务影响，因此考虑用PowerShell批量禁用所有开启公网访问的磁盘，希望找到合规前提下最优最简的实现方案。

初始脚本（存在语法问题） #

# 连接Azure账户
Connect-AzAccount

# 获取所有开启公网访问的已挂载VM磁盘
$disks = Get-AzDisk | Where-Object { $_.DiskState -eq 'Attached' -and $_.DiskSizeGB -gt 0 -and $\_.PublicAccess -eq 'Enabled' }

# 批量禁用磁盘公网访问
foreach ($disk in $disks) {
    Write-Host "正在禁用磁盘 $($disk.Name) 的公网访问..."
    # 更新磁盘配置，禁用公网访问
    $disk | Set-AzDiskAccess -Access Read -DisallowPublicAccess
    Write-Host "磁盘 $($disk.Name) 的公网访问已禁用。"
}

修正与优化后的脚本 #

原脚本中$\_.PublicAccess存在语法错误（多余反斜杠），同时优化了执行效率与异常处理：

# 连接Azure账户（生产环境推荐用服务主体登录，避免交互式依赖）
Connect-AzAccount

# 过滤出已挂载、非空且开启公网访问的磁盘
$targetDisks = Get-AzDisk | Where-Object {
    $_.DiskState -eq 'Attached' -and
    $_.DiskSizeGB -gt 0 -and
    $_.PublicAccess -eq 'Enabled'
}

if (-not $targetDisks) {
    Write-Host "未找到符合条件的开启公网访问的磁盘。"
    exit
}

Write-Host "共找到 $($targetDisks.Count) 个需要禁用公网访问的磁盘。"

# 批量禁用公网访问（增加异常捕获）
foreach ($disk in $targetDisks) {
    try {
        $disk | Set-AzDiskAccess -Access Read -DisallowPublicAccess -ErrorAction Stop
        Write-Host "✅ 成功禁用磁盘 $($disk.Name) 的公网访问"
    }
    catch {
        Write-Host "❌ 禁用磁盘 $($disk.Name) 失败：$($_.Exception.Message)"
    }
}

合规性说明 #

1. 直接禁用的合规性：若业务场景无需通过公网访问磁盘（所有访问均来自VNet内部或专用通道），直接禁用公网访问完全符合合规要求，且是最简方案。
2. 专用端点的适用场景：仅当存在跨VNet/异地安全访问磁盘的需求时，才需要启用专用端点——它通过VNet对等连接或VPN建立专用链路，既满足访问需求又避免公网暴露风险。
3. 前置验证建议：批量执行前，优先选取非核心业务磁盘做验证，确保所有依赖磁盘公网访问的场景已被覆盖。

内容的提问来源于stack exchange，提问作者kpgkondo