跨Azure不同订阅的服务通信咨询：能否使用Private Link？

完全可以使用Azure Private Link满足你的需求，以下是具体说明和实现要点：

核心适配性 #

Private Link原生支持同一租户下跨订阅部署，无需依赖VNet peering或VPN，所有流量全程通过Azure骨干网传输，不会暴露到公网，完美契合你将订阅视为独立实体的政策要求。

针对不同服务的配置方式 #

1. Azure SQL Database/Managed Instance #

• 在Subscription B的SQL服务上创建Private Endpoint，选择Subscription A中需要访问该SQL的目标VNet（如A1、A2）；也可反向在Subscription A的VNet中创建Private Endpoint指向Subscription B的SQL资源
• 配置SQL的防火墙规则，仅允许Private Endpoint对应的私有IP段访问，彻底关闭公网访问权限
• 为Subscription A的VNet关联对应的Private DNS Zone，确保SQL的私有域名能正确解析

2. Azure Files #

• 为Subscription B的Azure Files存储账户创建Private Endpoint，关联到Subscription A的目标VNet
• 禁用存储账户的公网访问功能，仅允许Private Endpoint发起访问
• 通过Private DNS Zone完成Azure Files私有域名的解析配置，保证Subscription A内的客户端可通过私有域名访问文件共享

关键注意事项 #

• 跨订阅配置时，操作账户需同时拥有两个订阅的对应权限，例如Microsoft.Network/privateEndpoints/write、Microsoft.Sql/servers/privateEndpointConnections/write等
• 所有流量完全在Azure骨干网内部流转，不会产生公网带宽费用，同时满足严格的安全隔离要求
• 对比公网端点+防火墙的方案，Private Link彻底规避了公网暴露的风险，安全性层级更高

内容的提问来源于stack exchange，提问作者brumie_dave