Prefiere Microsoft Entra ID y RBAC sobre claves compartidas. Restringe el endpoint público cuando el flujo permita Private Endpoint y resolución DNS privada.
Aplica privilegio mínimo, TLS, protección contra borrado y logging. Una red privada reduce exposición, pero no reemplaza autorización ni clasificación de datos.