O Woodgrove Bank executa um aplicativo de três camadas: WEB, APP e DB. Cada camada é executada em várias VMs no mesmo grupo de sub-redes. A equipe de segurança deseja regras de NSG que permitam o tráfego de WEB para APP e de APP para DB, minimizando o número de regras de NSG e futuras alterações à medida que as instâncias são escaladas. Qual abordagem melhor realiza isso usando os recursos do Azure?

A criação de Application Security Groups (ASGs) para cada camada (WEB, APP, DB) e a atribuição das interfaces de rede (NICs) das VMs aos ASGs correspondentes é a abordagem mais eficaz. Isso permite que as regras do NSG referenciem os ASGs em vez de endereços IP específicos, garantindo que as regras se dimensionem automaticamente conforme as VMs são adicionadas ou removidas, sem a necessidade de modificações manuais nas regras do NSG. Usar Service Tags não é apropriado, pois elas representam serviços do Azure, não grupos de VMs de aplicativos personalizados. Colocar cada camada em sua própria assinatura é uma sobrecarga administrativa desnecessária e não simplifica a configuração do NSG. Usar um único NSG com regras baseadas em porta de 'VirtualNetwork' seria muito permissivo e não atenderia aos requisitos de segurança de permitir tráfego apenas entre camadas específicas.