一家公司要求对SaaS访问进行出站TLS检查，并对VNet之间的东西向流量进行入侵检测/防御。中央安全团队必须强制执行全局规则，同时允许区域团队添加例外。您应该推荐哪种Azure Firewall设计？

正确答案是Azure Firewall Premium，因为它支持出站TLS检查和入侵检测/防御系统（IDPS），这正是题目中SaaS访问和VNet间流量安全检查的要求。通过在管理组使用父防火墙策略来强制执行全局规则，并为特定区域的例外情况使用子策略，可以实现中央团队的全局控制和区域团队的灵活管理。 Azure Firewall Standard不支持TLS检查和IDPS。在每个VNet中部署独立的Azure Firewall Premium实例会增加管理复杂性，且无法实现统一的父/子策略继承。第三方NVA虽然可以提供类似功能，但Azure Firewall Premium是Azure原生的解决方案，更易于集成和管理。Azure Firewall Basic不支持TLS检查和IDPS。