软件供应商 CloudPatch 使用 Azure Firewall 管理数百台 Windows 服务器的出站操作系统更新。他们希望允许 Windows Update、Microsoft Update 和 Windows Defender 更新流量，但拒绝所有其他互联网出站流量。使用 FQDN 标签的哪种 Azure Firewall 配置是最易于维护和最安全的方法？

正确答案利用了 Azure Firewall 的 FQDN 标签功能，这是管理已知 Microsoft 服务出站流量的最安全和最易维护的方法。WindowsUpdate FQDN 标签包含了所有必要的 Windows 更新域，而 AzureActiveDirectory 标签则处理了身份验证需求。将这些标签与 80/443 端口结合使用，并辅以更高优先级的拒绝所有其他流量的规则，确保了严格的安全性。其他选项要么维护成本高（手动 FQDN 列表），要么安全性不足（NSG 无法提供 FQDN 过滤），要么不完整（仅使用部分 FQDN 标签）。