Die Woodgrove Bank betreibt eine dreistufige Anwendung: WEB, APP und DB. Jede Stufe läuft auf mehreren VMs in derselben Subnetzgruppe. Das Sicherheitsteam möchte NSG-Regeln, die den Datenverkehr von WEB zu APP und von APP zu DB zulassen, während die Anzahl der NSG-Regeln und zukünftige Änderungen bei der Skalierung von Instanzen minimiert werden. Welcher Ansatz erreicht dies am besten mit Azure-Funktionen?

Die Erstellung von Application Security Groups (ASGs) für jede Anwendungsebene (WEB, APP, DB) und die Zuweisung der entsprechenden VM-Netzwerkschnittstellen (NICs) zu diesen ASGs ist die beste Lösung. NSG-Regeln können dann auf diese ASGs verweisen, z. B. "erlaube Datenverkehr von ASG-WEB zu ASG-APP". Dieser Ansatz minimiert die Anzahl der NSG-Regeln, da Sie nur wenige Regeln pro ASG-Paar benötigen, anstatt Regeln pro VM-IP-Adresse. Wenn neue Instanzen zu einer Ebene hinzugefügt werden, müssen Sie lediglich deren NICs der entsprechenden ASG zuweisen, ohne die NSG-Regeln ändern zu müssen, was die Skalierbarkeit und zukünftige Änderungen vereinfacht. Die Verwendung von Service Tags ist hier nicht geeignet, da sie für Azure-Dienste und nicht für benutzerdefinierte Anwendungsebenen konzipiert sind. Das Platzieren jeder Ebene in einem eigenen Abonnement ist eine unnötig komplexe und kostspielige Lösung für dieses Problem. Eine einzelne NSG mit portbasierten Regeln, die den Datenverkehr von 'VirtualNetwork' zulassen, wäre zu weit gefasst und würde die Sicherheitsanforderungen nicht erfüllen, da sie den Datenverkehr zwischen den Ebenen nicht granular steuert.