Ein Softwareanbieter, CloudPatch, verwendet Azure Firewall, um ausgehende Betriebssystem-Updates für Hunderte von Windows-Servern zu verwalten. Sie möchten den Update-Traffic für Windows Update, Microsoft Update und Windows Defender zulassen, aber den gesamten anderen Internet-Egress verweigern. Welche Azure Firewall-Konfiguration unter Verwendung von FQDN-Tags ist der am besten wartbare und sicherste Ansatz?

Die korrekte Antwort ist die Verwendung von FQDN-Tags 'WindowsUpdate' und 'AzureActiveDirectory' in Azure Firewall-Anwendungsregeln. FQDN-Tags abstrahieren die komplexen und sich ändernden FQDNs, die für Windows Update, Microsoft Update und Windows Defender erforderlich sind, was die Wartung erheblich vereinfacht. Das Hinzufügen von 'AzureActiveDirectory' ist notwendig, da viele Azure-Dienste, einschließlich Updates, AAD für die Authentifizierung nutzen. Das Blockieren aller anderen Ziele mit einer DENY-Regel mit höherer Priorität gewährleistet die Sicherheit. Die erste Option ist falsch, da 'AzureService' zu breit ist und '0.0.0.0/0' in Netzwerkregeln verwendet wird, nicht in Anwendungsregeln für FQDN-Tags. Die dritte Option ist wartungsintensiv, da die FQDNs sich ändern können. Die vierte Option ist unzureichend, da NSG-Regeln auf IP-Adressen basieren und nicht die Granularität von FQDNs bieten, die für diesen Anwendungsfall erforderlich ist.