Nimbus Cloud betreibt eine NSP-Architektur (Network Security Perimeter) und muss Platform-as-a-Service (PaaS)-Ressourcen wie Azure Storage und Azure SQL in den Perimeter einbeziehen. Die Sicherheitsanforderung besteht darin, dass der gesamte Management-Plane- und Data-Plane-Zugriff auf diese PaaS-Dienste entweder vom NSP-Hub stammen oder blockiert werden muss. Welcher Ansatz stellt sicher, dass PaaS-Ressourcen dem NSP zugeordnet sind, während gleichzeitig ein sicherer Zugriff vom Hub aus ermöglicht wird?

Die Verwendung von Private Endpoints ist der effektivste Weg, um PaaS-Dienste in einen Netzwerk-Sicherheitsperimeter (NSP) zu integrieren. Private Endpoints weisen PaaS-Ressourcen private IP-Adressen innerhalb Ihres VNet zu, wodurch der gesamte Datenverkehr über das Azure-Backbone-Netzwerk und nicht über das öffentliche Internet geleitet wird. Dies ermöglicht es, den öffentlichen Zugriff auf die PaaS-Ressourcen zu beschränken oder vollständig zu deaktivieren, was die Sicherheit erheblich erhöht. Durch die Platzierung der Private Endpoints im NSP-Hub oder in verbundenen VNets kann der gesamte Management- und Datenverkehr durch den NSP fließen und dort inspiziert und geschützt werden. Das Aktivieren von Firewall-Regeln für PaaS-Ressourcen mit der öffentlichen IP des NSP-Hubs ist weniger sicher, da der Datenverkehr weiterhin über das öffentliche Internet läuft und nur auf IP-Ebene gefiltert wird. Das Bereitstellen von PaaS-Ressourcen innerhalb von VNets mit VNet-Injection ist nicht für alle PaaS-Dienste verfügbar und deaktiviert nicht implizit alle Netzwerkregeln. Die Verwendung von Azure Front Door ist primär ein globaler Lastenausgleichs- und CDN-Dienst und nicht die primäre Methode zur Integration von PaaS-Diensten in einen privaten Netzwerkperimeter.