Woodgrove Bank ejecuta una aplicación de tres niveles: WEB, APP y DB. Cada nivel se ejecuta en varias máquinas virtuales en el mismo grupo de subredes. El equipo de seguridad quiere reglas de NSG que permitan el tráfico de WEB a APP y de APP a DB, minimizando el número de reglas de NSG y los cambios futuros a medida que las instancias escalan. ¿Qué enfoque logra esto mejor utilizando las características de Azure?

La opción correcta es crear Application Security Groups (ASGs). Los ASGs permiten agrupar máquinas virtuales por su función de aplicación, independientemente de sus direcciones IP. Al asignar las NICs de las VMs a ASG-WEB, ASG-APP y ASG-DB, y luego crear reglas de NSG que hagan referencia a estos ASGs (por ejemplo, permitir tráfico de ASG-WEB a ASG-APP), se minimiza el número de reglas. Además, a medida que se escalan las instancias (se añaden o eliminan VMs), solo se necesita asignar o desasignar sus NICs al ASG correspondiente, sin modificar las reglas del NSG, lo que simplifica la gestión y minimiza futuros cambios. Las Service Tags no son adecuadas para este escenario, ya que se usan para representar un grupo de prefijos de direcciones IP de un servicio específico de Azure o una región, no para agrupar VMs de una aplicación personalizada. Colocar cada nivel en su propia suscripción es una sobre-ingeniería y no es la forma correcta de usar los NSG. Usar un único NSG con reglas basadas en puertos de 'VirtualNetwork' es demasiado permisivo y no proporciona la segmentación de seguridad granular requerida entre los niveles de la aplicación.