Fabrikam gère un environnement multi-abonnement avec une hiérarchie de stratégies Azure Firewall : une stratégie parente globale et des stratégies enfants par hub appliquées via Firewall Manager. Ils doivent s'assurer qu'une règle DENY de haute priorité pour le trafic provenant d'une plage d'adresses IP /24 suspecte est appliquée sur deux hubs spécifiques, mais autorisée dans d'autres. Quelles sont les DEUX configurations qui permettront d'atteindre cet objectif tout en préservant les règles d'autorisation locales dans les autres hubs ?

La première option correcte consiste à créer un groupe de collections de règles avec une priorité élevée dans la stratégie parente. En limitant ce groupe de collections de règles aux groupes de ressources des deux hubs ciblés, la règle DENY s'appliquera spécifiquement à ces hubs sans affecter les autres. La priorité élevée garantit que cette règle DENY est évaluée avant les règles d'autorisation locales. La deuxième option correcte est d'utiliser des filtres d'affectation de stratégie dans la stratégie parente. En créant la règle DENY dans la stratégie parente et en utilisant des filtres pour cibler uniquement les deux hubs virtuels spécifiques, la règle sera appliquée de manière sélective. Cela permet de maintenir les règles d'autorisation locales dans les autres hubs, car la règle DENY ne leur sera pas affectée. Les options incorrectes ne répondent pas aux exigences. Ajouter la règle DENY dans la stratégie enfant avec l'indicateur 'Override' ne garantit pas la priorité sur les règles parentes de manière cohérente dans un scénario de fusion. Ajouter une priorité inférieure dans la stratégie enfant ne donnerait pas la priorité à la règle DENY. Activer 'Policy Inheritance Override' puis désactiver sélectivement est une approche trop complexe et ne correspond pas à la gestion hiérarchique des stratégies.