Un éditeur de logiciels, CloudPatch, utilise Azure Firewall pour gérer les mises à jour de système d'exploitation sortantes pour des centaines de serveurs Windows. Il souhaite autoriser le trafic de mise à jour de Windows Update, Microsoft Update et Windows Defender, mais refuser tout autre trafic sortant vers Internet. Quelle configuration d'Azure Firewall utilisant les balises FQDN est l'approche la plus maintenable et la plus sécurisée ?

L'option correcte est la plus maintenable et sécurisée car elle utilise les balises FQDN intégrées d'Azure Firewall. La balise 'WindowsUpdate' regroupe tous les FQDN nécessaires pour Windows Update, Microsoft Update et Windows Defender, simplifiant la gestion. L'inclusion de 'AzureActiveDirectory' est cruciale pour l'authentification et les services associés. L'autorisation sur les ports 80/443 est standard pour ces services. Une règle de refus explicite de priorité plus élevée assure que tout autre trafic sortant est bloqué, renforçant la sécurité. Les autres options sont moins optimales : La première option inclut 'AzureService' qui est trop large et pourrait autoriser des services non désirés. La troisième option, bien que fonctionnelle, est moins maintenable car elle nécessite une mise à jour manuelle des FQDN, alors que les balises FQDN sont gérées par Microsoft. La quatrième option utilise les NSG, qui opèrent au niveau de la couche réseau et ne peuvent pas filtrer par FQDN, ce qui est une exigence clé ici. De plus, elle ne gère pas l'authentification.