Vous avez 10 machines virtuelles, un Key Vault nommé Vault1 et un groupe de sécurité réseau (NSG) nommé NSG1 qui bloque tout le trafic Internet sortant. Toutes les ressources se trouvent dans la région USA Est. Vous devez permettre aux machines virtuelles d'accéder à Vault1 en utilisant le principe du moindre privilège et un effort minimal. Que devez-vous définir comme destination dans la règle de sécurité sortante de NSG1 ?

Un service tag est la solution la plus efficace car il représente un groupe de préfixes d'adresses IP provenant d'un service Azure spécifique, dans ce cas, Azure Key Vault. En utilisant le service tag "KeyVault", vous autorisez le trafic sortant vers tous les points de terminaison de Key Vault sans avoir à gérer des plages d'adresses IP individuelles, ce qui minimise l'effort et adhère au principe du moindre privilège en ciblant spécifiquement le service requis. Un groupe de sécurité d'application (ASG) est utilisé pour regrouper des machines virtuelles et définir des règles de sécurité réseau basées sur ces groupes, et non pour spécifier des destinations de service Azure. Une plage d'adresses IP nécessiterait de connaître et de maintenir à jour les adresses IP spécifiques de Key Vault, ce qui est impraticable et ne respecte pas le principe du moindre privilège en cas de modifications.