Woodgrove Bank exécute une application à trois niveaux : WEB, APP et DB. Chaque niveau s'exécute sur plusieurs machines virtuelles dans le même groupe de sous-réseaux. L'équipe de sécurité souhaite des règles de groupe de sécurité réseau (NSG) qui autorisent le trafic de WEB vers APP et de APP vers DB tout en minimisant le nombre de règles NSG et les changements futurs à mesure que les instances évoluent. Quelle approche permet d'y parvenir au mieux en utilisant les fonctionnalités Azure ?

La création de groupes de sécurité d'application (ASG) est la meilleure approche car elle permet de regrouper logiquement les machines virtuelles par fonction (WEB, APP, DB) sans se soucier de leurs adresses IP. Les règles NSG peuvent ensuite faire référence à ces ASG, ce qui simplifie la gestion des règles et garantit que les règles s'adaptent automatiquement à l'ajout ou à la suppression d'instances de machines virtuelles dans chaque niveau. Les balises de service ne sont pas adaptées ici car elles représentent des services Azure spécifiques (par exemple, AzureFrontDoor, AzureStorage), et non des groupes d'applications personnalisés. Placer chaque niveau dans son propre abonnement est une surcharge administrative inutile et ne simplifie pas la gestion des NSG. Utiliser un seul NSG avec des règles basées sur les ports et la balise 'VirtualNetwork' est trop permissif et ne fournit pas la segmentation granulaire requise entre les niveaux.