Hai 10 VM, un Key Vault Vault1 e un NSG chiamato NSG1 che blocca tutto il traffico internet in uscita. Tutte le risorse si trovano in East US. Le VM devono accedere a Vault1 utilizzando il privilegio minimo e con il minimo sforzo. Cosa dovresti impostare come destinazione nella regola di sicurezza in uscita di NSG1?

Un service tag è la soluzione migliore perché rappresenta un gruppo di prefissi di indirizzi IP da un servizio Azure specifico, come Azure Key Vault. Utilizzando il service tag "KeyVault" nella regola di sicurezza in uscita di NSG1, le VM potranno accedere a Vault1 senza dover specificare singoli indirizzi IP, che potrebbero cambiare. Questo garantisce il privilegio minimo (solo l'accesso necessario a Key Vault) e il minimo sforzo amministrativo, poiché Azure gestisce automaticamente gli intervalli IP associati al service tag. Un gruppo di sicurezza delle applicazioni (ASG) è utile per raggruppare VM e definire regole di sicurezza basate su tali gruppi, ma non è direttamente applicabile per consentire l'accesso a un servizio Azure esterno come Key Vault. Un intervallo di indirizzi IP richiederebbe la conoscenza e l'aggiornamento manuale degli indirizzi IP di Key Vault, il che è inefficiente e soggetto a errori.