Nimbus Cloud esegue un'architettura di perimetro di sicurezza di rete (NSP) e deve includere risorse Platform-as-a-Service (PaaS) come Azure Storage e Azure SQL nel perimetro. Il requisito di sicurezza è che tutto l'accesso al piano di gestione e al piano dati a questi servizi PaaS debba provenire dall'hub NSP o essere bloccato. Quale approccio garantisce che le risorse PaaS siano associate all'NSP consentendo al contempo un accesso sicuro dall'hub?

L'utilizzo di Private Endpoint per Azure Storage e Azure SQL nell'hub NSP o nelle VNet collegate è la soluzione più sicura ed efficace. I Private Endpoint mappano le risorse PaaS a un indirizzo IP privato all'interno della VNet, rendendole accessibili solo da quella rete e dalle VNet connesse, come l'hub NSP. Limitare l'accesso pubblico alle risorse PaaS garantisce che il traffico non possa aggirare l'NSP. La configurazione degli endpoint di servizio o del routing assicura che il traffico del piano di gestione e del piano dati passi attraverso l'hub NSP per l'ispezione e l'applicazione delle policy di sicurezza. Le altre opzioni sono meno sicure o non soddisfano i requisiti: Abilitare le regole del firewall con IP pubblico espone le risorse a Internet, anche se solo da un IP specifico, e non garantisce che il traffico del piano di gestione passi attraverso l'NSP. Distribuire le risorse PaaS all'interno delle VNet (iniezione VNet) è fattibile per alcuni servizi, ma non tutti i servizi PaaS supportano l'iniezione VNet. Inoltre, disabilitare tutte le regole di rete non è una pratica di sicurezza consigliata e non garantisce il flusso attraverso l'NSP. Azure Front Door è un WAF e CDN, non una soluzione per integrare i servizi PaaS direttamente nell'NSP per tutto il traffico del piano di gestione e dati.