Woodgrove Bank esegue un'applicazione a tre livelli: WEB, APP e DB. Ogni livello viene eseguito su più VM nello stesso gruppo di subnet. Il team di sicurezza desidera regole NSG che consentano il traffico da WEB ad APP e da APP a DB, riducendo al minimo il numero di regole NSG e le modifiche future man mano che le istanze scalano. Quale approccio realizza al meglio questo obiettivo utilizzando le funzionalità di Azure?

La creazione di Application Security Groups (ASG) e l'assegnazione delle NIC delle VM agli ASG appropriati consente di definire regole NSG basate sul ruolo dell'applicazione (WEB, APP, DB) anziché su indirizzi IP specifici. Questo approccio riduce al minimo il numero di regole NSG, poiché una singola regola può coprire tutte le istanze all'interno di un ASG, e si adatta automaticamente alle modifiche di scalabilità (aggiunta o rimozione di VM) senza richiedere modifiche alle regole NSG. I Service Tag non sono adatti per il traffico interno tra livelli di un'applicazione personalizzata. L'uso di sottoscrizioni separate per ogni livello è un'eccessiva complessità e non ottimizza le regole NSG. Un singolo NSG con regole basate su porta da 'VirtualNetwork' sarebbe troppo permissivo e non rispetterebbe il principio del privilegio minimo.