ある企業では、SaaSアクセスに対してアウトバウンドTLSインスペクションを、VNet間の東西トラフィックに対して侵入検知/防御を必要としています。中央のセキュリティチームはグローバルルールを適用する必要がありますが、地域のチームが例外を追加できるようにする必要があります。どのようなAzure Firewall設計を推奨しますか？

このシナリオでは、SaaSアクセスに対するアウトバウンドTLSインスペクションと、VNet間の東西トラフィックに対する侵入検知/防御 (IDPS) が必要です。これらの機能はAzure Firewall Premiumでのみ利用可能です。また、中央チームのグローバルルールと地域チームのローカル例外という要件を満たすには、Azure Firewall Policyの階層構造（親ポリシーと子ポリシー）が最適です。管理グループで親ポリシーを適用し、各リージョンで子ポリシーを作成することで、継承と例外設定を両立できます。 Azure Firewall StandardやBasicでは、TLSインスペクションやIDPSが利用できません。サードパーティNVAも選択肢ですが、Azure Firewall Premiumが要件を直接満たし、ポリシー階層による管理の柔軟性を提供します。各VNetにスタンドアロンのFirewall Premiumをデプロイすると、ポリシーの一元管理が困難になります。