ソフトウェアベンダーのCloudPatchは、Azure Firewallを使用して数百台のWindowsサーバーのアウトバウンドOSアップデートを管理しています。彼らはWindows Update、Microsoft Update、およびWindows Defenderのアップデートトラフィックを許可し、他のすべてのインターネット送信を拒否したいと考えています。FQDNタグを使用したAzure Firewall構成として、最も保守性が高く安全なアプローチはどれですか？

このアプローチは、Azure FirewallのFQDNタグ機能を活用し、Windows Update、Microsoft Update、およびWindows Defenderのトラフィックを効率的かつ安全に管理します。FQDNタグ「WindowsUpdate」は、これらのサービスに必要なすべてのFQDNを自動的に含み、手動でのFQDNリスト管理の手間を省きます。また、「AzureActiveDirectory」タグを含めることで、認証に必要なトラフィックも許可されます。サービスポート80/443に限定することで、セキュリティリスクを最小限に抑え、優先度の高いDENYルールでそれ以外のすべてのインターネット送信をブロックすることで、厳格なアウトバウンド制御を実現します。他の選択肢は、手動でのFQDN管理が必要であったり、Azure Firewallのアプリケーションルールを活用していなかったりするため、保守性やセキュリティの面で劣ります。