Fabrikam は、グローバルな親ポリシーと Firewall Manager 経由で適用されるハブごとの子ポリシーという Azure Firewall Policy 階層を持つマルチサブスクリプション環境を運用しています。彼らは、疑わしい /24 IP 範囲からのトラフィックに対する高優先度の DENY ルールが、2 つの特定のハブで適用され、他のハブでは許可されるようにする必要があります。他のハブのローカル許可ルールを維持しながら、この目標を達成する 2 つの構成はどれですか？

Azure Firewall Policy 階層では、子ポリシーは親ポリシーのルールを継承します。親ポリシーで高優先度のDENYルールを作成し、特定のハブのリソースグループにスコープを設定することで、そのルールが指定されたハブにのみ適用され、他のハブには影響を与えません。また、親ポリシーでDENYルールを作成し、ポリシー割り当てフィルターを使用して2つのターゲットハブ仮想ハブのみを含めることで、同様に選択的な適用が可能です。 子ポリシーでDENYルールを追加し「Override」フラグをtrueに設定すると、親ポリシーのルールが上書きされ、他のハブのローカル許可ルールが維持されません。子ポリシーで親ルールよりも優先度の低いルールコレクショングループを追加しても、親のDENYルールが優先されるため、他のハブの許可ルールが維持されません。子ポリシーで「Policy Inheritance Override」を有効にしても、選択的に無効にする機能は提供されません。