Woodgrove Bankは、WEB、APP、DBの3層アプリケーションを実行しています。各層は同じサブネットグループ内の複数のVMで実行されます。セキュリティチームは、NSGルールを最小限に抑え、インスタンスのスケールに応じて将来の変更を最小限に抑えながら、WEBからAPP、APPからDBへのトラフィックを許可するNSGルールを求めています。Azureの機能を使用してこれを達成するのに最適なアプローチはどれですか？

このアプローチは、Application Security Groups (ASGs) を使用して、アプリケーション層に基づいてVMを論理的にグループ化します。NSGルールでASGを参照することで、特定のIPアドレスではなくアプリケーションの役割に基づいてトラフィックを許可できます。これにより、VMの追加や削除があってもNSGルールを変更する必要がなく、管理が簡素化され、将来のスケーリングに柔軟に対応できます。 サービスタグは特定のAzureサービスを識別するために使用され、アプリケーション層（Web、App、Database）のカスタムグループ化には適していません。各層を独自のサブスクリプションに配置することは、管理オーバーヘッドを増加させ、このシナリオのセキュリティ要件には過剰です。単一のNSGとポートベースのルールは、VMのスケールに合わせてルールを更新する必要があり、管理が複雑になります。