Fabrikam은 Azure Firewall Policy 계층 구조(글로벌 상위 정책 및 Firewall Manager를 통해 적용되는 허브별 하위 정책)를 사용하는 다중 구독 환경을 운영합니다. 의심스러운 /24 IP 범위에서 오는 트래픽에 대한 우선순위가 높은 DENY 규칙이 두 개의 특정 허브에서 적용되도록 하면서 다른 허브에서는 허용되도록 해야 합니다. 다른 허브의 로컬 허용 규칙을 유지하면서 이 목표를 달성하는 두 가지 구성은 무엇입니까?

첫 번째 정답은 상위 정책에서 특정 리소스 그룹에 DENY 규칙을 적용하여 해당 허브에만 영향을 미치도록 합니다. Azure Firewall Policy 계층 구조에서 상위 정책의 규칙은 하위 정책보다 우선하며, 리소스 그룹 범위 지정을 통해 특정 허브에만 DENY 규칙을 적용할 수 있습니다. 두 번째 정답은 상위 정책에 DENY 규칙을 생성하고 정책 할당 필터를 사용하여 해당 규칙이 적용될 특정 가상 허브를 지정합니다. 이는 상위 정책의 규칙이 하위 정책보다 우선한다는 원칙을 활용하며, 할당 필터를 통해 규칙의 적용 범위를 정밀하게 제어하여 원하는 두 허브에만 DENY 규칙을 적용할 수 있습니다. 오답인 '각 허브의 하위 정책에 가장 높은 우선순위를 가진 네트워크 규칙 컬렉션으로 DENY 규칙을 추가하고, 하위 정책 수준에서 규칙 컬렉션 그룹의 'Override' 플래그를 true로 설정합니다'는 하위 정책의 'Override' 플래그는 상위 정책의 규칙을 재정의하는 데 사용되지만, 이 시나리오에서는 상위 정책의 다른 허용 규칙을 유지해야 하므로 적합하지 않습니다. 오답인 '허브에 대한 각 하위 정책에서 상위 규칙보다 우선순위가 낮은 규칙 컬렉션 그룹을 추가하여 상위 DENY가 우선하도록 합니다'는 상위 DENY 규칙이 존재하지 않는 상황에서 하위 정책에 우선순위가 낮은 규칙을 추가하는 것은 목표 달성에 도움이 되지 않습니다. 오답인 '하위 정책에서 'Policy Inheritance Override'를 활성화하여 상위 규칙이 병합된 다음 해당 두 허브에서 허용 규칙을 선택적으로 비활성화합니다'는 'Policy Inheritance Override'는 상위 정책의 모든 규칙을 재정의하거나 비활성화할 수 있으므로, 다른 허브의 로컬 허용 규칙을 유지해야 하는 요구 사항과 상충됩니다.