Woodgrove Bank는 3계층 애플리케이션(WEB, APP, DB)을 운영합니다. 각 계층은 동일한 서브넷 그룹의 여러 VM에서 실행됩니다. 보안 팀은 인스턴스 확장 시 NSG 규칙 수와 향후 변경 사항을 최소화하면서 WEB에서 APP으로, APP에서 DB로 트래픽을 허용하는 NSG 규칙을 원합니다. Azure 기능을 사용하여 이를 가장 잘 달성하는 방법은 무엇입니까?

ASG(Application Security Group)는 애플리케이션 계층별로 가상 머신(VM)을 논리적으로 그룹화할 수 있게 해줍니다. 각 계층(WEB, APP, DB)에 ASG를 생성하고 해당 계층의 VM NIC를 ASG에 할당하면, NSG(Network Security Group) 규칙에서 이 ASG를 소스 또는 대상으로 직접 참조할 수 있습니다. 이렇게 하면 VM 인스턴스가 추가되거나 제거될 때마다 NSG 규칙을 수정할 필요 없이 자동으로 확장됩니다. Service Tags는 미리 정의된 Azure 서비스에 대한 트래픽을 관리하는 데 사용되며, 사용자 정의 애플리케이션 계층에는 적합하지 않습니다. 각 계층을 별도의 구독에 배치하는 것은 관리 복잡성을 증가시키고, 구독 수준 NSG는 존재하지 않습니다. 단일 NSG에 'VirtualNetwork'를 허용하는 포트 기반 규칙은 보안 수준이 너무 낮아 권장되지 않습니다.