Kies TWEE - Fabrikam beheert een omgeving met meerdere abonnementen met een Azure Firewall Policy-hiërarchie: een globaal bovenliggend beleid en onderliggende beleidsregels per hub die worden toegepast via Firewall Manager. Ze moeten ervoor zorgen dat een DENY-regel met hoge prioriteit voor verkeer van een verdachte /24 IP-reeks wordt afgedwongen in twee specifieke hubs, maar wordt toegestaan in andere. Welke TWEE configuraties zullen dit doel bereiken, terwijl lokale toegestane regels in andere hubs behouden blijven?

De eerste correcte optie is om een regelverzamelingsgroep in het bovenliggende beleid te maken met een DENY-regel met hoge prioriteit en deze te richten op de resourcegroepen van de twee specifieke hubs. Dit werkt omdat regels in het bovenliggende beleid altijd voorrang hebben op regels in onderliggende beleidsregels, en het richten op specifieke resourcegroepen zorgt ervoor dat de DENY-regel alleen van toepassing is op de bedoelde hubs. De tweede correcte optie is om een regelverzamelingsgroep in het bovenliggende beleid te maken met een DENY-regel en beleidstoewijzingsfilters te gebruiken om alleen de twee virtuele doel-hubs op te nemen. Dit bereikt hetzelfde doel als de eerste optie door de DENY-regel selectief toe te passen via filters. De optie om de DENY-regel toe te voegen aan het onderliggende beleid met 'Override' werkt niet, omdat 'Override' betekent dat het onderliggende beleid de regels van het bovenliggende beleid negeert, wat niet de bedoeling is. Het toevoegen van een regelverzamelingsgroep met een lagere prioriteit in het onderliggende beleid zal de DENY-regel van het bovenliggende beleid niet overschrijven. Het inschakelen van 'Policy Inheritance Override' en vervolgens selectief uitschakelen van toegestane regels is inefficiënt en niet de meest directe manier om dit te bereiken.