Nimbus Cloud gebruikt een Network Security Perimeter (NSP)-architectuur en moet Platform-as-a-Service (PaaS)-resources zoals Azure Storage en Azure SQL in de perimeter opnemen. De beveiligingsvereiste is dat alle toegang tot het managementvlak en het datavlak van deze PaaS-services afkomstig moet zijn van de NSP-hub of geblokkeerd moet worden. Welke aanpak zorgt ervoor dat PaaS-resources aan de NSP worden gekoppeld, terwijl veilige toegang vanuit de hub mogelijk is?

De correcte aanpak is het gebruik van Private Endpoints. Private Endpoints zorgen ervoor dat PaaS-resources privé toegankelijk zijn via een VNet, waardoor ze deel worden van de NSP. Door openbare toegang te beperken op de PaaS-resources en Private Endpoints in de NSP-hub of gekoppelde VNet's te plaatsen, wordt al het data- en managementvlakverkeer gedwongen om via de NSP-hub te lopen, wat voldoet aan de beveiligingsvereiste. De optie om alleen het openbare IP-adres van de NSP-hub toe te staan, is minder veilig omdat het nog steeds afhankelijk is van openbare endpoints en IP-spoofing een risico kan vormen. Het implementeren van PaaS-resources binnen VNet's via VNet-injectie is niet altijd mogelijk voor alle PaaS-services en het uitschakelen van alle netwerkregels is een onveilige configuratie. Azure Front Door is een globale load balancer en WAF, niet primair ontworpen om PaaS-resources binnen een NSP te integreren op de manier die hier wordt gevraagd, en het accepteren van verkeer alleen van Front Door's anycast-adressen omzeilt de intentie van een NSP voor interne PaaS-toegang.