Woodgrove Bank draait een drielaagse applicatie: WEB, APP en DB. Elke laag draait op meerdere VM's in dezelfde subnetgroep. Het beveiligingsteam wil NSG-regels die WEB naar APP en APP naar DB verkeer toestaan, terwijl het aantal NSG-regels en toekomstige wijzigingen bij het schalen van instanties geminimaliseerd wordt. Welke aanpak bereikt dit het beste met behulp van Azure-functies?

Application Security Groups (ASG's) zijn de meest efficiënte methode om dit te bereiken. Door ASG's te maken voor elke laag (WEB, APP, DB) en de netwerkinterfaces (NIC's) van de betreffende VM's aan deze ASG's toe te wijzen, kunt u NSG-regels schrijven die verwijzen naar de ASG's in plaats van individuele IP-adressen of subnetten. Dit minimaliseert het aantal NSG-regels aanzienlijk en vereenvoudigt toekomstige wijzigingen, omdat nieuwe VM's die aan een ASG worden toegevoegd, automatisch onder de bestaande regels vallen zonder dat de NSG-regels zelf hoeven te worden aangepast. Service Tags zijn niet geschikt voor dit scenario, omdat ze verwijzen naar bekende Azure-services of brede IP-bereiken, niet naar specifieke applicatielagen binnen uw eigen infrastructuur. Het plaatsen van elke laag in een eigen abonnement is een organisatorische benadering, geen netwerkbeveiligingsoplossing voor het minimaliseren van NSG-regels binnen een applicatie. Het gebruik van één NSG met poortgebaseerde regels van 'VirtualNetwork' naar de APP- en DB-subnets is te breed en biedt niet de granulaire controle die nodig is om verkeer specifiek tussen de gedefinieerde lagen toe te staan, wat een beveiligingsrisico vormt.