Masz 10 maszyn wirtualnych (VM), Key Vault Vault1 i sieciową grupę zabezpieczeń (NSG) o nazwie NSG1, która blokuje cały wychodzący ruch internetowy. Wszystkie zasoby znajdują się w regionie East US. Potrzebujesz, aby maszyny wirtualne miały dostęp do Vault1, stosując zasadę najmniejszych uprawnień i minimalny wysiłek. Co należy ustawić jako miejsce docelowe w regule zabezpieczeń ruchu wychodzącego NSG1?

Poprawną odpowiedzią jest znacznik usługi. Znaczniki usług reprezentują grupę prefiksów adresów IP z danej usługi platformy Azure, co upraszcza konfigurację reguł zabezpieczeń. Użycie znacznika usługi „AzureKeyVault” w regule zabezpieczeń ruchu wychodzącego NSG1 pozwoli maszynom wirtualnym na dostęp do Vault1, jednocześnie blokując cały inny ruch internetowy, co spełnia zasadę najmniejszych uprawnień i minimalizuje wysiłek administracyjny. Grupa zabezpieczeń aplikacji (ASG) jest używana do grupowania maszyn wirtualnych i definiowania reguł sieciowych na podstawie tych grup, a nie do określania docelowej usługi platformy Azure. Zakres adresów IP wymagałby ręcznego zarządzania adresami IP usługi Key Vault, które mogą się zmieniać, co jest nieefektywne i nie jest zgodne z zasadą minimalnego wysiłku.