Woodgrove Bank uruchamia aplikację trójwarstwową: WEB, APP i DB. Każda warstwa działa na wielu maszynach wirtualnych w tej samej grupie podsieci. Zespół ds. bezpieczeństwa chce, aby reguły sieciowych grup zabezpieczeń (NSG) zezwalały na ruch z WEB do APP i z APP do DB, jednocześnie minimalizując liczbę reguł NSG i przyszłych zmian w miarę skalowania instancji. Które podejście najlepiej to osiąga, wykorzystując funkcje Azure?

Tworzenie grup zabezpieczeń aplikacji (ASG) i przypisywanie do nich kart sieciowych maszyn wirtualnych to najlepsze rozwiązanie. ASG pozwalają na definiowanie reguł NSG w oparciu o grupy aplikacji, a nie indywidualne adresy IP, co znacznie upraszcza zarządzanie i minimalizuje liczbę reguł. Kiedy nowe maszyny wirtualne są dodawane do warstwy, wystarczy przypisać ich karty sieciowe do odpowiedniego ASG, a reguły NSG automatycznie będą miały do nich zastosowanie, zapewniając skalowalność bez konieczności modyfikacji reguł. Użycie tagów usług nie jest odpowiednie, ponieważ tagi usług odnoszą się do usług Azure, a nie do niestandardowych warstw aplikacji. Umieszczanie każdej warstwy w osobnej subskrypcji jest nadmiernie skomplikowane i niepotrzebne dla tego scenariusza. Reguły oparte na portach z 'VirtualNetwork' byłyby zbyt szerokie i nie zapewniłyby wymaganej segmentacji między warstwami.