Nimbus Cloud использует архитектуру периметра сетевой безопасности (NSP) и должна включить ресурсы Platform-as-a-Service (PaaS), такие как Azure Storage и Azure SQL, в этот периметр. Требование безопасности заключается в том, что весь доступ к этим службам PaaS на уровне управления и на уровне данных должен либо исходить из концентратора NSP, либо быть заблокирован. Какой подход гарантирует, что ресурсы PaaS связаны с NSP, обеспечивая при этом безопасный доступ из концентратора?

Правильный ответ обеспечивает инкапсуляцию PaaS-ресурсов в NSP. Private Endpoints создают частные IP-адреса для PaaS-сервисов в виртуальной сети концентратора (или пиринговых VNet), направляя трафик через NSP. Ограничение публичного доступа к PaaS-ресурсам гарантирует, что доступ возможен только через эти Private Endpoints. Настройка Service Endpoints (для уровня управления) или маршрутизации (для уровня данных) через концентратор NSP завершает реализацию, обеспечивая прохождение всего трафика через NSP. Неправильные варианты: Правила брандмауэра на PaaS-ресурсах с публичными IP-адресами не обеспечивают полную инкапсуляцию и оставляют поверхность атаки. Развертывание PaaS-ресурсов внутри VNet (VNet-injection) не всегда доступно для всех PaaS-сервисов и не гарантирует прохождение всего трафика через NSP без дополнительных настроек безопасности. Отключение сетевых правил небезопасно. Azure Front Door — это глобальный балансировщик нагрузки и WAF, а не инструмент для инкапсуляции PaaS-ресурсов в частную сеть. Он не обеспечивает прохождение всего трафика через NSP.