У вас есть 10 виртуальных машин, Key Vault Vault1 и NSG с именем NSG1, который блокирует весь исходящий интернет-трафик. Все ресурсы находятся в регионе East US. Вам необходимо, чтобы виртуальные машины имели доступ к Vault1, используя принцип наименьших привилегий и с минимальными усилиями. Что следует указать в качестве назначения в правиле исходящего трафика NSG1?

Правильный ответ — тег службы. Теги службы представляют собой группы IP-адресов, управляемые Azure, которые включают IP-адреса для определенных служб Azure, таких как Azure Key Vault. Использование тега службы AzureKeyVault в правиле исходящего трафика NSG1 позволяет виртуальным машинам безопасно подключаться к Key Vault Vault1, не открывая доступ ко всему интернету, что соответствует принципу наименьших привилегий и минимизирует усилия по управлению. Группа безопасности приложений (ASG) используется для группировки виртуальных машин, а не для определения назначения трафика к службам Azure. Диапазон IP-адресов потребовал бы ручного определения и постоянного обновления всех IP-адресов Key Vault, что непрактично и не соответствует принципу минимальных усилий.