某公司要求對 SaaS 存取進行出站 TLS 檢查，並對 VNet 之間的東西向流量進行入侵偵測/防護。中央安全團隊必須強制執行全域規則，同時允許區域團隊新增例外狀況。您建議採用哪種 Azure Firewall 設計？

此情境要求對 SaaS 存取進行出站 TLS 檢查和 VNet 間的東西向流量進行入侵偵測/防護 (IDPS)，這些功能只有 Azure Firewall Premium 提供。Premium SKU 支援 TLS 檢查和 IDPS。父/子防火牆策略階層允許中央團隊定義全域規則（父策略），而區域團隊可以新增特定例外（子策略），滿足了全球規則強制執行和區域例外需求。 Azure Firewall Standard 不支援 TLS 檢查和 IDPS。在每個 VNet 中部署獨立的 Azure Firewall Premium 實例會增加複雜性和成本，且難以集中管理。第三方 NVA 雖然可能提供這些功能，但 Azure Firewall Premium 是 Azure 原生且整合度更高，且其策略階層能滿足管理需求。Azure Firewall Basic 不支援 TLS 檢查、IDPS 或策略階層。