azure - 网络安全组最佳实践

Question

关闭。这个问题是 opinion-based 。目前不接受答案。

---

想要改进这个问题吗？更新问题，以便 editing this post 可以用事实和引文来回答它。 .

已关闭 3 年前。

Improve this question

在 Azure 中定义网络安全组的最佳实践有哪些？

所有 NIC 都需要应用 NSG，但为每个 NIC 创建一个 NSG 是否是最佳实践？

最佳实践是为环境(DEV、PROD、Staging)创建一个？

Answer 1

说实话，您的网络或组织的布局方式会有所不同。我绝对不会推荐每个 NIC 一个 NSG。 NSG 旨在可重用，因此如果您有一组需要相同配置的虚拟机，最好将它们全部附加到同一个 NSG。

对于每个环境一个 NSG，我建议不要这样做，并且它假设规则对于您的所有设备和服务都是相同的。 (我知道子网也可以是其中的一部分，但组织设置和/或管理所有这些的兴趣又如何)。

如果它有助于将 NSG 视为入站/出站端口上的防火墙策略(仅允许/拒绝)。您会为每台机器或 PaaS 产品分配相同的限制吗？可能不会。在每个环境中都一样吗？可能但不太可能。

对于部署和管理，我强烈建议利用 Azure Resource Manager (ARM)模板并将其与 CI/CD 管道关联，并可能将其设置为夜间部署。如果用户手动配置 nsgs，这可以防止网络上的配置漂移。