Azure Network Security Perimeter, ou NSP, est l’un des ajouts les plus importants au modèle de sécurité réseau d’Azure pour les organisations qui souhaitent mieux contrôler l’accès à leurs ressources protégées.

À haut niveau, NSP vous aide à définir une limite autour d’un ensemble de ressources Azure et à appliquer des règles de sécurité qui déterminent qui et quoi peut s’y connecter. Au lieu de vous appuyer uniquement sur les contrôles réseau traditionnels, vous pouvez ajouter une couche de protection supplémentaire centrée sur la ressource elle-même.

C’est particulièrement utile lorsque vous travaillez avec des services tels qu’Azure Storage, Azure Key Vault ou d’autres ressources PaaS qui pourraient autrement être exposées par des stratégies d’accès réseau trop larges.

Pourquoi NSP est important

Le principal avantage de NSP est sa simplicité. Vous pouvez appliquer un modèle d’accès cohérent à un groupe de ressources sans devoir repenser toute la topologie réseau. Il complète les outils existants tels que les points de terminaison privés, les réseaux virtuels et les pare-feu en fournissant un plan de contrôle centré sur les ressources.

Pour de nombreuses équipes, cela signifie :

• Un meilleur contrôle du trafic entrant vers les ressources protégées
• Une posture de sécurité plus claire pour les environnements Azure partagés
• Une application plus simple des règles de connectivité fondées sur le principe du moindre privilège
• Une gouvernance renforcée pour les architectures impliquant plusieurs équipes ou abonnements

Ce qui différencie NSP

La sécurité réseau traditionnelle se concentre souvent sur les segments réseau, les sous-réseaux ou les plages d’adresses IP. NSP déplace une partie de cette réflexion vers les ressources elles-mêmes. Il devient ainsi plus facile de raisonner sur la limite de sécurité autour d’un service cible et d’empêcher toute exposition inutile.

En pratique, cela peut aider les organisations à réduire leur surface d’attaque et à rendre les décisions d’accès plus explicites.

Un exemple Bicep simple

Un point de départ minimal pour un déploiement NSP peut ressembler à ceci :

targetScope = 'resourceGroup'

@description('Name of the network security perimeter')
param perimeterName string = 'contoso-platform-prod-nsp'

@description('Environment tag applied to the perimeter')
param environment string = 'prod'

@description('Resource IDs that should be protected by the perimeter')
param protectedResourceIds array = [
  '/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/rg-platform-prod/providers/Microsoft.Storage/storageAccounts/stprodshared001'
  '/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/rg-platform-prod/providers/Microsoft.KeyVault/vaults/kv-platform-prod'
]

resource perimeter 'Microsoft.Network/networkSecurityPerimeters@2024-05-01' = {
  name: perimeterName
  location: 'global'
  tags: {
    Environment: environment
    Owner: 'Platform Engineering'
    SecurityBoundary: 'Production'
  }
  properties: {
    // Example rule shape for a production deployment
    accessRules: [
      {
        name: 'allow-platform-engineering'
        properties: {
          direction: 'Inbound'
          access: 'Allow'
          description: 'Allow management traffic from the platform engineering subnet'
          addressPrefixes: [
            '10.20.30.0/24'
          ]
          destinationPortRanges: [
            '443'
          ]
        }
      }
    ]
    // In a production deployment, define resource links and policy
    // associations here as well.
  }
}

output perimeterId string = perimeter.id
output protectedResourceCount int = length(protectedResourceIds)

Cet exemple est volontairement simple. Dans un déploiement réel, vous le compléteriez avec les ressources que vous souhaitez protéger et les règles d’accès qui définissent qui peut les atteindre.

Une bonne première étape

Si vous évaluez les contrôles de sécurité Azure, NSP est un sujet intéressant à explorer dès le début. Il s’agit d’une fonctionnalité pratique pour les équipes qui souhaitent moderniser leur landing zone Azure et renforcer la protection de leurs services critiques sans ajouter une complexité opérationnelle excessive.

Dans le prochain article, je me concentrerai sur l’application de NSP aux ressources PaaS et sur les premières étapes de mise en œuvre.