A Subnet1 está associada ao NSG1, que bloqueia todo o tráfego de saída não explicitamente permitido. As VMs na Subnet1 devem se comunicar com o Azure Cosmos DB. Para permitir o acesso de saída ao Cosmos DB via NSG1, qual elemento de configuração você deve referenciar na regra de segurança de saída?

A service tag é a opção correta porque representa um grupo de prefixos de endereço IP de um serviço Azure específico, como o Azure Cosmos DB. Ao usar uma service tag em uma regra de segurança de saída do NSG, você permite o tráfego para todos os endereços IP associados ao Cosmos DB sem precisar especificar cada um manualmente. Uma service endpoint policy é usada para filtrar o tráfego para serviços específicos dentro de um service endpoint, mas não é o mecanismo direto para permitir o acesso de saída via NSG. Uma subnet delegation permite que um serviço Azure específico controle uma sub-rede, mas não é uma configuração para regras de segurança de saída. Um application security group (ASG) agrupa VMs para aplicar regras de segurança, mas não é usado para representar serviços Azure externos como o Cosmos DB.