A VPC my-project tem a subnet-a 10.128.0.0/20 (bancos de dados) e a subnet-b 172.16.0.0/24 (aplicativos e web). Permita apenas o tráfego de banco de dados (TCP/3306) de servidores de aplicação para servidores de banco de dados. Qual configuração de firewall realiza isso?

A opção correta utiliza contas de serviço para identificar as instâncias de origem (servidores de aplicação) e destino (servidores de banco de dados), que é a maneira mais granular e segura de controlar o tráfego entre grupos de VMs no Google Cloud. Ao associar sa-app aos servidores de aplicação e sa-db aos servidores de banco de dados, a regra de firewall permite especificamente o tráfego TCP na porta 3306 (MySQL) apenas das VMs com sa-app para as VMs com sa-db. A primeira opção está incorreta porque mistura source-tags com target-service-accounts, e a sintaxe para --rules está errada (top:3306 em vez de tcp:3306). A terceira opção adiciona source-ranges, que é redundante e menos flexível que usar apenas contas de serviço para a origem, além de potencialmente permitir tráfego de qualquer VM dentro daquele CIDR, não apenas as VMs de aplicação específicas. A quarta opção usa network tags para origem e destino, o que é menos seguro que service accounts porque tags podem ser modificadas por qualquer usuário com permissão de edição de instância, enquanto contas de serviço exigem permissões IAM mais elevadas para serem associadas a VMs.