VM1 e VM2 estão conectadas à VNET1 e usam NSG1. Você precisa garantir que apenas VM1 e VM2 possam acessar DB1. O que você deve fazer?

A opção correta é configurar o DB1 para permitir acesso apenas da VNET1. Isso restringe o acesso ao banco de dados exclusivamente aos recursos dentro da VNET1, que inclui VM1 e VM2, garantindo que apenas eles possam acessar o DB1. Configurar uma regra no NSG1 com uma service tag não é suficiente porque o NSG controla o tráfego de entrada e saída para as VMs, não o acesso ao DB1 em si. Adicionar o intervalo de IPs da VNET1 às configurações de Firewall do DB1 é uma forma de fazer isso, mas a opção de configurar o DB1 para permitir acesso apenas da VNET1 é mais abrangente e direta, pois muitos serviços de banco de dados Azure têm essa funcionalidade nativa. Criar um grupo de segurança de aplicativo (ASG) seria útil para agrupar VM1 e VM2, mas ainda exigiria uma regra no firewall do DB1 para permitir o acesso do ASG, tornando a opção de restringir o acesso à VNET1 mais direta para o objetivo proposto.