Você tem 10 VMs, um Key Vault Vault1 e um NSG chamado NSG1 que bloqueia todo o tráfego de saída da internet. Todos os recursos estão em East US. Você precisa que as VMs acessem o Vault1 usando o privilégio mínimo e o esforço mínimo. O que você deve definir como destino na regra de segurança de saída do NSG1?

A tag de serviço (Service Tag) é a opção correta porque ela representa um grupo de prefixos de endereço IP de um determinado serviço do Azure, como o Azure Key Vault. Ao usar a tag de serviço "AzureKeyVault" no NSG1, você permite que as VMs acessem o Vault1 sem precisar gerenciar endereços IP específicos, o que garante o privilégio mínimo e o esforço mínimo. Um grupo de segurança de aplicativo (Application Security Group - ASG) é usado para agrupar VMs e aplicar regras de segurança a elas, mas não para definir destinos de serviço externos. Um intervalo de endereços IP exigiria que você soubesse e mantivesse os endereços IP do Azure Key Vault, que podem mudar, resultando em maior esforço de gerenciamento e potencial quebra de conectividade.