你有一个名为Vnet1的虚拟网络，其中包含20个子网和500个虚拟机。每个子网都包含一个运行网络监控软件的虚拟机。一个名为NSG1的网络安全组（NSG）与每个子网相关联。当创建一个新子网时，自动化过程会在该子网中创建监控虚拟机，并将该子网与NSG1关联。你需要向NSG1添加一个入站安全规则，允许来自IP地址131.107.1.15的连接访问监控虚拟机。要求：• 只有监控虚拟机应接收来自131.107.1.15的连接。• 当创建一个新子网时，应尽量减少对NSG1的更改。对于入站规则，你应该使用哪种目标类型？

正确答案是应用程序安全组（Application Security Group, ASG）。ASG允许您将一组虚拟机或网络接口分组，然后将安全规则应用于该组，而不是单独的IP地址。在这种情况下，您可以创建一个ASG，将所有监控虚拟机添加到其中。然后，在NSG1中创建一个入站规则，将源IP地址设置为131.107.1.15，目标设置为您创建的ASG。这样，只有ASG中的监控虚拟机才能接收来自该IP地址的连接，并且当创建新子网和监控虚拟机时，只需将新的监控虚拟机添加到现有ASG中，而无需修改NSG1中的规则，从而满足了最小化NSG1更改的要求。 服务标签（Service Tag）是Azure预定义的服务IP地址组，不适用于自定义的虚拟机组。虚拟网络（Virtual Network）作为目标类型会允许来自指定IP的连接访问整个VNet，而不是仅限监控虚拟机。IP地址（IP Address）作为目标类型则需要为每个监控虚拟机单独添加IP地址规则，或者使用IP范围，这不符合“只有监控虚拟机”和“最小化对NSG1的更改”的要求。