Subnet1 与 NSG1 关联，NSG1 阻止所有未明确允许的出站流量。Subnet1 中的 VM 必须与 Azure Cosmos DB 通信。要通过 NSG1 允许出站访问 Cosmos DB，您应该在出站安全规则中引用哪个配置元素？

正确答案是服务标签。服务标签代表一组 IP 地址前缀，用于简化网络安全组 (NSG) 规则的创建。对于 Azure Cosmos DB，您可以直接在 NSG 出站规则中引用“AzureCosmosDB”服务标签，而无需手动维护 Cosmos DB 的所有 IP 地址范围。 服务终结点策略用于对通过服务终结点访问的 Azure 服务流量进行细粒度控制，但它不是直接在 NSG 规则中引用的元素。子网委派允许将特定子网委派给特定的 Azure 服务，以便该服务可以在子网中创建特定于服务的资源，但它不直接用于在 NSG 中允许出站流量。应用程序安全组 (ASG) 允许您按工作负载对虚拟机进行分组，并在 NSG 规则中引用这些组，从而简化安全管理，但它不适用于直接允许对 Azure 服务的出站访问。