VM1 和 VM2 连接到 VNET1 并使用 NSG1。你需要确保只有 VM1 和 VM2 可以访问 DB1。你应该怎么做？

正确答案是“将 DB1 配置为仅允许来自 VNET1 的访问”。这是因为数据库（DB1）通常有自己的防火墙设置，允许你指定哪些IP地址或虚拟网络可以连接。通过将DB1的防火墙配置为只允许来自VNET1的流量，可以确保只有VNET1中的虚拟机（包括VM1和VM2）能够访问DB1。 “对于 NSG1，配置一个具有服务标签的规则”不正确，因为NSG1是应用于VNET1的，它控制的是进出VNET1的流量，而不是DB1的访问控制。 “将 VNET1 的 IP 地址范围添加到 DB1 的防火墙设置中”是正确答案的另一种表述，但“将 DB1 配置为仅允许来自 VNET1 的访问”更直接地说明了通过虚拟网络服务端点或私有链接实现此目的。 “创建一个应用程序安全组”不直接解决问题，ASG用于对VM进行分组，以便在NSG规则中引用，但DB1的访问控制主要在其自身的防火墙设置中。