Datenbankserver laufen in Subnetz-a; Anwendungs- und Webserver laufen in Subnetz-b der Standard-VPC. Erlauben Sie Datenbankverkehr nur von Anwendungsservern zu Datenbankservern. Was sollten Sie tun?

Die korrekte Lösung verwendet Dienstkonten (Service Accounts) als Quell- und Ziel-Identifikatoren in einer Ingress-Firewall-Regel. Dies ist eine präzise und sichere Methode, um den Datenbankzugriff nur von autorisierten Anwendungsservern zu ermöglichen. Eine Ingress-Regel steuert den eingehenden Verkehr zu den Datenbankservern. Die Option mit Netzwerk-Tags ist falsch, da eine Egress-Regel den ausgehenden Verkehr steuert, nicht den eingehenden zu den Datenbankservern. Außerdem wäre eine Ingress-Regel mit Quell- und Ziel-Tags präziser. Die Option mit Quell-VPC-IPs zu Subnetz-a-IPs ist zu breit gefasst und unsicher, da sie den gesamten Verkehr aus der VPC zum Subnetz-a zulassen würde, nicht nur von den Anwendungsservern. Die Option, die Netzwerk-Tags und Dienstkonten mischt und eine Egress-Regel verwendet, ist ebenfalls falsch, da eine Egress-Regel den ausgehenden Verkehr steuert und die Kombination von Tags und Dienstkonten als Quelle/Ziel in dieser Form nicht die gewünschte Funktionalität bietet.