La VPC my-project tiene la subred-a 10.128.0.0/20 (bases de datos) y la subred-b 172.16.0.0/24 (aplicaciones y web). Permita solo el tráfico de la base de datos (TCP/3306) desde los servidores de aplicaciones a los servidores de bases de datos. ¿Qué configuración de firewall logra esto?

La opción correcta utiliza cuentas de servicio para identificar las instancias de origen (servidores de aplicaciones) y de destino (servidores de bases de datos), lo que proporciona un control de acceso granular y seguro. Al asociar sa-app con los servidores de aplicaciones y sa-db con los servidores de bases de datos, la regla de firewall permite específicamente el tráfico TCP en el puerto 3306 entre estas dos categorías de instancias. La primera opción es incorrecta porque mezcla etiquetas de red para el origen y cuentas de servicio para el destino, lo cual no es una configuración válida para una única regla de firewall. La tercera opción es incorrecta porque incluye source-ranges (10.128.0.0/20, que es la subred de bases de datos) junto con source-service-accounts, lo que es redundante y potencialmente confuso, además de que la subred de origen debería ser la de aplicaciones si se usaran rangos. La cuarta opción es incorrecta porque usa etiquetas de red y source-ranges (la subred de bases de datos), lo que no es el origen correcto y no ofrece la granularidad de las cuentas de servicio.