Los servidores de bases de datos se ejecutan en subnet-a; los servidores de aplicaciones y web se ejecutan en subnet-b de la VPC predeterminada. Permita el tráfico de la base de datos solo desde los servidores de aplicaciones a los servidores de bases de datos. ¿Qué debería hacer?

La opción correcta utiliza cuentas de servicio para identificar las instancias de origen y destino, lo cual es una práctica segura y granular en Google Cloud. Al crear una regla de firewall de entrada (ingress) en los servidores de bases de datos (destino) que permite el tráfico solo desde la cuenta de servicio de los servidores de aplicaciones (origen), se asegura que únicamente las aplicaciones autorizadas puedan conectarse a la base de datos. Las etiquetas de red son útiles para identificar instancias, pero las cuentas de servicio ofrecen una capa de seguridad más robusta al vincular la identidad de la instancia con permisos y políticas. Las reglas de salida (egress) controlan el tráfico que sale, no el que entra, por lo que no serían adecuadas para restringir el acceso a la base de datos.