¿Qué recursos se pueden utilizar como origen para una regla de entrada en un Grupo de seguridad de red?

Las reglas de entrada (y salida) de un Grupo de seguridad de red (NSG) definen el tráfico de red permitido o denegado. Para el origen (y el destino), puede especificar direcciones IP individuales o rangos CIDR, etiquetas de servicio (que representan grupos de servicios de Azure, como AzureFrontDoor.Backend o VirtualNetwork) o Grupos de seguridad de aplicaciones (ASG), que permiten agrupar máquinas virtuales lógicamente y aplicar reglas de seguridad a ese grupo. Las otras opciones son incorrectas porque limitan las posibilidades a un solo tipo de origen, cuando en realidad se pueden usar los tres.