VM1 y VM2 se implementaron a partir de la misma plantilla y ejecutan aplicaciones de línea de negocio. Un NSG está configurado como se muestra. Debe impedir que los usuarios de VM1 y VM2 accedan a sitios web en Internet a través del puerto TCP 80. ¿Qué acción debe tomar?

Asociar el NSG a la Subnet1 es la acción correcta porque un NSG aplicado a una subred filtra el tráfico para todas las máquinas virtuales dentro de esa subred. Al aplicar el NSG a la Subnet1, la regla de seguridad de salida DenyWebSites (que asumo que deniega el tráfico saliente al puerto 80) afectará tanto a VM1 como a VM2, impidiendo su acceso a sitios web en Internet. Disociar el NSG de una interfaz de red no resolvería el problema, ya que las máquinas virtuales seguirían teniendo acceso a Internet si no hay otra regla que lo impida. Cambiar la regla de seguridad de entrada Port80 es incorrecto porque el problema se refiere al acceso SALIENTE (de las VMs a Internet), no al acceso ENTRANTE. Cambiar la regla de seguridad de salida DenyWebSites podría ser parte de la solución si la regla no estuviera configurada correctamente, pero la pregunta implica que la regla ya existe y el problema es su aplicación. La clave es aplicar el NSG a un ámbito que cubra ambas VMs.