La VPC my-project ha la subnet-a 10.128.0.0/20 (database) e la subnet-b 172.16.0.0/24 (app e web). Consentire solo il traffico del database (TCP/3306) dai server delle applicazioni ai server del database. Quale configurazione del firewall realizza questo?

La risposta corretta utilizza gli account di servizio per identificare sia la sorgente che la destinazione del traffico. Questo è il metodo più granulare e sicuro per controllare il traffico tra istanze in GCP, poiché gli account di servizio sono associati direttamente alle istanze e non dipendono dagli indirizzi IP che possono cambiare. La regola consente il traffico TCP sulla porta 3306 (database) dalle istanze con l'account di servizio sa-app alle istanze con l'account di servizio sa-db. La prima opzione è errata perché mescola tag di rete per la sorgente e account di servizio per la destinazione, e la sintassi del comando è imprecisa (--rules top:3306 invece di --allow TCP:3306). La terza opzione è errata perché include source-ranges che non è necessario e potrebbe essere troppo permissivo, oltre ad avere un account di servizio sorgente duplicato. La quarta opzione è errata perché usa solo network tag, che sono meno sicuri e flessibili degli account di servizio per questo tipo di controllo granulare.