VPC my-projectには、subnet-a 10.128.0.0/20（データベース）とsubnet-b 172.16.0.0/24（アプリとウェブ）があります。アプリケーションサーバーからデータベースサーバーへのデータベーストラフィック（TCP/3306）のみを許可します。これを実現するファイアウォール構成はどれですか？

正解は、送信元とターゲットの両方にサービスアカウントを使用するオプションです。これにより、アプリケーションサーバー（sa-appが関連付けられている）からデータベースサーバー（sa-dbが関連付けられている）へのTCP/3306トラフィックのみが許可されます。サービスアカウントは、特定のインスタンスにファイアウォールルールを適用するための、よりきめ細かく安全な方法を提供します。 最初の不正解の選択肢は、送信元にネットワークタグを使用し、ターゲットにサービスアカウントを使用していますが、これは一貫性がなく、推奨される方法ではありません。2番目の不正解の選択肢は、送信元にサブネット範囲とサービスアカウントの両方を使用しており、冗長で、意図したよりも広範なアクセスを許可する可能性があります。3番目の不正解の選択肢は、送信元とターゲットの両方にネットワークタグを使用していますが、サービスアカウントと比較してセキュリティが低く、タグの誤用や重複のリスクがあります。