Podsieć Subnet1 jest skojarzona z NSG1, która blokuje cały ruch wychodzący, który nie został jawnie dozwolony. Maszyny wirtualne w Subnet1 muszą komunikować się z Azure Cosmos DB. Aby zezwolić na dostęp wychodzący do Cosmos DB za pośrednictwem NSG1, który element konfiguracji należy odwołać w regule zabezpieczeń ruchu wychodzącego?

Aby zezwolić na ruch wychodzący do Azure Cosmos DB z podsieci chronionej przez NSG, należy użyć znacznika usługi (service tag) "AzureCosmosDB". Znaczniki usług reprezentują grupę prefiksów adresów IP z danej usługi Azure, co upraszcza zarządzanie regułami zabezpieczeń. Dodanie tego znacznika do reguły wychodzącej w NSG1 umożliwi maszynom wirtualnym w Subnet1 komunikację z Cosmos DB bez konieczności ręcznego określania adresów IP. Zasada punktu końcowego usługi (service endpoint policy) jest używana do filtrowania ruchu do usług Azure, ale działa na poziomie punktu końcowego usługi, a nie bezpośrednio w regule NSG. Delegowanie podsieci (subnet delegation) jest mechanizmem umożliwiającym dedykowanie podsieci dla konkretnej usługi Azure, co nie jest bezpośrednio związane z zezwalaniem na ruch wychodzący przez NSG. Grupa zabezpieczeń aplikacji (application security group) służy do grupowania maszyn wirtualnych i definiowania reguł sieciowych na podstawie tych grup, a nie do określania usług docelowych.