VPC my-project ma podsieć subnet-a 10.128.0.0/20 (bazy danych) i subnet-b 172.16.0.0/24 (aplikacje i sieć). Zezwól tylko na ruch bazodanowy (TCP/3306) z serwerów aplikacyjnych do serwerów baz danych. Jaka konfiguracja zapory sieciowej to umożliwi?

Poprawna odpowiedź wykorzystuje konta usługi (service accounts) zarówno dla źródeł, jak i celów, co jest najlepszą praktyką w GCP dla precyzyjnej kontroli dostępu do zapory sieciowej. Reguła zezwala na ruch TCP/3306 (MySQL) z maszyn wirtualnych powiązanych z kontem usługi sa-app (serwery aplikacyjne) do maszyn wirtualnych powiązanych z kontem usługi sa-db (serwery baz danych). Pierwsza niepoprawna opcja miesza tagi sieciowe ze źródłem i konta usługi z celem, co jest nieprawidłową składnią i logiką. Druga niepoprawna opcja dodaje zakresy IP do reguły, co jest zbędne i mniej elastyczne niż użycie samych kont usługi, a także zawiera niepoprawny identyfikator projektu w --source-service-accounts. Trzecia niepoprawna opcja używa tagów sieciowych dla obu stron i dodatkowo zakresów IP, co jest mniej bezpieczne i precyzyjne niż konta usługi, ponieważ tagi są łatwiejsze do manipulowania i nie są tak ściśle powiązane z tożsamością instancji jak konta usługi.