Серверы баз данных работают в subnet-a; серверы приложений и веб-серверы работают в subnet-b VPC по умолчанию. Разрешите трафик к базам данных только от серверов приложений. Что следует сделать?

Правильный подход — использовать сервисные аккаунты для идентификации источников и целей трафика. Создайте сервисный аккаунт sa-app для серверов приложений и sa-db для серверов баз данных. Назначьте эти аккаунты соответствующим экземплярам. Затем создайте правило файрвола типа "входящий трафик" (ingress), которое разрешает трафик от sa-app (источник) к экземплярам, использующим sa-db (цель). Это обеспечивает точный контроль доступа, позволяя только серверам приложений подключаться к базам данных. Использование сетевых тегов для исходящего трафика (egress) не соответствует требованию входящего трафика к базам данных. Комбинация сервисных аккаунтов и тегов или использование IP-адресов менее гибка и безопасна, чем подход с сервисными аккаунтами для обеих сторон.