WebアプリとDBをVNet内に配置し、インターネットからのアクセスはApplication Gateway経由のみに制限したい。WebアプリのサブネットのNSGで許可すべき送信元はどれか。

ある企業のセキュリティポリシーで、すべてのパブリックIPアドレスはStandard SKUでなければならないと定められている。これを強制するAzure Policyを作成する際、対象となるリソースタイプのエイリアスはどれか。