Sua assinatura contém uma VM chamada VM1 que possui uma única NIC (NIC1) associada a um NSG chamado NSG1 (regras padrão presentes). A VM1 executa o Windows Server 2022. Você precisa bloquear o acesso da VM1 à REST API do Azure Instance Metadata Service (IMDS), minimizando a sobrecarga administrativa. O que você deve adicionar ao NSG1?

Para bloquear o acesso da VM1 ao Azure Instance Metadata Service (IMDS), você deve adicionar uma regra de saída ao NSG1 que bloqueie o tráfego para a Service Tag "AzureInstanceMetadata". O IMDS é um ponto de extremidade REST acessível apenas de dentro da VM em um endereço IP não roteável (169.254.169.254). Bloquear o tráfego de saída usando a Service Tag é a maneira mais eficiente e com menor sobrecarga administrativa, pois a Microsoft gerencia os endereços IP associados a essa Service Tag. Bloquear um endereço IP específico (opção 1) funcionaria, mas exigiria que você soubesse o endereço IP exato do IMDS e não seria tão flexível se o endereço mudasse no futuro. Regras de entrada (opções 2 e 3) são irrelevantes, pois o IMDS é um serviço que a VM acessa (tráfego de saída), não um serviço que acessa a VM. Bloquear um grupo de segurança de aplicativo (opção 3) não se aplica ao IMDS, que é um serviço fundamental do Azure.