你的订阅包含一个名为VM1的虚拟机，该虚拟机有一个关联到名为NSG1的NSG（存在默认规则）的单个NIC（NIC1）。VM1运行Windows Server 2022。你需要阻止VM1访问Azure Instance Metadata Service (IMDS) REST API，同时最大限度地减少管理开销。你应该向NSG1添加什么？

阻止流向某个服务标签的出站规则是最佳方案。Azure Instance Metadata Service (IMDS) 使用一个众所周知的不可路由IP地址169.254.169.254。Azure提供了一个名为“InstanceMetadata”的服务标签，它代表了IMDS服务的IP地址范围。通过在NSG1中添加一条出站规则，拒绝所有流向“InstanceMetadata”服务标签的流量，可以有效阻止VM1访问IMDS，同时避免硬编码IP地址，从而简化管理。 阻止流向某个IP地址的出站规则虽然也能实现目的，但需要手动指定IMDS的IP地址，如果IMDS的IP地址未来发生变化，则需要更新规则，管理开销相对较高。阻止流向某个IP地址的入站规则和阻止流向某个应用安全组的入站和出站规则不适用于此场景，因为IMDS是VM1主动访问的服务，需要控制的是出站流量，且IMDS服务不与应用安全组直接关联。