Votre abonnement contient une machine virtuelle nommée VM1 qui possède une seule carte réseau (NIC1) associée à un groupe de sécurité réseau (NSG) nommé NSG1 (règles par défaut présentes). VM1 exécute Windows Server 2022. Vous devez bloquer l'accès de VM1 à l'API REST du service de métadonnées d'instance Azure (IMDS) tout en minimisant la charge administrative. Que devez-vous ajouter à NSG1 ?

La bonne réponse est une règle de trafic sortant qui bloque le trafic vers une balise de service. Pour bloquer l'accès à l'IMDS, vous devez créer une règle de sécurité de groupe de sécurité réseau (NSG) sortante (outbound) qui refuse le trafic vers l'adresse IP 169.254.169.254. Azure fournit une balise de service nommée "InstanceMetadata" qui représente cette adresse IP. L'utilisation de cette balise de service simplifie l'administration car vous n'avez pas besoin de gérer des adresses IP spécifiques. Une règle de trafic sortant qui bloque le trafic vers une adresse IP fonctionnerait, mais l'utilisation de la balise de service est la méthode préférée et plus administrable. Les règles de trafic entrant ne sont pas pertinentes car l'IMDS est un point de terminaison interne auquel la VM accède en sortie. Bloquer le trafic vers un groupe de sécurité d'application n'est pas applicable ici, car l'IMDS n'est pas géré via des groupes de sécurité d'application.