L'abbonamento include una VM denominata VM1 con una singola NIC (NIC1) associata a un NSG denominato NSG1 (con regole predefinite). VM1 esegue Windows Server 2022. È necessario bloccare l'accesso da VM1 all'API REST di Azure Instance Metadata Service (IMDS) riducendo al minimo l'overhead amministrativo. Cosa si dovrebbe aggiungere a NSG1?

La risposta corretta è "una regola in uscita che blocca il traffico verso un service tag". Per bloccare l'accesso a IMDS, è necessario creare una regola di sicurezza in uscita (outbound) nell'NSG associato alla NIC di VM1. IMDS utilizza l'indirizzo IP non instradabile 169.254.169.254. Azure fornisce un service tag specifico, "InstanceMetadata", che rappresenta questo intervallo di indirizzi IP, semplificando la gestione. Bloccare il traffico verso questo service tag in uscita impedisce a VM1 di accedere a IMDS. Le opzioni che propongono regole in entrata sono errate perché IMDS è un servizio a cui la VM si connette (traffico in uscita dalla VM), non un servizio che si connette alla VM. Bloccare un indirizzo IP specifico è possibile ma meno flessibile rispetto all'uso di un service tag, che si aggiorna automaticamente. I gruppi di sicurezza delle applicazioni non sono direttamente applicabili per bloccare l'accesso a IMDS.