Una subnet denominata Subnet1 contiene VM e un NSG (NSG1) con solo le regole predefinite. È necessario aggiungere una regola NSG che impedisca agli host di Subnet1 di connettersi al portale di Azure, consentendo comunque le connessioni ad altri host internet. Su cosa dovrebbe essere impostata la destinazione della regola?

La destinazione della regola dovrebbe essere impostata su un Service Tag. I Service Tag rappresentano un gruppo di prefissi di indirizzi IP da un servizio Azure specifico, come il portale di Azure (AzurePortal). Utilizzando il Service Tag "AzurePortal" come destinazione, è possibile bloccare il traffico verso il portale di Azure senza dover specificare singoli indirizzi IP, che possono cambiare. Le "IP Addresses" richiederebbero la conoscenza e l'aggiornamento manuale degli indirizzi IP del portale di Azure, rendendola una soluzione impraticabile e non scalabile. "Application security group" (ASG) sono usati per raggruppare VM e applicare regole di sicurezza a tali gruppi, non per specificare servizi Azure esterni. "Any" bloccherebbe tutto il traffico in uscita verso internet, non solo quello diretto al portale di Azure, il che non soddisfa il requisito di consentire le connessioni ad altri host internet.