お使いのサブスクリプションには、NSG1という名前のNSG（デフォルトルールが存在）に関連付けられた単一のNIC（NIC1）を持つVM1という名前のVMが含まれています。VM1はWindows Server 2022を実行しています。管理オーバーヘッドを最小限に抑えながら、VM1からAzure Instance Metadata Service (IMDS) REST APIへのアクセスをブロックする必要があります。NSG1に何を追加すべきですか？

IMDSへのアクセスをブロックするには、NSG1に送信セキュリティルールを追加し、宛先サービスタグとして「AzureInstanceMetadata」を指定し、アクションを「拒否」に設定します。IMDSは特定のIPアドレスではなく、サービスエンドポイントとして提供されるため、サービスタグを使用するのが最も効率的です。特定のIPアドレスへのトラフィックをブロックするルールは、IMDSのIPアドレスが変更される可能性があるため、管理オーバーヘッドが増加し、将来的に機能しなくなる可能性があります。受信ルールは、VM1へのインバウンドトラフィックを制御するため、VM1からのアウトバウンドIMDSアクセスには影響しません。アプリケーションセキュリティグループは、VMのグループ化には役立ちますが、IMDSへのアクセスをブロックする直接的なメカニズムではありません。