Subnet1 という名前のサブネットには、VM と、デフォルトルールのみを持つ NSG (NSG1) があります。Subnet1 のホストが Azure portal に接続できないようにしつつ、他のインターネットホストへの接続は許可する NSG ルールを追加する必要があります。このルールの Destination は何に設定すべきですか？

Azure portalへの接続をブロックしつつ、他のインターネットへの接続を許可するには、特定のサービスエンドポイントをターゲットにする必要があります。Azure portalはMicrosoftが管理するサービスであるため、そのトラフィックはサービスタグによって識別できます。Service TagをDestinationとして選択し、「AzurePortal」タグを指定することで、Azure portalへのアクセスのみをブロックできます。IP Addressesでは、Azure portalのIP範囲が頻繁に変わるため、管理が困難で不完全なブロックになる可能性があります。Application security groupは、VMのグループ化に使用され、このシナリオには適していません。Anyは、すべてのインターネットトラフィックをブロックしてしまうため、他のインターネットホストへの接続が許可されなくなります。