Uw abonnement bevat een VM met de naam VM1 die één NIC (NIC1) heeft die is gekoppeld aan een NSG met de naam NSG1 (standaardregels aanwezig). VM1 draait op Windows Server 2022. U moet de toegang van VM1 tot de Azure Instance Metadata Service (IMDS) REST API blokkeren, terwijl de administratieve overhead wordt geminimaliseerd. Wat moet u toevoegen aan NSG1?

De Azure Instance Metadata Service (IMDS) is toegankelijk via een bekende, niet-routeerbare IP-adres (169.254.169.254). Om de toegang tot IMDS te blokkeren, moet u een uitgaande beveiligingsregel toevoegen aan NSG1. Deze regel moet verkeer blokkeren naar de servicetag AzureInstanceMetadata. Het gebruik van een servicetag is de aanbevolen methode, omdat het de administratieve overhead minimaliseert; u hoeft geen specifiek IP-adres te onthouden of te beheren. Het blokkeren van verkeer naar een specifiek IP-adres is minder efficiënt en kan in de toekomst problemen veroorzaken als het IP-adres van IMDS zou veranderen (hoewel dit onwaarschijnlijk is). Inkomende regels zijn niet relevant, omdat IMDS een uitgaande oproep is van de VM. Een Application Security Group (ASG) wordt gebruikt om netwerkbeveiliging te groeperen voor een verzameling VM's of NIC's, niet voor het blokkeren van toegang tot een interne Azure-service zoals IMDS.