您的訂閱包含一個名為 VM1 的 VM，該 VM 具有一個與名為 NSG1 的 NSG 關聯的單一 NIC (NIC1) (預設規則已存在)。VM1 執行的是 Windows Server 2022。您需要阻止 VM1 存取 Azure Instance Metadata Service (IMDS) REST API，同時將管理負擔降到最低。您應該將什麼新增到 NSG1？

正確答案是「一個阻擋流向服務標籤的流量的出站規則」。Azure Instance Metadata Service (IMDS) 是一個特殊的服務，其 IP 位址為 169.254.169.254。Azure 服務標籤 (Service Tag) 允許您在網路安全群組 (NSG) 中指定一組 IP 位址前綴，而無需手動維護這些前綴。IMDS 服務有一個專用的服務標籤，稱為 AzureInstanceMetadata。因此，建立一個出站規則來拒絕流向 AzureInstanceMetadata 服務標籤的流量，可以有效地阻止 VM1 存取 IMDS REST API，同時將管理負擔降到最低，因為 Azure 會自動管理此服務標籤下的 IP 位址。 「一個阻擋流向某個 IP 位址的出站規則」雖然可行，但需要手動指定 169.254.169.254，不如使用服務標籤來得簡便和自動化。 「一個阻擋流向某個 IP 位址的入站規則」是錯誤的，因為 IMDS 是 VM 主動發起的出站請求。 「一個阻擋流向應用程式安全群組的流量的入站和出站規則」不適用，因為 IMDS 不是應用程式安全群組的目標。