CMPで外部サービスをブロックするためには、CSP機能が先に実行される必要があります。
そのため、一番推奨する設置箇所は、タグの中の一番先頭です。

よくこのお声をいただきます。タグ管理をGoogle タグマネージャーでやっているので同じ扱いにしたいというのは理解できます。Google タグマネージャーからCSP管理タグを発火しても動作はします。
しかしながら、Googleタグマネージャーよりも先に発火したものは確実にブロックできませんし、Googleタグマネージャーで管理しているタグにも発火優先順位を付けないとCSP管理の導入効果は低くなってしまいます。
そのため、一番推奨する設置箇所は、タグの中の一番先頭です。

Google タグマネージャーを利用する場合、 タグ発火優先度が最も高い「同意の初期化」トリガー をご利用ください。