Azureネットワークセキュリティグループ（NSG）とは？仕組みからASGとの違いまで徹底解説

ネットワークセキュリティグループ（NSG）とは

ネットワークセキュリティグループ（Network Security Group：NSG）は、Microsoft Azureが提供するネットワークトラフィック制御機能です。仮想マシンやサブネットなど、Azureリソースへの送受信トラフィックを許可または拒否するためのルール（アクセス制御リスト：ACL）を定義し、クラウド環境のセキュリティを強化します。

クラウドサービスにおけるNSGの役割

NSGを使用すると、同じセキュリティポリシーを一連のクラウドリソースにまとめて適用できます。たとえば、1つのクラスター内で複数のコンピューティングインスタンスが同一のタスクを実行している場合、必要なポート設定をすべてのインスタンスに一括してバインドできます。これにより、個別に設定する手間が省け、構成ミスのリスクも低減されます。

AzureのNSGの基本的な仕組み

NSGは、仮想マシンがアクセスできるトラフィックとできないトラフィックを決定するアクセス制御リスト（ACL）を作成するために使用されます。NSGはサブネットに関連付けることも、そのサブネット内の個別の仮想マシンインスタンスに関連付けることも可能です。

Azureの各種サービスは、それらとの間で行き来するネットワークトラフィックを監視・制御するNSGによって保護されています。さらに、NSGは仮想ネットワーク（VNet）内のサブネットにも適用できるため、複数の仮想マシンにまたがるアクセス制御を、標準化されたインターフェースを通じて効率的に更新できます。

NSG内のセキュリティルールは、さまざまな種類のAzureリソースに対して、どのようなトラフィックの進入・退出を許可するかを定義します。各ルールでは、送信元と送信先、ポート番号、プロトコルを細かく指定することができます。

アプリケーションセキュリティグループ（ASG）とは

アプリケーションセキュリティグループ（Application Security Group：ASG）は、Azureに備わっている機能の一つで、NSG内のルール管理を支援します。ASGを使うと、アプリケーションの構造を自然な形で拡張するようにネットワークセキュリティを構成でき、仮想マシンをグループ化して、そのグループ単位でネットワークセキュリティポリシーを適用できます。

従来のようにIPアドレスベースで細かくルールを定義する方式では、VMの追加や移動のたびにIPアドレスの変更作業が必要でした。ASGを利用すれば、こうした煩雑なIPアドレスの修正作業を排除でき、運用負荷を大幅に軽減できます。

NSGとASGの違い

Azureネットワークセキュリティグループ（NSG）とアプリケーションセキュリティグループ（ASG）は、VNet内のネットワークトラフィックを制御・管理するための主要なAzureリソースですが、両者の役割は大きく異なります。

• NSG：ネットワークトラフィックを強制的に制御するためのAzureリソースであり、実際にトラフィックの許可・拒否を行います。
• ASG：NSGの中で使用されるオブジェクトであり、仮想マシンを論理的にグループ化して、セキュリティルールの適用対象を整理するために使われます。

つまり、ASGはNSGのルールをより直感的かつ柔軟に管理するための仕組みと考えるとよいでしょう。

NSGとAzure Firewallの違い

NSGと混同されやすいのが「Azure Firewall」です。両者は以下のような違いがあります。

• 対応レイヤー：Azure FirewallはOSI参照モデルのレイヤー4およびレイヤー7に対応し、NSGはレイヤー3およびレイヤー4に対応しています。
• 機能の範囲：NSGはネットワーク層でトラフィックをフィルタリングする、いわば基本的なファイアウォールです。一方、Azure Firewallは豊富な機能を備えた包括的で堅牢なマネージドサービスです。
• トラフィック分析：Azure FirewallはL3・L4・L7の各レベルでトラフィックの分析とフィルタリングを実行できる点が大きな強みです。

NSGの作成と適用方法

Azure portalでの作成手順

Azure portalからNSGを作成するには、まず「リソースの作成」をクリックし、「ネットワーキング」カテゴリから「ネットワークセキュリティグループ」を選択します。次に、既存のリソースグループ一覧から選択するか、新しいリソースグループを作成します。リソースグループはテキスト文字列を入力して一意に識別します。

サブネットへの関連付け

作成したNSGは、Azure portalを使ってサブネットに関連付けることができます。NSGをサブネットに関連付けると、そのルールは接続されているすべてのリソースに自動的に適用されます。

NSGルールの処理順序

送信トラフィックの場合、Azureはまずネットワークインターフェイスに関連付けられたNSGのルール（存在する場合）を処理し、その後、サブネットに関連付けられたNSGのルール（存在する場合）を処理します。この優先順位を理解しておくことで、意図した通りのトラフィック制御を実現できます。

まとめ

ネットワークセキュリティグループ（NSG）は、Azure VNet内のリソースに対する受信・送信トラフィックを制御するための基本的かつ重要なセキュリティ機能です。NSGとASGを組み合わせることで、アプリケーションの構成に沿った柔軟で管理しやすいセキュリティ設計が可能になります。まずは小規模な環境でNSGの作成とサブネットへの関連付けを試し、その挙動を理解することをおすすめします。