【Azure】ネットワークセキュリティグループ（NSG）のルールとは？基本と制限を徹底解説

ネットワークセキュリティグループ（NSG）のルールとは？

Azureのネットワークセキュリティグループ（NSG）は、仮想ネットワーク上のリソースに対するトラフィックを制御する重要な機能です。本記事では、NSGの既定ルール、設定できるルール数の上限、作成方法、適用先など、よくある疑問をわかりやすく解説します。

すべてのNSGに適用される最終的なルールは？

すべてのネットワークセキュリティグループには、必ず適用される既定のルールが存在します。特に注意が必要なのは、サブスクリプション作成時点で、ポート25番を使用する送信SMTP通信がブロックされる場合がある点です。正当なビジネス上の理由がある場合は、この制限の解除を申請することが可能です。

Azureで1つのNSGに設定できるルール数は？

NSGには上限があります。ネットワークセキュリティグループは、VNet（仮想ネットワーク）上で動作するアプリケーションに対して、きめ細かなアクセス制御を提供します。各NSGには最大200個のルールを設定でき、1つのサブスクリプションには最大100個のNSGを作成できます。

NSGの作成方法は？

Azureポータルで「ネットワーク」カテゴリから「ネットワークセキュリティグループ」を選択し、新規作成を開始します。まず対象のサブスクリプションを選び、次にリソースグループを既存の一覧から選択するか、新しいリソースグループを作成します。リソースグループは一意の名前（テキスト文字列）で識別されます。

NSGにはいくつの既定ルールが作成される？

VMはネットワーク内の他のホストと通信できる必要がある一方で、外部からの攻撃からも保護されなければなりません。そのため、AzureはすべてのNSGに、内部接続を確保しつつVMを保護するための3つの既定ルールを自動的に用意しています。

セキュリティグループのルールの基本構成要素は？

セキュリティルールは主に以下の要素で構成されます。

• プロトコル：TCPやUDPなど、許可するネットワークプロトコル
• ポート範囲：トラフィックを許可する特定のポートまたはポート範囲
• 送信元：アクセスを許可するIPアドレス、IPアドレス範囲、または別のセキュリティグループ

NSGに作成できるルール数の上限は？

NSGには制限があり、既定では200個のルールまで設定できます。サポートリクエストを通じて、この上限を最大1000ルールまで引き上げることが可能です。この上限に達しない限り、複数のNSGを作成する必要はありません。

NSGはどこに適用できる？

NSGをサブネットに関連付けた場合、そのルールはサブネットに接続されているすべてのリソースに適用されます。NSGを個々のネットワークインターフェース（NIC）に関連付けた場合は、そのインターフェースのみに適用されます。さらに、VMやNICとの組み合わせで関連付けることで、トラフィックをより細かく制限することもできます。

AzureのNSG既定ルールの内容は？

仮想ネットワーク内（サブネットを含む）のすべてのホスト間の通信は、既定ルールによってブロックされることなく許可されます。また、Azure Load BalancerがVMと通信し、ヘルスチェック（ハートビート）を送信できるようにするルールも含まれています。

NSGをVNetに適用できる？

VNetとサブネットの設計を活かすことで、リソースをサブネット単位でグループ化し、サブネットにNSGを割り当てることにより、NSGの総数を最小限に抑えられます。NSG設計をサポートするために、新しいVNetやサブネットの作成が必要になる場合もあります。

Azureでセキュリティグループを作成できるのは誰？

Microsoft 365グループは、Azure AD組織内の任意のユーザーが作成できます。メンバーの追加は、Azureポータル、PowerShell、APIなどを通じて行えます。

NSGのセキュリティルールはどのように評価される？

ネットワークセキュリティグループのセキュリティルールでは、5つ組（送信元、送信元ポート、宛先、宛先ポート、プロトコル）に基づいてトラフィックの許可または拒否が判断されます。同じ優先度と方向を持つセキュリティルールは複数存在できません。また、既存の接続はフローレコードとして記録されます。

NSGを作成するコマンドは？

Azure CLIを使用すると、コマンドラインからリソースグループ内にNSGを作成し、タグを付けることができます。以下は基本的な作成コマンドの例です。

az network nsg create \
  --resource-group myResourceGroup \
  --name myNetworkSecurityGroup

さらに、HTTP（80番）やSSH（22番）などのポートを許可するルールを追加する場合は、az network nsg rule createコマンドを使用します。