【初心者向け】Azureのネットワークセキュリティグループ（NSG）の作成方法と基本を徹底解説

Azureのネットワークセキュリティグループ（NSG）とは

ネットワークセキュリティグループ（Network Security Group：NSG）は、Azureのさまざまなリソースに適用できる一連のセキュリティルールの集まりです。仮想マシンやサブネットに対して、受信（インバウンド）および送信（アウトバウンド）トラフィックを許可または拒否するルールを定義できます。各ルールでは、送信元・送信先、ポート番号、プロトコルを個別に指定することが可能です。

NSGの仕組み

NSGは、仮想ネットワーク内のサブネットやネットワークインターフェース（NIC）に関連付けて使用します。1つのNSGは複数のサブネットやNICに適用できるため、複数の仮想マシン間のアクセス制御ルールを効率的に一元管理できます。これにより、「特定のVM間のみ通信を許可する」といったきめ細かなアクセス制御が実現します。

NSGとAzure Firewallの違い

NSGはOSI参照モデルのレイヤー3（IPアドレス）とレイヤー4（ポート）でトラフィックをフィルタリングするのに対し、Azure Firewallはレイヤー4からレイヤー7（アプリケーション層）まで対応した包括的なファイアウォールサービスです。つまり、NSGは主にネットワーク層での簡易なフィルタリングに、Azure Firewallはより高度で多機能なトラフィック制御に適しています。

AzureポータルでNSGを作成する手順

1. Azureポータルにサインインし、ホームページまたは左側メニューの「リソースの作成」を選択します。
2. カテゴリから「ネットワーキング」→「ネットワーク セキュリティ グループ」を選択します。
3. 適切なサブスクリプションを選択します。
4. 既存のリソースグループがあればそれを選択し、なければ「新規作成」をクリックして新しいリソースグループを作成します。
5. 名前やリージョンなどの必要情報を入力し、「確認および作成」→「作成」を実行します。

アプリケーションセキュリティグループ（ASG）の作成

アプリケーションセキュリティグループ（ASG）は、多数の子ブレードを開くことなく、タブ形式のデプロイ画面から簡単に作成できます。新しいリソースまたはリソースグループを作成し、ASGにわかりやすい名前を付けます。その際、対象となる仮想マシンと同じリージョンに作成する点に注意してください。

既存のNSGを確認する方法

Azureポータルにサインインしたら、上部の検索ボックス（すべてのサービス）に「ネットワーク セキュリティ グループ」と入力します。検索結果に表示された「ネットワーク セキュリティ グループ」をクリックすると、サブスクリプション内のNSGの一覧を確認できます。

Azure AD（Active Directory）でセキュリティグループを作成する

作成に必要な権限

Microsoft 365グループは、Azure AD組織のすべてのユーザーが、Azureポータル、API、PowerShell経由で作成し、メンバーを追加できます。一方、セキュリティグループの作成には通常、グローバル管理者などの適切な権限を持つアカウントが必要です。

作成手順

1. ディレクトリのグローバル管理者アカウントでAzureポータルにサインインします。
2. 検索ボックスで「Azure Active Directory」を検索して開きます。
3. Active Directoryページのメニューから「グループ」を選択すると、グループの一覧が表示されます。
4. 「新しいグループ」をクリックします。
5. 新しいグループウィンドウが表示されたら、グループの種類（セキュリティ）、名前、説明など必要な情報を入力して作成します。

ネットワークセキュリティの構成要素

ネットワークセキュリティとは、ネットワークとデータを不正アクセス、侵入、その他の脅威から守ることを指します。その範囲は非常に広く、以下のようなさまざまな施策が含まれます。

• アクセス制御
• ウイルス・アンチウイルスソフトウェア
• アプリケーションセキュリティ
• ネットワーク分析（アナリティクス）
• エンドポイント・Web・無線など各種ネットワークセキュリティ
• ファイアウォール
• VPNによる暗号化

安全なネットワークを構築するためのポイント

• ファイアウォールの導入：ネットワーク内外のトラフィックをフィルタリングするセキュリティポリシーの中核として実装します。
• 機密情報の保護：重要情報は安全な場所に保管し、DMZ（非武装地帯）を設けて外部公開サーバーを内部ネットワークから分離します。
• 認証方式の明確化：利用する認証スキームを決定し、データ暗号化の仕組みを設計します。
• ソーシャルエンジニアリング対策：なりすましや詐欺的な手法を容易にブロックできる体制を整えます。

日常的に実践したいセキュリティ対策

• ネットワーク名（SSID）やルーター名を変更し、推測されにくくする
• 強固なパスワードを設定する
• 常に最新の状態を保つ（ファームウェアやソフトウェアの更新）
• 暗号化を有効にする
• 複数のファイアウォールを活用する
• WPS（Wi-Fi Protected Setup）機能をオフにする
• VPNを使用して通信を保護する