サブネットとネットワークセキュリティグループ（NSG）の関連付け方法を徹底解説

サブネットにNSGを関連付ける方法

Azureでネットワークセキュリティグループ（NSG）をサブネットに関連付けると、そのサブネットに流入・流出するパケットに対して、許可または拒否のルールが適用されます。サブネットに入ってくる通信は受信（インバウンド）ルールによってフィルタリングされ、同様のルールが送信（アウトバウンド）トラフィックにも適用されます。

仮想ネットワークのサブネットにNSGを関連付けられるか

仮想マシンには、仮想ネットワーク上の各サブネットおよび各ネットワークインターフェースに対して、0個または1個のネットワークセキュリティグループを設定できます。また、同じNSGは必要な数だけ複数のサブネットやネットワークインターフェースに割り当てることが可能です。

アプリケーションセキュリティグループとの関連付け手順

左側のメニューから「仮想マシン」を選択し、対象の仮想マシンをクリックします。次に「ネットワーク」を選択し、アプリケーションに使用するセキュリティグループを選びます。新しく作成したセキュリティグループをドロップダウンボックスから選択して保存すれば完了です。

ネットワークセキュリティグループの作成手順

Azureポータルのメニューまたはホームページから「リソースの作成」を選択します。「ネットワーキング」カテゴリから「ネットワークセキュリティグループ」を選びます。適切なサブスクリプションを選択し、既存のリソースグループがあればそれを選ぶか、「新規作成」をクリックして新しいリソースグループを作成します。

セキュリティグループをサブネットにアタッチする方法

ナビゲーションペインの「セキュリティグループ」セクションに移動し、対象のセキュリティグループを選択します。「アクション」から「受信ルールの編集」または「送信ルールの編集」を選択してルールを編集します。ルールを追加するには「ルールの追加」を選択し、タイプで許可したいプロトコルの種類を指定します。最後にルールを保存してウィンドウを閉じます。

Azure NSGの仕組み

Azureのネットワークセキュリティグループ（NSG）を使用すると、仮想マシンのインスタンスへのネットワークトラフィックを許可または拒否するルール（アクセス制御リスト：ACL）を作成できます。NSGは特定のサブネットや、そのサブネット内の個々の仮想マシンインスタンスに関連付けることができます。

Azureにおけるサブネットとは

仮想ネットワークにおけるサブネットとは、IPアドレスの範囲のことです。仮想ネットワークを整理された安全な状態に保つために、複数のサブネットに分割することができます。仮想ネットワークはNIC（ネットワークインターフェースカード）が接続される論理的な構造であり、Azureはプライベート仮想ネットワークのIPアドレス空間をアドレス範囲として扱います。

1つのサブネットに割り当てられるNSGの数

仮想マシンの各インターフェースまたは各サブネットには、1つのNSGのみ関連付けることができます。ただし、同じNSGは他のサブネットやネットワークインターフェースにも再利用できます。NSGに含められるルール数はデフォルトで200件までという制限がありますが、その他の制限はありません。

AZ-900試験：NSGと仮想ネットワークの関連付け

ネットワークセキュリティグループは、ネットワークインターフェースやサブネットに関連付けたり、解除したりできます。NSGのルールを使えば、ユーザーのインターネットアクセスをブロックすることも可能です。Subnet1への関連付けだけで設定は完了します。

仮想マシンにNSGを追加する方法

「ネットワーク」メニューから「ネットワークセキュリティグループ」を選択します。適切なサブスクリプションを選択し、既存のリソースグループがあればそれを選ぶか、「新規作成」をクリックします。なお、名前の文字列はリソースグループ内で一意である必要があります。

仮想ネットワークのサブネットとは

仮想ネットワークの中にはサブネットワークが存在します。サブネットとは仮想ネットワーク内のIPアドレス範囲であり、仮想ネットワークを整理され安全な状態に保つために、複数のサブネットに分割できます。仮想ネットワークはNICが接続される論理的なネットワーク構造です。

仮想ネットワークとサブネットの違い

VNET（仮想ネットワーク）のアドレス空間全体を「VNET」と呼びます。リソースはサブネットを通じてVNETに接続されます。サブネットを使用すると、アドレス空間を異なるネットワークにセグメント化できます。デフォルトでは、サブネット内の任意のIPアドレスは、VNET内の他の任意のIPアドレスと通信できます。

アプリケーションセキュリティグループとは

アプリケーションセキュリティグループを使用すると、アプリケーションの構造を自然な形で拡張したネットワークセキュリティの構成が可能になります。仮想マシンをグループ化し、IPアドレス情報を手動で管理することなく、大規模に再利用できるネットワークセキュリティポリシーを設定できます。

アプリケーションセキュリティグループとネットワークセキュリティグループの違い

ネットワークセキュリティグループ（NSG）は、ネットワークトラフィックの強制と制御を行うためのものです。NSGには「アプリケーションセキュリティグループ」と呼ばれるオブジェクトが含まれます。NSGはサブネットに適用されるとサブネットに出入りするトラフィックを制御し、ネットワークインターフェースレベルでも受信・送信トラフィックを制御できます。

ネットワークセキュリティグループの役割

ネットワークセキュリティグループは、複数の種類のAzureリソースに適用されるセキュリティルールのコレクションであり、受信および送信トラフィックのルールを強制します。各ルールには、送信元と送信先、ポート、プロトコルをそれぞれ指定できます。

NSGをサブネットに割り当てる際のポイント

NSGをサブネットに関連付けると、そのルールはサブネットに接続されているすべてのリソースに適用されます。さらに、仮想マシンの個々のネットワークインターフェース（NIC）にもNSGを関連付けることができ、VMやNICにNSGを割り当てることで、トラフィックをより細かく制限できます。