Azureでネットワークセキュリティグループ(NSG)を有効にする方法|作成手順からASGとの違いまで徹底解説

Azureネットワークセキュリティグループ(NSG)とは?

ネットワークセキュリティグループ(Network Security Group:NSG)は、Azure仮想ネットワーク内のリソースに対して流入・流出するネットワークトラフィックをフィルタリングするための機能です。

NSGには複数のセキュリティルールが含まれており、これらのルールによって、さまざまな種類のAzureリソースに対してどのトラフィックの送受信を許可するか(または拒否するか)が定義されます。内部的にはアクセス制御リスト(ACL)として動作し、仮想マシン(VM)が通信できる相手やポートを細かく制御できます。

1つのNSGは、サブネットまたはネットワークインターフェイス(NIC)のいずれかに関連付けることができます。

• サブネットに関連付けた場合:そのサブネットに接続されているすべてのリソースにルールが適用されます。
• NICに関連付けた場合:そのネットワークインターフェイス単位でルールが適用されます。

さらに、VMとNICの両方にNSGを関連付けることで、トラフィックを多層的に制限することも可能です。

AzureポータルでNSGを作成する手順

NSGの作成は、Azureポータルから簡単に行えます。以下の手順に従ってください。

1. Azureポータルにサインインします。
2. 左側のメニューから[リソースの作成]をクリックします。
3. カテゴリから[ネットワーキング]を選択し、[ネットワークセキュリティグループ]をクリックします。
4. 必要な情報(名前、リージョン、リソースグループなど)を入力して作成します。
5. 作成したNSGを対象のサブネットまたはNICに関連付けます。

既存のNSGを探す(確認する)方法

すでに作成済みのNSGを確認したい場合は、次の手順で検索できます。

1. Azureポータルにサインインします。
2. 上部の検索ボックスまたは[すべてのサービス]を選択します。
3. 「ネットワークセキュリティグループ」と入力し、検索結果から該当サービスを選択します。

これにより、サブスクリプション内のすべてのNSGの一覧が表示され、設定内容を確認できます。

アプリケーションセキュリティグループ(ASG)とは?

アプリケーションセキュリティグループ(Application Security Group:ASG)は、仮想マシンをアプリケーションの構造に沿ってグループ化し、そのグループ単位でネットワークセキュリティポリシーを適用できる機能です。

従来のようにIPアドレスを個別に指定してセキュリティルールを管理する必要がないため、VMの追加や移動に伴うIPアドレスの変更作業を大幅に削減できます。セキュリティ設定をアプリケーションの構造の自然な延長として扱える点が大きなメリットです。

ASGの作成・設定手順

既存のVMにASGを適用する場合は、以下の手順で行います。

1. Azureポータルで[仮想マシン]メニューを開き、対象のVMを一覧から選択します。
2. VMの[ネットワーク]設定を開きます。
3. アプリケーションセキュリティグループを選択し、事前に作成しておいたASGを指定して保存します。

新規にASGを作成する場合は、作成済みまたは新規のリソースグループに追加する形で、新しいASGに名前を付けます。このとき、対象の仮想マシンと同じリージョンに配置してください。あとは画面の指示に従って各タブを進めれば設定完了です。必要に応じて、タグなどの追加リソースも登録できます。

NSGとASGの違いは?

NSGとASGは、いずれもVNet内のネットワークトラフィックを制御・管理するための主要なAzureリソースですが、役割は大きく異なります。

• NSG(ネットワークセキュリティグループ):ネットワークトラフィックを強制・制御するためのAzureリソースそのものです。セキュリティルールの集合体として機能します。
• ASG(アプリケーションセキュリティグループ):NSGのセキュリティルール内で参照されるオブジェクトであり、VMを論理的にグループ化するための仕組みです。

つまり、ASGは「VMのグループ定義」、NSGは「実際にトラフィックを制御するルールセット」と考えると理解しやすいでしょう。NSGのルールで送信元・宛先としてASGを指定することで、IPアドレスを意識せずにポリシーを管理できます。

NSGに設定できるルール数の上限

NSGにはいくつかの制限があります。NSGはVNet上で動作するアプリケーションに対してきめ細かなアクセス制御を提供することを目的としていますが、その一方で以下のような上限が設けられています。

• 1つのNSGあたり最大200個のセキュリティルール
• 1つのサブスクリプションあたり最大100個のNSG

※これらの制限値はAzureのアップデートにより変更される場合があります。最新の情報はMicrosoftの公式ドキュメントをご確認ください。

NSGはファイアウォールなのか?

NSGは「簡易的なファイアウォール」のようなものですが、Azure Firewallとは明確な違いがあります。

• Azure Firewall:OSI参照モデルのレイヤー4およびレイヤー7で動作する、多機能かつ堅牢なマネージドファイアウォールサービスです。
• NSG:OSI参照モデルのレイヤー3およびレイヤー4(IPアドレスとポート)でトラフィックをフィルタリングする、よりシンプルな機能です。

高度な脅威保護やアプリケーションレベルの制御が必要な場合はAzure Firewallを、基本的な通信制御であればNSGというように、要件に応じて使い分けることが推奨されます。

まとめ

Azureのネットワークセキュリティグループ(NSG)は、サブネットやNICに関連付けてネットワークトラフィックを制御する、基本かつ重要な機能です。また、アプリケーションセキュリティグループ(ASG)と組み合わせることで、IPアドレスに依存しない柔軟で管理しやすいセキュリティ設計が実現できます。まずはAzureポータルからNSGを作成し、サブネットに関連付けるところから始めてみましょう。