Azureネットワークセキュリティグループ（NSG）とは？仕組み・作成方法・Azure Firewallとの違いを徹底解説

Azureネットワークセキュリティグループ（NSG）とは？

Azureネットワークセキュリティグループ（Network Security Group：NSG）は、Azure仮想ネットワーク内のリソースとの間で送受信されるトラフィックをフィルタリングするための機能です。

NSGは複数のセキュリティルールで構成されており、各ルールで送信元・送信先のIPアドレス、ポート番号、プロトコルを個別に指定できます。これらのルールは仮想マシンなど、さまざまな種類のAzureリソースに適用され、受信（インバウンド）・送信（アウトバウンド）トラフィックの許可または拒否を制御します。

さらに、NSGは仮想ネットワーク内のサブネットに紐づけて適用できるため、複数の仮想マシン間のアクセス制御ルールを一元的かつ効率的に管理できる点が大きなメリットです。

Azure NSGの仕組みと適用範囲

NSGはどのように動作する？

AzureのNSGを利用すると、仮想マシンへのネットワークトラフィックを許可または拒否するためのルール（アクセス制御リスト：ACL）を作成できます。NSGは特定のサブネット全体、あるいはそのサブネット内の個別の仮想マシンインスタンスに関連付けることが可能です。

NSGはどこに適用できる？

NSGをサブネットに関連付けると、設定したルールはそのサブネットに接続されたすべてのリソースに自動的に適用されます。また、仮想マシンの個別のネットワークインターフェイス（NIC）にNSGを関連付けることもできます。サブネットとNICの両方にNSGを割り当てれば、より細かな粒度でトラフィックを制限できます。

クラウドサービスにおけるNSGの役割

NSGは仮想ファイアウォールとして機能し、複数のクラウドリソースをまとめて保護しながら、リソース全体で一貫したセキュリティ体制を維持します。たとえば、同じタスクを実行するコンピューティングインスタンスのグループには、同一のポート設定を適用するといった使い方が効果的です。

Azure NSGの確認・作成方法

既存のNSGを確認するには？

Azureポータルにアカウントでサインインします。上部の「すべてのサービス」検索ボックスに「ネットワークセキュリティグループ」と入力し、検索結果に表示された「ネットワークセキュリティグループ」をクリックすると、一覧を確認できます。

NSGを作成するには？

Azureポータルのホーム画面から、またはメニューの「リソースの作成」からNSGを作成できます。基本的な手順は以下の通りです。

1. 「リソースの作成」をクリックし、「ネットワーキング」カテゴリを選択します。
2. 「ネットワークセキュリティグループ」を選びます。
3. 適用するサブスクリプションを選択します。
4. 既存のリソースグループを選択するか、「新規作成」から新しいリソースグループを作成します。
5. 必要事項を入力して作成を完了させ、対象のサブネットまたはNICに関連付けます。

Azure FirewallとNSGの違い

両者の根本的な違いは？

Azure Firewallは、NSGにはない追加のセキュリティ機能を提供するマネージドファイアウォールサービスです。NSGはネットワーク層のフィルタリングにより、サブスクリプション内の仮想ネットワーク間のトラフィックを制御します。

具体的には、Azure FirewallがOSI参照モデルのL4（トランスポート層）およびL7（アプリケーション層）まで対応しているのに対し、NSGはL3（ネットワーク層）とL4が中心です。Azure Firewallはトラフィック制御のための豊富な機能を備えた包括的なサービスである一方、NSGは主にネットワーク層でのシンプルなトラフィックフィルタリングに特化しています。Azure Firewallであれば、L3・L4・L7のすべてのトラフィックを分析・フィルタリングできます。

NSGはファイアウォールの一種？

NSGも広義にはファイアウォールですが、きわめて基本的なものです。ソフトウェア定義によるネットワーク層のフィルタリングを行う軽量なソリューションと捉えるとよいでしょう。一方、フルマネージドのファイアウォールサービスであるAzure Firewallははるかに強力で、L3〜L4のパケットに加え、L7のアプリケーションデータまでフィルタリング・分析できます。

ファイアウォールとセキュリティグループの一般的な違い

ファイアウォールと同様に、セキュリティグループもネットワークベースの通信遮断の仕組みを提供します。ただし、セキュリティグループのほうが管理は容易です。一般的なファイアウォールルールは、特定ポートのトラフィックを許可・拒否したり、特定サーバーからの通信のみを受け入れたりするよう設計されています。

Azure Firewallの必要性と活用シーン

Azure Firewallは本当に必要？

実運用では、脅威インテリジェンスに基づいて仮想ネットワーク（VNet）への侵入トラフィックをブロックしたい場合などに、Azure Firewallがフィルターとして活用されています。サブネット内部のトラフィック保護はNSGが担うのが一般的です。

Azure Firewallは、ネットワークセキュリティを管理するクラウドベースのサービスとして、仮想ネットワークのリソースを保護します。完全なステートフルファイアウォール as a Service として、高可用性とクラウドならではの無制限のスケーラビリティを提供します。

評価とパフォーマンス

Azure Firewallはデプロイの容易さに加えて、操作性・管理性に優れ、高可用性を実現しています。ネットワークセキュリティの観点でも非常に評価の高いサービスです。

NSGではなくAzure Firewallを使うべきケース

Azure Firewallは、OSIモデルのレイヤー3・4・7でトラフィックをフィルタリングおよび分析できるフルマネージドサービスです。ロードバランサーを別途用意する必要がなく、99%のSLA（稼働率保証）が提供されています。実際に複数ゾーン構成において99%の可用性を達成できることが確認されています。

Azure Firewallの停止・再開はできる？

Azure Firewallの割り当て（デプロイ）と割り当て解除は、Azure PowerShellが提供するコマンドレットを使って制御できます。コスト最適化などの目的で、必要なときだけファイアウォールを稼働させる運用も可能です。

クラウド環境におけるファイアウォールの必要性

クラウドといえどもセキュリティリスクはゼロではないため、ファイアウォールはクラウド利用において重要な要素です。クラウドプロバイダーが標準提供するセキュリティ機能だけでは、多くの企業の要件を満たせないケースも少なくありません。特に、インターネットへの常時接続環境を持つシステムでは、ファイアウォールによるクラウドセキュリティ対策が必須といえます。NSGとAzure Firewallの特性を理解し、目的に応じて使い分けることで、堅牢なクラウド環境を構築しましょう。