NSGで作成できるネットワークセキュリティグループのルール最大数とは?Azure NSGの制限と基本を解説

NSGで作成できるセキュリティルールの最大数

Azureのネットワークセキュリティグループ(NSG)には作成できるルール数の上限があります。デフォルトでは1つのNSGあたり200個のセキュリティルールが許可されており、この上限はAzureサポートへのリクエストによって最大1,000個まで引き上げることが可能です。ただし、通常の運用でこの上限に達することはまれであり、複数のNSGを組み合わせる必要が出るケースはほとんどありません。

Azureにおけるネットワークセキュリティグループ(NSG)とは

ネットワークセキュリティグループ内のセキュリティルールは、さまざまな種類のAzureリソースに対して、どのようなトラフィックの流入・流出を許可するかを定義します。各ルールでは、送信元・送信先、ポート番号、プロトコルなどを細かく指定することができます。

Azureでネットワークセキュリティグループを作成する方法

Azureポータルのメニューまたはホームページから「リソースの作成」を選択し、「ネットワーキング」カテゴリにある「ネットワークセキュリティグループ」をクリックします。サブスクリプションを選択した後、既存のリソースグループから選ぶか、新規にリソースグループを作成して、必要な情報を入力すれば作成完了です。

1つのサブネットに紐付けられるNSGの数

NSGは仮想マシンの各サブネットやネットワークインターフェース(NIC)に紐付けることができます。また、同じNSGを他の仮想マシンのサブネットやNICにも関連付けることが可能です。なお、1つのNSGに含められるセキュリティルールはデフォルトで200個で、サポートリクエストにより上限を引き上げられます。

NSGの既定のセキュリティルール

NSGのセキュリティルールでは、5つ組(送信元、送信元ポート、送信先、送信先ポート、プロトコル)に基づいてトラフィックの許可・拒否が判断されます。優先度と方向が完全に同一のルールを複数作成することはできません。また、確立済みの接続はフローレコードとして記録され、接続が継続している間はルールの変更が即座に適用されない場合があります。

NSGを適用できる場所

NSGがサブネットに関連付けられている場合、そのルールはサブネットに接続されたすべてのリソースに適用されます。NSGが個別のネットワークインターフェース(NIC)に関連付けられている場合は、そのインターフェースのみに適用されます。さらに、VMとNICの両方にNSGを関連付けることで、トラフィックをより細かく制限することもできます。

Azure NSGはファイアウォールなのか

Azure FirewallはOSI参照モデルのレイヤー4およびレイヤー7に対応している一方、NSGはレイヤー3およびレイヤー4で動作します。多機能で堅牢な包括的なサービスであるAzure Firewallに対し、NSGはネットワーク層でトラフィックをフィルタリングする、いわば基本的なファイアウォールのような存在です。

Azure ADでセキュリティグループを作成できるユーザー

Azure AD組織内のユーザーは、Azureポータル、PowerShell、APIなどを使用してMicrosoft 365グループを作成し、メンバーを追加することができます。組織のポリシーによっては、作成権限が管理者や特定のユーザーに制限される場合もあります。

Azure Active Directoryでセキュリティグループを作成する方法

Azureポータルにディレクトリのグローバル管理者アカウントでログインし、「Azure Active Directory」を検索して開きます。Active Directoryページの「グループ」メニューから新しいグループを選択し、「新しいグループ」ペインに必要な情報を入力して作成します。

Azureにおけるセキュリティグループの役割

Azureネットワークセキュリティグループは、Azure仮想ネットワークとの間で行き来するネットワークトラフィックをフィルタリングするために使用されます。アクセス制御リスト(ACL)を作成し、仮想マシンがアクセスできるトラフィックとできないトラフィックを決定します。NSGはサブネット単位、またはその中の仮想マシンインスタンス単位で関連付けることができます。

NSGルールの優先度の仕組み

NSGのセキュリティルールには100〜4,096の範囲で優先度を設定します。各ルールは優先度の順に評価され、一致が見つかった時点でそれ以降のルールはチェックされません。これにより、より具体的なルールを低い優先度番号(高い優先順位)で設定することが推奨されます。

仮想ネットワークのサブネットにNSGを関連付けられるか

仮想ネットワーク(VNet)の作成時には、各サブネットに0個または1個のNSGを割り当てることができます。ニーズに応じて、同じNSGを複数のサブネットに関連付けても、サブネットごとに異なるNSGを関連付けても問題ありません。各NSGのルールによって、特定の送信元と送信先の組み合わせに対するアクセス可否が制御されます。

Azureでサブネットが必要な理由

サブネットは従来の物理ネットワークと同様に機能し、内部ネットワークの要件に応じてVNetのアドレス空間を分割することができます。これによりIPアドレスの割り当てが効率化されるとともに、ネットワークセキュリティグループ機能を活用してサブネット内のリソースを保護することが可能になります。