【徹底解説】Azureネットワークセキュリティグループ（NSG）の設定・変更方法とASGとの違い

Azureの運用において、ネットワークトラフィックの制御はセキュリティ対策の中核となる重要な要素です。本記事では、ネットワークセキュリティグループ（NSG）とアプリケーションセキュリティグループ（ASG）の基本概念から、実際の設定手順、両者の違い、Azure Firewallとの比較まで、よくある疑問に沿ってわかりやすく解説します。

Azureでアプリケーションセキュリティグループを構成するには？

Azureポータルで「仮想マシン」を選択するとメニューが表示されます。一覧から対象の仮想マシンを選び、「ネットワーク」をクリックしてください。ここでアプリケーションセキュリティグループを選択できます。事前に作成しておいたセキュリティグループを選択し、「保存」をクリックすれば設定は完了です。

Azureのネットワークセキュリティグループ（NSG）とは？

NSGは、Azureサービスに対する送受信ネットワークトラフィックを監視・制御するためのリソースです。仮想ネットワーク（VNet）内のサブネットにも適用可能であるため、複数の仮想マシンにまたがるアクセス制御を一元的かつ標準的なインターフェースで管理・更新できます。

AzureでNSGを適用（関連付け）するには？

NSGの作成とサブネットへの関連付けは、Azureポータルから簡単に行えます。手順は以下のとおりです。

1. ポータルで「リソースの作成」をクリックします。
2. カテゴリから「ネットワーク」を選択します。
3. 「ネットワークセキュリティグループ」を選択して作成します。

自分のAzureネットワークセキュリティグループを見つけるには？

既存のNSGを確認したい場合は、以下の手順で検索できます。

1. Azureポータルにサインインします。
2. 「すべてのサービス」を選択します。
3. 検索ボックスに「ネットワークセキュリティグループ」と入力し、検索結果から該当項目を選択します。

Azureのアプリケーションセキュリティグループ（ASG）とは？

ASGを利用すると、アプリケーションの構造を自然に拡張する形でネットワークセキュリティを設計できます。仮想マシンを論理的にグループ化し、そのグループ単位でセキュリティポリシーを適用できるのが大きな特徴です。

従来のようにIPアドレスベースで細かくルールを管理する必要がなくなり、IPアドレス変更に伴う手動メンテナンス作業を大幅に削減できます。

アプリケーションセキュリティグループを作成・設定するには？

ASGの作成手順は次のとおりです。

1. 新規リソースを、作成済みまたは選択したリソースグループに追加します。
2. 新しいASGに任意の名前を付けます。
3. 仮想マシンと同じリージョンを指定します。
4. 「次へ」で各タブを進み、必要に応じてタグなどの追加設定を行います。

Azureネットワークセキュリティグループの役割とは？

AzureのNSGを使用すると、Azure仮想ネットワークへの流入・流出トラフィックをフィルタリングできます。NSG内に定義されたセキュリティ規則により、各種Azureリソース宛ての通信を許可するか拒否するかが決定されます。

AzureにおけるNSGとASGの違いは？

NSG（ネットワークセキュリティグループ）とASG（アプリケーションセキュリティグループ）は役割がまったく異なります。

• NSG： ネットワークトラフィックを強制的に制御するための独立したAzureリソース。
• ASG： NSGのセキュリティ規則内で使用されるオブジェクトであり、仮想マシンを論理的にグルーピングするために利用されます。

つまり、ASGはNSGのルール定義をより直感的・効率的にするための仕組みと捉えるとよいでしょう。

AzureのNSGはファイアウォールなのか？

厳密には、NSGは「基本的なパケットフィルタリング機能を持つファイアウォール」と位置づけられます。Azure Firewallとの主な違いは以下のとおりです。

• Azure Firewall： OSI参照モデルのL4（トランスポート層）およびL7（アプリケーション層）に対応した包括的かつ高機能なサービス。
• NSG： L3（ネットワーク層）およびL4でトラフィックをフィルタリングする、シンプルなファイアウォール的な機能。

Azure Firewallを活用すれば、L3・L4・L7のすべてのレイヤーでトラフィックの分析とフィルタリングを実行できます。

Azureポータルでネットワークセキュリティグループを作成するには？

NSGを新規作成する際の基本的な流れは以下のとおりです。

1. Azureポータルのホームページまたは左側メニューから「リソースの作成」を選択します。
2. 「ネットワーキング」カテゴリから「ネットワークセキュリティグループ」をクリックします。
3. 適用するサブスクリプションを選択します。
4. 既存のリソースグループから選択するか、新しいリソースグループを作成します。

NSGをVNet（仮想ネットワーク）に適用できる？

はい、適用できます。Azure仮想ネットワーク（VNet）に紐づけられたNSGには、どのトラフィックを許可し、どのトラフィックを拒否するかを決定する一連のセキュリティポリシーが含まれます。

NSGは、サブネットに対して関連付けることも、仮想マシンごとに割り当てられたネットワークインターフェイス（NIC）に関連付けることも可能です。この柔軟性により、環境の規模や要件に合わせた細かなアクセス制御が実現できます。

まとめ

AzureのNSGは、仮想ネットワークやNIC単位でトラフィックを制御する基本となるセキュリティ機能です。さらにASGを組み合わせれば、IPアドレスに依存しない直感的なポリシー管理が可能になり、Azure Firewallと併用すればL7レベルの高度な防御も実現できます。自社のワークロードに応じてこれらを適切に使い分けることが、安全なAzure環境構築の鍵となります。