Azureネットワークセキュリティグループ（NSG）とは？適用方法・設定手順・Firewallとの違いを徹底解説

Azureネットワークセキュリティグループ（NSG）とは？基本と活用方法を徹底解説

ネットワークセキュリティグループ（Network Security Group：NSG）は、Microsoft Azure環境でネットワークトラフィックをフィルタリングするための中核的な機能です。本記事では、NSGの基本的な仕組みから適用方法、設定手順、Azure FirewallやASGとの違いまで、よくある疑問をもとにわかりやすく解説します。

NSGはどこに適用できるのか

NSGは主に次の2つの単位で関連付けることができます。

• サブネットへの関連付け：NSGをサブネットに関連付けると、そのルールはサブネットに接続されたすべてのリソースに適用されます。
• ネットワークインターフェイス（NIC）への関連付け：個々のNICにNSGを関連付けると、そのインターフェイスを通過するトラフィックにのみルールが適用されます。

さらに、VMとネットワークインターフェイスの両方にNSGを関連付けることで、トラフィックをより細かく制限することも可能です。なお、NSGをVNetそのものに直接関連付けることはできないため、必ずサブネットまたはNICに対して設定します。

AzureにおけるNSGの用途

Azureのネットワークセキュリティグループを使用すると、Azure仮想ネットワーク（VNet）へ出入りするネットワークトラフィックをフィルタリングできます。NSG内に定義されたセキュリティルールによって、さまざまな種類のAzureリソースについて、どのトラフィックの受信・送信を許可するかを細かく制御できます。

NSGの仕組みとVNetのサポート

NSGには大きく分けて2つの側面があります。1つはネットワークフィルター（ファイアウォール）としての機能、もう1つはAzure VNet上のリソース間で「誰が通信でき、誰が通信できないか」を定義するネットワークセキュリティポリシーとしての機能です。これらのルールにより、インバウンドとアウトバウンドの双方のトラフィックを一元的に管理できます。

クラウドサービスにおけるNSGの役割

NSGを活用すると、クラウドリソースのグループ全体に同一のセキュリティポスチャ（セキュリティ体制）を適用できます。たとえば、1つのクラスター内で複数のコンピューティングインスタンスが同じタスクを処理している場合、必要なポートをまとめて制御でき、運用負荷の軽減にもつながります。

ネットワークセキュリティグループの構成要素

NSGは、トラフィックのフィルタリング方法を定めた多数のアクセス制御ルールで構成されています。これらのルールは、同一リージョン内の仮想マシンやサブネットに関連付けることができます。VMでは、トラフィックが流入する前にこのフィルターが適用され、不正な通信を未然にブロックします。

NSGの適用レベルと優先度の仕組み

NSGの各ルールには優先度が割り当てられており、優先度の順に評価されます。一致するルールが見つかった時点で評価は終了し、以降のルールはチェックされません。優先度に指定できる数値は100〜4096の範囲で、新規ルールは通常この範囲内で順に割り当てられます。また、1つのNSGに設定できるセキュリティルールの数には上限があるため、大規模な環境ではルール設計を計画的に行うことが重要です。

NSGの作成・設定方法

Azure portalからNSGを作成する基本的な手順は以下の通りです。

1. Azure portalのメインメニューまたはホームページから［リソースの作成］を選択します。
2. ［ネットワーキング］カテゴリを開き、［ネットワークセキュリティグループ］をクリックします。
3. 利用するサブスクリプションを選択します。
4. 既存のリソースグループを選ぶか、新しいリソースグループを作成します。
5. 名前やリージョンなどの必要事項を入力してNSGを作成します。

NSGをサブネットに関連付ける方法

作成したNSGは、Azure portalから簡単にサブネットへ関連付けできます。［リソースの作成］→［ネットワーキング］→［ネットワークセキュリティグループ］の順に選択してNSGを作成した後、対象の仮想ネットワークのサブネット設定画面、またはNICの設定画面から関連付けを行います。

VNetへのNSGの関連付けについて

Azure仮想ネットワーク（VNet）には、複数のAzureサービスのリソースを配置できます。各サブネットやVMの各ネットワークインターフェイスに対して個別のNSGを割り当てることも、1つのNSGを複数のサブネットやNICに同時に割り当てることも可能です。柔軟な組み合わせにより、環境に合わせたセキュリティ設計が行えます。

Azure FirewallとNSGの違い

両者はOSI参照モデルの対応レイヤーが異なります。

• NSG：レイヤー3（ネットワーク層）とレイヤー4（トランスポート層）で動作する、シンプルなパケットフィルタリング型のファイアウォールです。
• Azure Firewall：レイヤー3〜7までをカバーする、フルマネージドの高機能ファイアウォールサービスです。

NSGがネットワーク層での基本的なトラフィックフィルタリングを担うのに対し、Azure FirewallはL3/L4に加えてL7（アプリケーション層）のトラフィック分析・フィルタリングも実行できる、より包括的で堅牢なサービスです。

Azure NSGはファイアウォールなのか

NSGはファイアウォールとして機能しますが、きわめて基本的なタイプのものです。ソフトウェア定義のアプローチによってネットワーク層のトラフィックをフィルタリングします。一方、Azure Firewallはマネージドファイアウォールサービスとして、L3〜L4のトラフィックに加え、L7のアプリケーショントラフィックのフィルタリングや分析も行える、より強力なソリューションです。

NSGとASG（アプリケーションセキュリティグループ）の違い

ASG（Application Security Group）とNSG（Network Security Group）は大きく性質が異なります。NSGはネットワークトラフィックを強制・制御するためのAzureリソースであるのに対し、ASGはNSGのルール内で使用されるオブジェクトです。ASGを利用すると、仮想マシンをIPアドレスではなくアプリケーションの役割ごとにグループ化できるため、セキュリティルールの管理が大幅に簡素化されます。

まとめ

NSGは、Azure仮想ネットワークのセキュリティを支える基本的かつ重要な機能です。サブネット単位とNIC単位の2つのレベルで適用でき、優先度ベースのルール評価によって柔軟なトラフィック制御を実現します。より高度な脅威対策が必要な場合は、Azure Firewallとの併用も検討しましょう。