Azureネットワークセキュリティグループ（NSG）とは？仕組みからASG・Azure Firewallとの違いまで解説

Azure環境で仮想マシンや各種サービスを安全に運用するうえで欠かせないのが、ネットワークセキュリティグループ（NSG：Network Security Group）です。本記事では、NSGの基本的な役割や仕組みから、実際の作成手順、Application Security Group（ASG）やAzure Firewallとの違いまで、わかりやすく解説します。

ネットワークセキュリティグループ（NSG）とは

ネットワークセキュリティグループ（NSG）は、Azureリソースとの間でやり取りされるネットワークトラフィックを監視・制御するための機能です。NSGはサブネットやネットワークインターフェイス（NIC）に関連付けて使用でき、複数の仮想マシンに対してアクセス制御を一元的に適用するための標準的なインターフェイスを提供します。

NSGの主な役割

クラウドサービスにおいてNSGは、同じセキュリティポリシーを一連のクラウドリソースにまとめて適用することを可能にします。例えば、同一クラスター内の複数のコンピューティングインスタンスが同じタスクを処理する場合、必要なポートへのアクセスを一括で管理できます。これにより、VMごとに個別設定を行う手間が省け、設定ミスによるセキュリティホールの発生も抑えられます。

NSGの仕組み

NSGは、Azure仮想ネットワーク（VNet）との間で出入りするトラフィックをフィルタリングします。NSG内に定義されたセキュリティ規則（セキュリティルール）によって、どのトラフィックがAzureリソースに流入し、あるいは流出することを許可されるのかが決まります。ルールは優先度に基づいて評価され、送信元・宛先のIPアドレス、ポート番号、プロトコルなどの条件をもとに、トラフィックの許可または拒否を指定します。

NSGの作成方法

NSGはAzureポータルから簡単に作成でき、サブネットに関連付けることができます。基本的な手順は以下のとおりです。

1. Azureポータルにサインインします。
2. 「リソースの作成」をクリックし、「ネットワーキング」カテゴリを選択します。
3. 「ネットワークセキュリティグループ」を選択して作成します。
4. 作成したNSGを、対象のサブネットまたはネットワークインターフェイスに関連付けます。

NSGはファイアウォールなのか？

NSGはファイアウォールとして機能しますが、その性質は非常にシンプルなものです。ソフトウェア定義のアプローチによってネットワーク層でトラフィックをフィルタリングする、いわば「基本的なファイアウォール」と言えます。一方、Azure FirewallはL3〜L4のトラフィックに加えて、L7（アプリケーション層）のトラフィックもフィルタリング・分析できる、より多機能で堅牢なマネージドファイアウォールサービスです。

NSGとAzure Firewallの違い

両者の違いは、OSI参照モデルのどの階層を扱えるかに表れています。Microsoft Azure FirewallはOSIレイヤー4およびレイヤー7に対応しているのに対し、NSGはレイヤー3およびレイヤー4に対応しています。つまり、NSGはネットワーク層でトラフィックをフィルタリングする基本的な存在であるのに対し、Azure Firewallは豊富な機能を備えた包括的で堅牢なサービスです。L3・L4・L7すべてのレベルでのトラフィック分析とフィルタリングが必要な場合は、Azure Firewallの利用が適しています。

NSGとASGの違い

Azureには、NSG（ネットワークセキュリティグループ）とASG（アプリケーションセキュリティグループ）という、名前が似た2つのリソースが存在しますが、両者は大きく異なる役割を持っています。

• NSG（Network Security Group）：ネットワークトラフィックを強制・制御するために使用されるAzureリソースです。サブネットレベルではサブネットへの流入・流出トラフィックを、ネットワークインターフェイスレベルではインバウンド・アウトバウンドのトラフィックフローを識別・制御します。
• ASG（Application Security Group）：NSGの中で参照されるオブジェクトであり、NSGのセキュリティルール管理を支援する機能です。アプリケーションの役割ごとにVMをグループ化できるため、IPアドレスを意識せずに直感的なルール定義が可能になります。

つまり、NSGとASGは、VNet（仮想ネットワーク）内のネットワークトラフィックを制御・管理するための主要なAzureリソースとして、互いに補完関係にあると言えます。

ASG（Application Security Group）とは

ASGはAzureの機能の一つで、NSG内のルール管理をユーザーが行いやすくするためのものです。事前に構成されたリソース群に対してASGを作成・実装することで、セキュリティルールをアプリケーションの観点から整理でき、運用負荷の軽減につながります。

セキュリティグループとファイアウォールの違い

セキュリティグループでもネットワークトラフィックをブロックすることは可能ですが、一般的なファイアウォールよりも管理が容易です。特定のポートでの通信を許可・拒否したり、IPベースのルールに基づいて特定のサーバーからのトラフィックのみを受け入れたりすることができます。

まとめ

NSGは、Azureリソースへのネットワークトラフィックを制御するための基本的かつ重要な機能です。シンプルなファイアウォールとして動作しつつ、ASGと組み合わせることで柔軟なアクセス制御を実現できます。より高度なL7レベルのトラフィック検査が必要な場合は、Azure Firewallとの併用を検討するとよいでしょう。