ネットワークセキュリティリストの取得方法とは？OCI・Azureの基本をQ&A形式で解説

ネットワークセキュリティリストの基本と取得方法

クラウド環境において、セキュリティリストやネットワークセキュリティグループ（NSG）は、仮想ネットワーク内の通信を制御するために欠かせない仕組みです。本記事では、OCI（Oracle Cloud Infrastructure）やAzureにおけるセキュリティリスト・NSGに関するよくある疑問をQ&A形式で整理し、初心者にもわかりやすく解説します。

セキュリティリストとは？

セキュリティリストとは、関連付けられたサブネット内のVNIC（仮想ネットワークインターフェースカード）に対して、イングレス（受信）およびエグレス（送信）のセキュリティルールを適用するための設定群です。同一サブネット内のすべてのVNICには、同じセキュリティリストが適用されます。セキュリティリストとネットワークセキュリティグループの詳細な比較については、公式ドキュメントをご参照ください。

OCIにおけるネットワークセキュリティグループ（NSG）とは？

OCIのネットワークセキュリティグループ（NSG）は、複数のクラウドリソースに対して一貫したセキュリティポスチャを維持するための仮想ファイアウォールとして機能します。セキュリティルールとは、VNICとそのピア間で許可されるトラフィックの種類を制御するルールのことです。たとえば、「特定の送信元からのTCPポート22への受信トラフィックを許可する」といった設定がその代表例です。

サブネット作成時に関連付けられるセキュリティリストの最大数は？

1つのサブネットに関連付けられるセキュリティリストは最大5つまでです。VNICを持つサブネットは、そのサブネットに設定されたセキュリティリストによって管理されます。

ネットワークセキュリティグループ（Azure）とは？

Azureのネットワークセキュリティグループは、複数種類のAzureリソースに適用できるセキュリティルールのコレクションであり、受信・送信トラフィックのルールを強制します。同じネットワークセキュリティグループは、任意の数のサブネットやネットワークインターフェースに関連付けることが可能です。

OCIにおけるイングレスとエグレスとは？

イングレスとは、外部からクラウド環境に入ってくるトラフィックを指し、ユーザーがクラウドへアクセスしようとする際に発生します。一方、エグレスとは、クラウドから外部へ出ていくトラフィックのことです。この2つの方向を正しく理解することは、適切なセキュリティルールを設計するうえで非常に重要です。

セキュリティリストのデフォルト動作は？

アクセスリスト（ACL）のデフォルト動作は、Cisco ASAセキュリティアプライアンス全体で共通しています。トラフィックが許可されるか拒否されるかは、アクセスリストの条件に基づいて判定され、条件に応じてインターフェース上のトラフィックが許可または拒否されます。

イングレス（Kubernetes）とは？

KubernetesにおけるIngressは、外部クライアントからKubernetesクラスター内のサービスへのアクセス要求を処理するための仕組みです。Ingressコントローラーは、「追加機能を備えたルーター」と捉えるとイメージしやすいでしょう。

OCIのセキュリティリストとは？

前述のとおり、各セキュリティリストには、関連付けられたサブネットのVNICに適用されるイングレス・エグレスのセキュリティルールが含まれています。同じサブネット内のすべてのVNICには、同一のセキュリティリストが適用される点に注意してください。

サブネット作成時にプレースホルダーのセキュリティリストが関連付けられるのはなぜ？

新しいサブネットを作成する際には、1つ以上のプレースホルダー（ひな形）となるセキュリティリストが同時に作成・関連付けられることが一般的です。これは、各運用者が自身の要件に合わせたセキュリティリストを個別に保持する必要があるためです。

ネットワークセキュリティグループ（NSG）ルールの最大数は？

NSGにはルール数の上限が設けられています。デフォルトでは200ルールまで追加でき、サポートチケットを申請することで最大1,000ルールまで拡張可能です。上限に達しない限り、複数のNSGに分割する必要はありません。

ネットワークセキュリティルールとは？

Azureのネットワークセキュリティグループは、複数種類のAzureリソースに適用され、受信・送信トラフィックのルールを強制するセキュリティルールのコレクションです。各ルールでは、送信元・宛先、ポート番号、プロトコルを個別に指定できます。

NSGとASGとは？

NSG（Network Security Group：ネットワークセキュリティグループ）とASG（Application Security Group：アプリケーションセキュリティグループ）は、仮想ネットワーク（VNET）内のネットワークトラフィックを管理・制御するための、最も基本的なAzureリソースです。これらを組み合わせることで、柔軟かつ効率的なトラフィック制御を実現できます。

ネットワークセキュリティグループの作成方法

AzureポータルでNSGを作成する基本的な手順は以下のとおりです。
1. メニューから「ネットワークセキュリティグループ」を選択します。
2. 適切なサブスクリプションを選択します。
3. 既存のリソースグループがあればそれを選択し、なければ「新規作成」をクリックして新しいリソースグループを作成します。
4. 名前はリソースグループ内で一意となる文字列を指定します。

Azureセキュリティグループとは？

Azureのネットワークセキュリティグループとは、仮想ネットワークやサブネットを対象に設定されたアクセスルールの集合体であり、着信パケットを許可するかどうかを判断するために使用されます。

まとめ

セキュリティリストはサブネット単位で適用されるのに対し、NSGはリソース単位でより柔軟に適用できる点が大きな違いです。それぞれの特徴と上限値（サブネットあたり最大5つのセキュリティリスト、NSGあたりデフォルト200ルールなど）を理解したうえで、自社のクラウド環境に適したセキュリティ設計を行いましょう。