Azure NSG / ASG 設計集｜Network Security Group ルール設計・Application Security Group 活用パターン

NSG (Network Security Group) は VNet 内のトラフィックを制御するステートフルファイアウォール、Subnet または NIC レベルで適用、IP/Port/Protocol ベースの Inbound/Outbound ルールを定義。ASG (Application Security Group) は NSG ルールを論理グループ化する補助機能、Web Tier・App Tier・DB Tier などのロール別グループを作って NSG ルールで IP アドレスの代わりに参照、ルール管理を大幅に簡素化。両者は併用が標準で、NSG が制御エンジン・ASG が論理グルーピングという関係性。エンタープライズ VNet では必ず ASG を活用して NSG ルールを保守可能にすべきです。

NSG ルールは優先度 (Priority、100-4096) の昇順で評価され、最初にマッチしたルールで判定終了。100 が最優先、4096 が最低。標準で 3 つの Default Rules (65000-65500) が存在: AllowVnetInBound・AllowAzureLoadBalancerInBound・DenyAllInBound (Inbound)、AllowVnetOutBound・AllowInternetOutBound・DenyAllOutBound (Outbound)。これらは Override 可能でカスタムルールで上書き。設計原則: 100-200 を超高優先 (緊急ブロック)、1000-3000 を通常 Allow ルール、4000 をデフォルト Deny、Default Rules はそのまま、という階層化が定石。優先度の隙間を空けて配置することで、後から優先度変更不要でルール追加可能です。

Service Tags: Microsoft が提供する Azure サービスの IP アドレス範囲の事前定義グループ (例: AzureCloud・Internet・VirtualNetwork・AzureKeyVault・AzureMonitor・Storage 等 60+ タグ)。NSG / Azure Firewall Network Rule で IP アドレスの代わりに使用、Microsoft が IP 範囲を自動更新するため運用負荷ゼロ。FQDN Tags: Azure Firewall Application Rule で使用する FQDN グループ (例: Microsoft365・WindowsUpdate・AzureBackup)、HTTP/HTTPS のみ対応、Service Tags より少ない数だが頻用シナリオをカバー。NSG では Service Tags のみ使用可能、FQDN Tags は Azure Firewall 限定。例: NSG で『この Subnet から Storage Service への Outbound のみ許可』を Service Tag = Storage で実装するパターンが頻出です。

Subnet レベルが推奨。Subnet レベル NSG は、Subnet 内のすべてのリソースに一律適用、管理が容易・スケーラブル。NIC レベル NSG は、個別 VM の NIC に直接適用、特定 VM のみの例外ルール用。実装パターン: 基本セキュリティを Subnet レベル NSG で構成、特定 VM のみの追加制御を NIC レベル NSG で追加 (Subnet と NIC の両方適用時は AND 評価、両方で許可されたトラフィックのみ通過)。新規 VNet では Subnet レベル NSG を必ず構成、NIC レベルは例外時のみ使用するのがベストプラクティスです。

ASG (Application Security Group) はロール別の論理グループを作成、VM の NIC に ASG を関連付け、NSG ルールで Source/Destination に ASG を指定。標準設計: WebTier-ASG (Web サーバー VM 群)・AppTier-ASG (アプリ VM 群)・DBTier-ASG (DB サーバー VM 群)・MgmtTier-ASG (Jumpbox・管理 VM 群) の 4-5 ASG。NSG ルール例: 『Internet → WebTier-ASG TCP 80/443 Allow』『WebTier-ASG → AppTier-ASG TCP 8080 Allow』『AppTier-ASG → DBTier-ASG TCP 1433 Allow』。これにより VM の IP アドレスを意識せず、ロール単位でセキュリティ制御可能、Auto Scale で VM が動的に増減してもルール変更不要というメリットを得られます。

NSG Flow Logs は、NSG を通過するすべてのトラフィックを JSON 形式で Storage Account にログ記録する機能。Allowed / Denied・送信元/宛先 IP・Port・Protocol・タイムスタンプ・バイト数を記録。Traffic Analytics (Network Watcher の有償機能) で集計・可視化、Top Talker・異常通信・脅威検知のレポート提供。Microsoft Sentinel への送信で SOC アナリティクスに統合、KQL クエリで異常通信検知 (例: 想定外の Outbound 通信・大量の Denied 通信)。Flow Logs v2 (現行) は集計レポート提供、v1 はレガシー。本番運用ではコンプライアンス要件 (PCI DSS・HIPAA) や Forensic 調査のため Flow Logs 必須で、最低 90 日の Retention 設定が標準です。

代表的な落とし穴: 1) Default Outbound Allow Internet を放置 (全 VM がインターネット出力可能、データ漏洩リスク)、適切な Deny ルールを追加。2) Subnet 名を AzureBastionSubnet / GatewaySubnet にすると NSG 適用に制約あり (Bastion Subnet では一部ルール必須・Gateway Subnet は NSG 非推奨)。3) Service Tag の更新タイミングを考慮しない (Microsoft が IP 範囲を月次更新、新規 IP が一時的に Block される可能性)。4) NSG ルール優先度を密にしすぎる (後から追加困難)、1000 ずつ間隔を空ける。5) ASG を使わず IP アドレス直接指定 (Auto Scale 時にルール破綻)。6) Flow Logs 未設定 (障害時に原因特定不可)。これらを設計初期段階で意識することが、運用コストの大幅削減につながります。

AZ-700 (Network Engineer Associate) で NSG / ASG が深く問われ、Rule 設計・Service Tags・Flow Logs・Traffic Analytics・ASG 活用パターンが頻出。AZ-104 (Administrator) のドメイン 4 で基礎、AZ-305 (Solutions Architect Expert) でアーキテクト視点でのセキュリティ設計、SC-100 (Cybersecurity Architect Expert) でゼロトラストネットワーク・マイクロセグメンテーション、SC-500 (旧 AZ-500、2026-09 GA) で Azure セキュリティ実装。Azure を扱うすべてのエンジニアにとって NSG / ASG の理解は必須スキルです。