第4章 · 仮想ネットワークの実装・管理·v2.0.0·更新 2026/6/16·読了目安約9分

変更要約: AZ-104 第4章を Associate 級に深掘り（比較表・シナリオ・FAQ・ひっかけ＋深掘り段落、図を日本語化）

4.2ネットワークセキュリティグループ（NSG）

この節の要点

NSG による受信/送信トラフィックの許可・拒否、優先度（priority）による評価順、5タプルのルール、サブネット/NIC への適用を理解します。

どの通信を通し、どれを遮断するかを決めるのがネットワークセキュリティグループ（NSG）です。サブネットや NIC に適用し、ルールで受信/送信を制御します。

4.2.1NSG のルール

NSG のルールが優先度（数値が小さいほど先に評価）順に評価され、例として「100 Allow TCP443 from Internet」「200 Allow TCP3306 from web subnet」、既定の「4096 Deny all」を示し、ルールは送信元/宛先/ポート/プロトコル/方向の5タプルで、ステートフルである旨を表した図。 — NSG のルールと優先度

ルール：送信元・宛先・ポート・プロトコル・方向（5タプル）で許可/拒否を指定する。
優先度（priority）：数値が小さいルールほど先に評価され、最初に一致したものが適用される。
適用先：サブネットまたはNICにアタッチできる。NSG はステートフル（戻り通信は自動許可）。

試験ポイント

「特定ポートの通信を許可/遮断＝NSG ルール」「数値が小さい優先度が先に評価」「NSG はステートフル」「サブネットまたは NIC に適用」 は AZ-104 で頻出です。既定で受信は概ね拒否、VNet 内は許可です。

NSG はサブネットまたは NIC にアタッチするステートフルなフィルタで、ルールは 5タプル（送信元・宛先・ポート・プロトコル・方向）と優先度（100〜4096・小さい数値が先・最初の一致が確定）で構成します。既定ルールとして「同一 VNet 内は許可」「Azure LB を許可」「インターネットからの受信は拒否」などがあり、独自ルールで上書きします。送信元/宛先には IP のほかサービスタグ（Internet/VirtualNetwork/AzureLoadBalancer/Storage 等）やアプリケーションセキュリティグループ（ASG）を使え、IP 管理を減らせます。サブネットと NIC の両方に NSG がある場合、受信はサブネット→NIC、送信は NIC→サブネットの順で両方が許可して初めて通ります。可視化と診断はフローログ・Network Watcher（IP フロー検証/次ホップ/接続トラブルシュート）。より高度な L7/集中検査は Azure Firewall や Application Gateway（WAF）。判断軸は「ポート許可/拒否＝NSG」「IP でなく役割で指定＝ASG/サービスタグ」「疎通調査＝Network Watcher」。

やりたいこと	手段
ポート単位で許可/拒否	NSG ルール（5タプル＋優先度）
IP でなく役割で指定	ASG / サービスタグ
疎通トラブルの切り分け	Network Watcher / フローログ
L7 検査・集中防御	Application Gateway(WAF) / Azure Firewall

例

シナリオ：Web 層からのみ DB(3306) を許可し、他は遮断したい。 DB サブネットの NSG に「優先度200・送信元＝Web の ASG・宛先ポート3306・許可」、より小さい優先度で例外を、末尾は既定の拒否。Web は「443 from Internet（サービスタグ）許可」。通らない時は Network Watcher の IP フロー検証で、サブネット/NIC のどちらの NSG で落ちたかを切り分けます。

補足

Q. ポートを許可/拒否？ NSG ルール。Q. どれが先に評価？ 優先度の小さいルール。Q. 戻り通信は？ ステートフルで自動許可。Q. IP でなく役割で？ ASG/サービスタグ。Q. 適用先は？ サブネット or NIC（両方なら両方を満たす必要）。Q. 疎通調査？ Network Watcher。

注意

混同に注意：
①NSG はステートフル——戻り通信に明示ルールは不要（NACL 系のステートレスとは違う）。
②サブメットと NIC の両 NSG はどちらも許可が必要——片方で拒否なら不通。
③優先度は小さい数値が先、最初の一致で確定。
④NSG は基本 L3/L4——L7 のフィルタ（URL/WAF）は Application Gateway/Azure Firewall。

補足

サブネットと NIC の両方に NSG がある場合、受信は「サブネット→NIC」、送信は「NIC→サブネット」の順に両方で評価され、両方が許可して初めて通ります。

4.2.2この節のまとめ

NSG＝5タプルのルールで受信/送信を許可/拒否、優先度順に評価
ステートフルでサブネット/NICに適用

進捗の記録にはログインが必要です。

理解度チェック

（軽い確認用）

Q1. VM への特定ポート（例 TCP 443）の受信を許可/拒否するのに使うのはどれですか？

Q2. 複数の NSG ルールがある場合、どれが先に評価されますか？

Q3. NSG の説明として正しいものはどれですか？

理解度を確認第4章「仮想ネットワークの実装・管理」の問題を解く

学習の記録を残しませんか

参考書はすべて無料で読めます。無料登録すると、問題集での演習・既読と進捗の記録・間違えた問題の復習・ハイライトが使えます。

無料で始めるログイン