変更要約: AZ-500 第2章を深掘り（図ja化・比較表/シナリオ/FAQ/ひっかけ/深掘り段落を全節に追加）
2.2Azure Firewall と安全な管理アクセス
VNet 全体の通信を集中管理する Azure Firewall、公開 IP なしに VM へ安全に接続する Azure Bastion、送信を 1 つの IP に集約する NAT ゲートウェイ を理解します。境界の防御と安全な運用アクセスの基礎です。
NSG が個々のサブネット/NIC の制御なら、Azure Firewall は VNet 全体の通信を集中管理するステートフルなファイアウォールです。さらに VM の管理アクセスは Bastion で安全に行います。
2.2.1境界防御と運用アクセス
大規模なハブ&スポークでは Azure Virtual WAN を使い、セキュアな仮想ハブに Azure Firewall を配置して拠点間・VNet 間の通信を一元的に検査・ルーティングします。サーバーの脅威保護は Microsoft Defender for Cloud の Microsoft Defender for Servers プランで、脆弱性評価・エージェントレススキャン・JIT などを提供します。
- Azure Firewall：ステートフルな集中ファイアウォール。FQDN ベースのアプリ規則・ネットワーク規則・脅威インテリジェンスを備える。
- Bastion：公開 IP を VM に付けず、ブラウザ越しに RDP/SSH で安全に接続する。
- NAT ゲートウェイ：送信通信を1 つの公開 IP に集約し、外部から VM への直接到達を避ける。
- ハブ＆スポーク：ハブ VNet に Firewall を集約し、複数スポーク VNet の通信を一元的に検査する設計が一般的。
「VNet 全体を集中管理するステートフルなファイアウォール＝Azure Firewall」「公開 IP なしで VM に安全接続＝Bastion」「送信を 1 つの IP に集約＝NAT ゲートウェイ」 は AZ-500 で頻出です。FQDN ベースの制御が必要なら Firewall（NSG は IP/ポートのみ）。
VM に公開 IP を付けて RDP/SSH ポートをインターネットに開放するのは危険です。Bastion か、Just-In-Time VM アクセス（Defender for Cloud）を使いましょう。
Azure Firewall の規則は 3 種類に分かれます。アプリケーション規則 は FQDN（*.windows.net など）で送信先を許可し、ネットワーク規則 は IP・ポート・プロトコルで制御、DNAT 規則 は受信を内部リソースへ変換（ポートフォワード）します。VNet 内の全送信を Firewall に通すには ユーザー定義ルート（UDR） で 0.0.0.0/0 の next hop を Firewall のプライベート IP に向けます。Firewall Policy を使うと複数 Firewall に規則を一元適用でき、IDPS（侵入検知・防止）や TLS 検査は Premium SKU の機能です。運用アクセス側では、Bastion が常時の踏み台になるのに対し、JIT VM アクセス は必要なときだけ NSG/Firewall に一時的な許可規則を入れ、時間が来たら自動で閉じます。
| 用途 | 使うもの | 層/特徴 |
|---|---|---|
| サブネット/NIC の許可・拒否 | NSG | L3/L4・分散・ステートフルだが集中管理なし |
| VNet 全体の集中制御・FQDN 規制 | Azure Firewall | L3〜L7・集中・脅威インテリ・Premium で IDPS |
| 公開 IP なしの VM 管理接続 | Bastion | ブラウザ RDP/SSH・常時の踏み台 |
| 一時的にだけ管理ポートを開く | JIT VM アクセス | Defender for Cloud・時間制限つき許可 |
シナリオ： 複数のスポーク VNet があり、すべての送信トラフィックを検査して許可された FQDN だけ外部に出したい。→ ハブ VNet に Azure Firewall を置き、各スポークのサブネットに UDR（0.0.0.0/0 → Firewall のプライベート IP）を適用、Firewall のアプリケーション規則で許可 FQDN を定義します。管理接続はハブの Bastion に集約します。
FAQ： Q. NSG があるのに Azure Firewall も要りますか？ → A. 役割が違います。NSG は分散した許可/拒否、Firewall は集中管理・FQDN 規制・脅威インテリジェンス。多くの設計で併用します。Q. Bastion と VPN/Just-In-Time の違いは？ → A. Bastion はブラウザからの常時利用可能な踏み台、JIT は普段は閉じておき必要時だけ一時的にポートを開く方式です。
ひっかけ： 「FQDN（ドメイン名）で送信先を許可したいから NSG を使う」は誤りです。NSG は IP/ポートのみで、FQDN ベースの制御は Azure Firewall のアプリケーション規則です。また「Bastion を使えば VM に公開 IP が必要」も誤り（むしろ公開 IP を不要にするのが Bastion）。
2.2.2この節のまとめ
- Azure Firewall＝集中・ステートフル・FQDN 規則
- Bastion＝公開 IP なしの安全な RDP/SSH、NAT＝送信 IP 集約
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. VNet 全体の通信を集中管理し、FQDN ベースのアプリ規則や脅威インテリジェンスを備えるステートフルなマネージドファイアウォールはどれですか？
Q2. VM に公開 IP を付けずに、ブラウザ越しに RDP/SSH で安全に接続したい。何を使いますか？
Q3. NSG と Azure Firewall の違いとして正しいものはどれですか？