2.2Azure ネットワークアクセスの制御

ネットワーク層では「到達できる経路を最小化する」のが原則です。VM やサブネット間の通信は NSG/ASG で、複数 VNet にまたがる規則は Azure Virtual Network Manager で集中管理し、PaaS への到達は プライベートエンドポイント で private 化します。リモートアクセスは VPN や Entra Private Access で ID ベースに置き換えます。

2.2.1NSG と ASG

ネットワークセキュリティグループ（NSG） は、サブネットや NIC に適用するステートフルな許可/拒否規則の集合です。規則は優先度（小さい番号が先）で評価され、最初に一致したものが適用されます。アプリケーションセキュリティグループ（ASG） は VM をアプリ役割（例：web/app/db）でグループ化し、IP の代わりに ASG 名で規則を書けるようにして、規則をシンプルかつ動的に保ちます。「Web 層から DB 層への通信のみ許可」のような意図を IP に依存せず表現できます。

2.2.2Azure Virtual Network Manager

Azure Virtual Network Manager（AVNM） は、多数の VNet をネットワークグループとして束ね、接続構成（ハブ＆スポーク/メッシュ）と セキュリティ管理者規則（security admin rules） を一元的に適用します。セキュリティ管理者規則は NSG よりも先に評価される高位の規則で、組織全体で「特定ポートを必ず拒否」のようなガードレールを強制でき、個々のチームが NSG で上書きできないようにします。大規模環境での一貫したネットワークセキュリティに使います。

2.2.3Virtual WAN・VPN・Entra Private Access

• Azure Virtual WAN：拠点・VNet・リモートユーザーを束ねる広域ネットワークのハブ。セキュアド仮想ハブ（Azure Firewall 統合）で集中検査・保護。
• VPN（S2S/P2S）：オンプレや個人デバイスからの暗号化トンネル。証明書/Entra 認証や条件付きアクセスと組み合わせて保護。
• Microsoft Entra Private Access：VPN に代わり、社内アプリへ ID ベース・アプリ単位（ゼロトラスト）でアクセスを提供。ネットワーク全体ではなく必要なアプリだけに到達。

2.2.4プライベートエンドポイントと Private Link サービス

プライベートエンドポイント は、Storage・SQL・Key Vault などの PaaS リソースに VNet 内の private IP を割り当て、パブリックインターネットを経由せずに到達できるようにします。逆に、Private Link サービス は自分が提供するサービス（NLB の背後など）を他テナント/他 VNet へ private に公開するための仕組みです。「PaaS を private に使う側＝プライベートエンドポイント」「自社サービスを private に提供する側＝Private Link サービス」と整理します。

2.2.5この節のまとめ

• NSG＝ステートフル・優先度順・最初の一致。ASG＝役割でグループ化し IP 非依存に
• AVNM＝多数 VNet の集中管理。セキュリティ管理者規則は NSG より先・上書き不可
• リモートは VPN→Entra Private Access（アプリ単位/ID ベース）。PaaS は プライベートエンドポイント、提供は Private Link サービス