ラボ: Azure ネットワークセキュリティグループ (NSG) について調べる

このラボは、次の Learn コンテンツに対応しています。

ラーニングパス: Microsoft セキュリティソリューションの機能について説明する
モジュール: Azure の基本的なセキュリティ機能を説明する
ユニット: Azure ネットワークセキュリティグループについて説明する

ラボのシナリオ

このラボでは、Azure のネットワークセキュリティグループの機能について説明します。これを行うには、ネットワークセキュリティグループ (NSG) を作成し、既存の仮想マシン (VM) のインターフェイスに NSG を割り当てます。構成したら、既定のインバウンドおよびアウトバウンド規則を確認し、新しい規則を作成して、それらの規則をテストします。このラボでは、NSG で使用する VM が自動的に作成されるため、まず、その VM に関連付けられている情報の一部を表示します。

予測される所要時間: 45 分

タスク 1

このタスクでは、このラボで使用するために作成された VM に関連付けられているパラメーターの一部を表示します。

Microsoft Edge を開きます。アドレスバーに「https://portal.azure.com」と入力します。
管理者の資格情報でサインインします。
1. [サインイン] ウィンドウで、ラボホスティングプロバイダーから提供されたユーザー名を入力して、[次へ] を選択します。
2. ラボホスティングプロバイダーから提供されている管理者パスワードを入力します。 [サインイン] を選択します。
3. 以前にログインしたことがある場合は、MFA の一部として、セカンダリ認証を完了するように求められる場合があります。以前にログインしたことがない場合は、MFA 登録プロセスを完了するように求められる場合があります。画面の指示に従って MFA をセットアップします。
4. サインインしたままにするかどうかを尋ねられたら、[はい] を選択します。
ページの上部、Azure Services と表示されている場所の下で、[Virtual Machines] を選択します。リストに表示されない場合は、検索ボックスのページ上部にある [Microsoft Azure] と表示されている場所の隣の青色バーに、「Virtual Machines」と入力し、検索結果で [Virtual Machines] を選択します。
[Virtual Machines] ページで、[SC900-WinVM] と表示されている VM を選択します。
SC900-WinVM ページに移動します。 VM に関するいくつかの基本情報に＠注意してください。
左側のナビゲーションパネルで [ネットワーク] を展開し、[ネットワーク設定] を選択します。メインウィンドウの要点セクションには、VM のネットワークインターフェイスが表示されます。インターフェイスに NSG が割り当てられていないため、[ネットワークセキュリティグループ] の横に何も表示されていないことに注目してください。
このタブは開いたままにしておきます。

タスク 2

このタスクでは、ネットワークセキュリティグループを作成し、その NSG に VM のネットワークインターフェイスを割り当て、RDP トラフィック用の新しいインバウンド規則を作成します。

開いた [Azure] タブで、ページの上部にある [ホーム] リンクを “右クリック” し、[新しいタブでリンクを開く] を選んで Azure サービスへの別のページを開きます。**
ページの上部にある青い検索バーに、「ネットワークセキュリティグループ」と入力し、その結果から [ネットワークセキュリティグループ] を選択します。 [ネットワークセキュリティグループ (クラシック)] を選択しないでください。
ページの中央にある [ネットワークセキュリティグループの作成] というラベルが付いた青いボタンを選びます。または、[ネットワークセキュリティグループ] ページの上部から [+ 作成] を選ぶこともできます。
[ネットワークセキュリティグループの作成] ページの [基本] タブで、次の設定を指定します。
1. サブスクリプション: 既定値のままにします (これは、承認されたラボホストによって提供される Azure サブスクリプションです)
2. リソースグループ: LabsSC900
3. 名前: NSG-SC900
4. リージョン: 既定値のままにします。
5. [確認および作成] を選択し、[作成] を選択します。
デプロイが完了したら、[リソースに移動] を選択します。
新しく作成された NSG の概要ページが表示されるはずです。そうでない場合は、左側のナビゲーションパネルから [概要] を選びます。 [要点] と表示されているページの上部に、作成した NSG に関する基本情報がいくつか表示されます。注意すべき 2 つの点は、カスタムセキュリティ規則がなく、この NSG に関連付けられているサブネットもネットワークインターフェイスもない点です。カスタムセキュリティ規則はありませんが、ページに示されているように、各 NSG に含まれる既定のインバウンドおよびアウトバウンド規則があります。インバウンドおよびアウトバウンド規則を両方とも確認します。既定のインバウンド規則は、仮想ネットワークまたは Azure ロードバランサーからの受信トラフィックをすべて拒否します。アウトバウンド規則では、仮想ネットワーク間のトラフィックとインターネットへの送信トラフィックを除くすべての送信トラフィックが拒否されます。
NSG-SC900 ページの左側のナビゲーションウィンドウで [設定] を展開し、[ネットワークインターフェイス] を選択します。
1. [関連付け] を選択します。
2. ネットワークインターフェイスの関連付けのフィールドで、下向き矢印を選択し、[sc900-winvmXXX] を選び、ウィンドウの下部にある [OK] を選択します。インターフェイスが NSG に関連付けられると、一覧に表示されます。これで、NSG が VM のネットワークインターフェイスに割り当てられました。
ブラウザーの [SC900-WinVM - Microsoft Azure] タブに戻ります。ページを最新の情報に更新します。 [ネットワークセキュリティグループ] と表示されている場所の横に、先ほど作成した NSG の名前が表示されるはずです。それでも表示されない場合は、もう 1 分間待ってから、ページをもう一度更新します。
左ナビゲーションパネルで [接続] を選びます。メインウィンドウで、ポート番号 3389 が表示されている場所の横にある [アクセスの確認] を選びます。アクセスの確認機能により、VM の既定の RDP ポート 3389 にシグナル (トラフィック) が送信され、アクセス可能かどうかが確認されます。 1 分ほどかかる場合がありますが、”アクセスできません” と表示されます。 DenyAllInBound NSG 規則により、VM へのすべての受信トラフィックは拒否されるため、これは想定内のことです。
ブラウザーの [NSG-SC900 - Microsoft Azure] タブに戻ります。
左側のナビゲーションウィンドウで、[受信セキュリティ規則] を選択します。既定のインバウンド規則では、仮想ネットワークまたは Azure ロードバランサー以外のすべての受信トラフィックが拒否されるため、受信 RDP トラフィック (ポート 3389 上のトラフィック) を許可する規則を設定する必要があります。既定の規則は削除できませんが、より優先度の高い規則を新しく作成してオーバーライドできることを思い出してください。
ページの最上部から [追加] を選びます。 [受信セキュリティ規則の追加] ウィンドウで、次の情報を指定します。
1. ソース: 任意
2. ソースポート範囲: *
3. 宛先: 任意
4. サービス: RDP
5. アクション: 許可
6. 優先度: 1000。小さい数字の規則は高い優先順位を持ち、最初に処理されます。
7. 名前: 既定の名前のままにするか、独自のわかりやすい名前を作成します。
8. ページの下部にある警告記号に注意してください。 RDP は、テスト目的でのみ、NSG の機能を示すために使用しています。
9. [追加] を選択します。
ルールがプロビジョニングされると、受信ルールの一覧に表示されます (画面を更新する必要がある場合があります)。
このブラウザータブは開いたままにしておきます。

タスク 3

このタスクでは、新しく作成されたインバウンド NSG 規則をテストして、VM へのリモートデスクトップ (RDP) 接続を確立できることを確認します。 VM に接続したら、VM からインターネットへの送信接続を確認します。

ブラウザーで、[SC900-WinVM – Microsoft Azure] タブを開きます。
左ナビゲーションパネルで、[接続] を選択します。
[アクセスの確認] を選択します (ポートが 3389 に設定されていることを確認します)。状態は “アクセス可能” と表示されるはずです。 “アクセス不可” と表示されている場合は、ページを更新してやり直してください。新しい受信規則がアクセスの確認オプションで表示されるまでに数分かかる場合があります。
次に、ネイティブ RDP というボックスの [選択] をクリックして、VM に直接接続します。
1. 開いた [ネイティブ RDP] ウィンドウで、[RDP ファイルのダウンロード] を選択します。
2. ダウンロードの警告が表示されたら、[保持] を選択し、表示されるポップアップウィンドウで [ファイルを開く] を選びます。
3. [リモートデスクトップ接続] ウィンドウが開いたら、[接続] を選択します。
4. 資格情報の入力を求められます。 VM の [ユーザー名] と [パスワード] を入力します (ラボの指示パネルの [リソース] タブを参照してください)。
5. [リモートデスクトップ接続] ウィンドウが開き、’‘このリモートコンピューターの ID を識別できません。接続しますか?’’ と示されます。 [はい] を選択します。
これで、VM に接続されました。この場合、作成した受信トラフィックルールにより RDP 経由で VM への受信トラフィックが許可されているため、VM に接続できました。 [ようこそ] 画面で、数秒後に、デバイスのプライバシー設定を選択するウィンドウが表示されたら、[同意する] を選択します。 [ネットワーク] ウィンドウが表示されたら、[いいえ] を選択します。
RDP セッションの VM が稼働している状態で、VM からインターネットへの送信接続をテストします。
1. 開いた VM で、[Microsoft Edge] を選択して、ブラウザーを開きます。 VM とブラウザーを初めて開くので、いくつかの基本設定を求められる場合があります。
2. デバイスのプライバシー設定を選択するように求められる場合があります。既定のままにして、[承認] を選択します。
3. ネットワークのサイドパネルが表示される場合があります。このため、 [いいえ] を選択します。
4. “Windows で最もパフォーマンスの高いブラウザーで Web を閲覧する” というウィンドウが表示されることがあります。[続行]、[データなしで開始]、[確認して続行]、[このデータなしで続行] の順に選択し、最後に [確認して閲覧を開始] を選択します。
5. ブラウザーのアドレスバーに「www.bing.com」と入力して、検索エンジンに接続できることを確認します。
6. www.bing.com にアクセスできることを確認したら、VM のブラウザーウィンドウは閉じ、VM は起動したままにします。
VM の IP アドレスを示す青いタブでアンダースコア _ を選択して、VM を最小化します。これにより、[SC900-WinVM] | [接続] ページに戻ります。
次のタスクで使用するため、このブラウザータブは開いたままにしておきます。

タスク 4

前のタスクでは、VM への RDP 接続を確立できることを確認しました。 VM に接続してから、インターネットへの送信接続を確立できることも確認しました。 NSG の既定のアウトバウンド規則では送信インターネットトラフィックが許可されているため、送信インターネットトラフィックが許可されました。このタスクでは、インターネットトラフィックの送信をブロックするカスタムアウトバウンド規則を作成し、その規則をテストするプロセスを説明しました。

[SC900-WinVM] | [接続] ページが表示されているはずです。左ナビゲーションウィンドウで、[ネットワーク] を選択します。以前にブラウザータブを閉じた場合は、ページの上部にある青い検索バーを選択し、[Virtual Machines] を選択してから、VM [SC900-WinVM] を選択し、次に [ネットワーク] を選択します。
[送信ポートの規則] タブを選択します。既定のアウトバウンド規則が表示されます。既定の規則 “AllowInternetOutBound” に注意してください。この規則では、すべての送信インターネットトラフィックが許可されます。既定の規則は削除できませんが、優先順位の高い規則を作成することでオーバーライドできます。ページの右側で、[送信ポートの規則を追加する] を選択します。
[送信セキュリティ規則の追加] ページで、次の情報を入力します。
1. ソース: 任意
2. ソースポート範囲: *
3. 宛先: サービスタグ
4. 宛先サービスタグ: インターネット
5. サービス: カスタム (既定値のままにします)
6. 宛先ポート範囲: * (宛先ポート範囲フィールドに必ずアスタリスクを入力してください)
7. プロトコル: 任意
8. アクション:拒否
9. 優先度: 1000
10. 名前: 既定の名前のままにするか、独自のわかりやすい名前を作成します。
11. [追加] を選択します。
ルールがプロビジョニングされると、送信規則の一覧に表示されます。一覧に表示されますが、有効になるまで数分かかります (数分待ってから次の手順に進みます)。
VM に戻ります (ページの下部にあるタスクバーに VM の RDP アイコンが表示されるはずです)。
VM で Microsoft Edge ブラウザーを開き、「www.bing.com」と入力します。このページは表示されません。インターネットに接続でき、アウトバウンド規則のすべてのパラメーターが適切に設定されていたことを確認した場合、これは規則が有効になるまで数分かかることによる可能性があります。ブラウザーを閉じ、数分待ってからやり直してください。ラボ環境の Azure サブスクリプションでは、通常よりも長い遅延が発生する場合があります。
IP アドレスが表示されるページの上中央の [X] を選択して、リモートデスクトップ接続を閉じます。ポップアップウィンドウにリモートセッションが閉じることが示されます。 [OK] を選択します。
ウィンドウの左上隅の Microsoft Azure という青いバーのすぐ下にある [ホーム] を選択して、Azure サービスのホームページに戻ります。
ブラウザーで Azure タブを開いたままにします。

確認

このラボでは、ネットワークセキュリティグループ (NSG) を設定し、その NSG を仮想マシンのネットワークインターフェイスに関連付け、受信 RDP トラフィックを許可して送信インターネットトラフィックをブロックする新しい規則を NSG に追加するプロセスについて説明しました。