Windows Admin Centerでタグを使用してネットワークセキュリティグループを構成する

[アーティクル]
04/02/2024

適用対象: Azure Stack HCI バージョン 23H2 および 22H2

この記事では、Windows Admin Centerでネットワークセキュリティタグを使用してネットワークセキュリティグループを構成する方法について説明します。

ネットワークセキュリティタグを使用すると、カスタムユーザー定義タグを作成し、それらのタグを仮想マシン (VM) ネットワークインターフェイスにアタッチし、これらのタグに基づいてネットワークアクセスポリシー (ネットワークセキュリティグループを使用) を適用できます。

ネットワークセキュリティタグを使用してセキュリティを簡素化する

ネットワークセキュリティグループを使用すると、ネットワークプレフィックスやサブネットなどのネットワークコンストラクトに基づいてアクセスポリシーを構成できます。たとえば、Web サーバー VM とデータベース VM 間の通信を制限する場合は、対応するネットワークサブネットを特定し、それらのサブネット間の通信を拒否するポリシーを作成する必要があります。ただし、この方法にはいくつかの制限があります。

セキュリティポリシーはネットワークコンストラクトに関連付けられています。つまり、特定のネットワークセグメントに存在するアプリケーションを把握する必要があります。ネットワークインフラストラクチャとアーキテクチャを理解することが重要になります。
アプリケーションのポリシーを構築する場合は、さまざまなシナリオで再利用することが必要になる場合があります。たとえば、運用 Web アプリにインターネットからポート 80 経由でのみアクセスでき、運用環境やその他の環境の他のアプリからアクセスできない場合は、新しいアプリに対して同様のポリシーが適用されます。ただし、ネットワークのセグメント化では、アプリごとに固有のネットワーク要素が原因でポリシーを再作成する必要があります。
古いアプリケーションの使用を停止し、同じネットワークセグメント内に新しいアプリケーションをプロビジョニングする場合は、ポリシーの調整が必要です。

ネットワークセキュリティタグ機能を使用すると、アプリケーションがホストされているネットワークセグメントを追跡する必要がなくなります。これにより、ポリシー管理が簡略化され、ネットワークコンストラクトに関連する複雑さが回避されます。 Web サーバーとデータベース VM で例を再考しましょう。対応する VM に "Web" と "Database" のネットワークセキュリティタグをタグ付けし、"Web" タグと "Database" タグ間の通信を制限するルールを作成します。

ネットワークセキュリティタグベースのネットワークセキュリティグループを作成する

ネットワークセキュリティタグベースのネットワークセキュリティグループを作成するには、次の手順に従います。

1 つ以上のネットワークセキュリティタグを作成します。
VM にネットワークセキュリティタグを割り当てます。
ネットワークセキュリティグループを作成します。
ネットワークセキュリティグループのネットワークセキュリティ規則を作成します。
VM、ネットワークサブネット、ネットワークセキュリティタグにネットワークセキュリティグループを適用します。

ネットワークセキュリティタグを作成する

Windows Admin Centerホーム画面の [すべての接続] で、ネットワークセキュリティグループを作成するクラスターを選択します。
[ ツール] で[ ネットワーク ] 領域まで下にスクロールし、[ ネットワークセキュリティグループ] を選択します。
[ ネットワークセキュリティグループ] で、[ ネットワークセキュリティタグ ] タブを選択し、[ 新規] を選択します。
[ ネットワークセキュリティタグの作成 ] ウィンドウで、[名前] フィールドにネットワークセキュリティタグの名前を入力します。
(省略可能)[ 種類 ] フィールドに、タグの型を入力します。このフィールドは、管理を容易にするためにタグを分類する場合に便利です。たとえば、SQL、Web、IOT、センサーなど、同じ種類の "Application" で異なるタグを持つことができます。
[Submit](送信) をクリックします。

VM にネットワークセキュリティタグを割り当てる

新しい VM を作成するとき、または既存の VM のプロパティを変更するときに、VM にネットワークセキュリティタグを割り当てることができます。

VM の作成時にネットワークセキュリティタグを割り当てる

新しい VM を作成する方法の詳細な手順については、「新しい VM の作成」を参照してください。

新しい VM の作成時にネットワークセキュリティタグを割り当てるには:

Windows Admin Center のホームの [すべての接続] で、VM を作成するサーバーまたはクラスターを選択します。
[ツール] で下方向にスクロールし、 [仮想マシン] を選択します。
[ 仮想マシン] で、[ インベントリ ] タブを選択し、[ 追加] を選択し、[ 新規] を選択します。
[新しい仮想マシン] で、VM の名前を入力します。
VM の他のプロパティを入力します。
[ ネットワーク] で、前に作成したネットワークセキュリティタグを [ ネットワークセキュリティタグの作成] で選択します。
［作成］ を選択します

既存の VM にネットワークセキュリティタグを割り当てる

ネットワークセキュリティタグを既存の VM に割り当てるには、その設定を変更します。 VM の設定を変更する方法の詳細については、「VM 設定の変更」を参照してください。

[ツール] の [ネットワーク] 領域まで下にスクロールし、 [仮想マシン] を選択します。
[インベントリ] タブを選択し、VM を選択して、 [設定] を選択します。
[設定] ページで [ネットワーク] を選択します。
[ ネットワークセキュリティタグ ] セクションで、[ ネットワークセキュリティタグの追加] を選択し、前に作成したネットワークセキュリティタグを [ネットワークセキュリティタグの作成] で選択します。
[ ネットワーク設定の保存] を選択します。

ネットワークセキュリティグループの作成

Windows Admin Centerホーム画面の [すべての接続] で、ネットワークセキュリティグループを作成するクラスターを選択します。
[ ツール] で[ ネットワーク ] 領域まで下にスクロールし、[ ネットワークセキュリティグループ] を選択します。
[ ネットワークセキュリティグループ] で、[ インベントリ ] タブを選択し、[ 新規] を選択します。
[ ネットワークセキュリティグループ ] ウィンドウで、ネットワークセキュリティグループの名前を入力し、[送信] を選択 します。
[ ネットワークセキュリティグループ] で、新しいネットワークセキュリティグループの [プロビジョニング状態 ] に [成功] と表示されていることを確認します。

ネットワークセキュリティグループ規則を作成する

ネットワークセキュリティグループを作成したら、ネットワークセキュリティグループの規則を作成する準備ができました。受信トラフィックと送信トラフィックの両方にネットワークセキュリティグループ規則を適用する場合は、2 つの規則を作成する必要があります。

Windows Admin Centerホーム画面の [すべての接続] で、ネットワークセキュリティグループを作成するクラスターを選択します。
[ ツール] で[ ネットワーク ] 領域まで下にスクロールし、[ ネットワークセキュリティグループ] を選択します。
[ ネットワークセキュリティグループ] で、[ インベントリ ] タブを選択し、前に作成したネットワークセキュリティグループを [ ネットワークセキュリティグループの作成] で選択します。
[ ネットワークセキュリティ規則] で、[新規] を選択 します。

右側の [ ネットワークセキュリティ規則 ] ウィンドウで、次の情報を指定します。

フィールド	説明
名前	ルールの名前。
優先順位	ルールの優先度。使用できる値は 101 ~ 65000 です。値が小さいほど、優先度が高くなります。
型	ルールの種類。 [ 受信] または [ 送信] を指定できます。
プロトコル	受信パケットまたは送信パケットのいずれかと一致するプロトコル。指定できる値は、 [すべて] 、 [TCP] 、 [UDP] です。
ソース	[ ネットワークセキュリティタグ] を選択します。メモ：アドレスプレフィックスまたはネットワークセキュリティタグを選択できますが、両方を選択することはできません。
ソースセキュリティタグの種類	(省略可能)タグの種類を選択します。
ソースセキュリティタグ	[ネットワークセキュリティタグの作成] で、前に作成したネットワークセキュリティタグを選択します。
送信元ポート範囲	受信パケットまたは送信パケットに一致する送信元ポート範囲を指定します。を入力 `*` して、すべてのソースポートを指定できます。
宛先	[ ネットワークセキュリティタグ] を選択します。メモ：アドレスプレフィックスまたはネットワークセキュリティタグを選択できますが、両方を選択することはできません。ソースと宛先は異なる場合があります。
宛先セキュリティタグの種類	(省略可能)タグの種類を選択します。
宛先セキュリティタグ	[ネットワークセキュリティタグの作成] で、前に作成したネットワークセキュリティタグを選択します。
宛先ポート範囲	着信パケットまたは送信パケットに一致する宛先ポート範囲を指定します。を入力 `*` して、すべての宛先ポートを指定できます。
アクション	上記の条件が一致する場合は、パケットを許可またはブロックするようにを指定します。指定できる値は、 [許可] と [拒否] です。
Logging	ルールのログ記録を有効または無効にするかを指定します。ログ記録を有効にすると、この規則に一致するすべてのトラフィックがホストコンピューター上でログに記録されます。

[Submit](送信) をクリックします。

ネットワークセキュリティグループを適用する

ネットワークセキュリティグループは、次の場合に適用できます。

ネットワークセキュリティグループをネットワークセキュリティタグに適用する

ネットワークセキュリティグループをネットワークセキュリティタグに適用すると、ネットワークセキュリティグループ規則は、そのネットワークセキュリティタグに関連付けられているすべての VM ネットワークインターフェイスに適用されます。

Windows Admin Center経由でネットワークセキュリティタグにネットワークセキュリティグループを適用するには、次の手順に従います。

Windows Admin Centerホーム画面の [すべての接続] で、ネットワークセキュリティグループを適用するクラスターを選択します。
[ ツール] で[ ネットワーク ] 領域まで下にスクロールし、[ ネットワークセキュリティグループ] を選択します。
[ ネットワークセキュリティグループ] で、[ ネットワークセキュリティタグ ] タブを選択します。
編集するネットワークセキュリティタグを選択し、[ 設定] を選択します。
選択したタグの [ ネットワークセキュリティタグの編集 ] ウィンドウで、ネットワークセキュリティタグに適用するネットワークセキュリティグループを選択します。
[送信] を選びます。

次のステップ

関連情報については、以下もご覧ください。

次の方法で共有

Windows Admin Centerでタグを使用してネットワークセキュリティグループを構成する

ネットワークセキュリティタグを使用してセキュリティを簡素化する

ネットワークセキュリティタグベースのネットワークセキュリティグループを作成する

ネットワークセキュリティタグを作成する