AzureのNSGとSSH公開鍵認証でLinux VMを安全に保護する方法｜ネットワークセキュリティグループの設定と実践例

この記事のポイント

・Azure NSGの受信セキュリティ規則でSSHを特定IPに限定できる
・SSH公開鍵認証をAzure CLIで後から追加する手順を実機で確認
・パスワード認証を無効化してブルートフォース攻撃を根本から防ぐ
・NSG規則の優先度（Priority）で複数IP許可・全IP拒否を組み合わせる

# journalctl -u sshd --since "1 hour ago" | grep "Failed password" | wc -l
2347

# journalctl -u sshd --since "1 hour ago" | grep "Failed password" | awk '{print $11}' | sort | uniq -c | sort -rn | head -5
 312 198.xx.xx.xx
 287 45.yy.yy.yy
 201 103.zz.zz.zz
  89 185.aa.aa.aa
  67 91.bb.bb.bb

# 実行環境: ローカルPC（Windows WSL2 / macOS / Linux）
ssh-keygen -t ed25519 -C "azure-linuxvm-key" -f ~/.ssh/azure_vm_key

# 出力例
Generating public/private ed25519 key pair.
Enter passphrase (empty for no passphrase): （パスフレーズを入力。空はNG）
Enter same passphrase again:
Your identification has been saved in /home/user/.ssh/azure_vm_key
Your public key has been saved in /home/user/.ssh/azure_vm_key.pub
The key fingerprint is:
SHA256:xXxXxXxXxXxXxXxXxXxXxXxXxXxXxXxXxXxXxXxX azure-linuxvm-key

# 実行環境: Azure Cloud Shell または az CLI が使えるローカル環境
# RHEL 9.4 / Ubuntu 24.04 LTS の Azure VMで動作確認済み

# 変数を設定
RG="myResourceGroup"
VM_NAME="myLinuxVM"
USERNAME="azureuser"
PUBKEY_PATH="~/.ssh/azure_vm_key.pub"

# 公開鍵を既存VMに追加
az vm user update   --resource-group "$RG"   --name "$VM_NAME"   --username "$USERNAME"   --ssh-key-value "$(cat $PUBKEY_PATH)"

# 出力例（成功時）
{
  "homeDirectory": "",
  "password": null,
  "sshAuthorizedKeys": [
    "ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIB... azure-linuxvm-key"
  ],
  "username": "azureuser"
}

# 公開鍵認証でVMにログイン（変更前に必ず成功を確認すること）
ssh -i ~/.ssh/azure_vm_key azureuser@xx.xx.xx.xx

# 以下はVM内での作業
# PasswordAuthentication を no に変更
sudo sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config

# 設定確認
grep "PasswordAuthentication" /etc/ssh/sshd_config
# 出力例
PasswordAuthentication no

# SSHデーモンを再起動
sudo systemctl restart sshd

# 再起動後もサービスが正常か確認
sudo systemctl status sshd | grep "Active:"
# 出力例
     Active: active (running) since Sat 2026-06-27 10:15:33 UTC; 3s ago

# VMに紐付いたNSG名を確認
az network nic show   --resource-group "$RG"   --name "${VM_NAME}VMNic"   --query "networkSecurityGroup.id"   --output tsv
# 出力例
/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/myLinuxVMNSG

NSG_NAME="myLinuxVMNSG"

# 現在の受信セキュリティ規則を一覧表示
az network nsg rule list   --resource-group "$RG"   --nsg-name "$NSG_NAME"   --output table

# 出力例（デフォルト状態）
Name                     ResourceGroup    Priority    SourceAddressPrefixes    SourcePortRanges    DestinationAddressPrefixes    DestinationPortRanges    Protocol    Access    Direction
-----------------------  ---------------  ----------  -----------------------  ------------------  ----------------------------  -----------------------  ----------  --------  -----------
SSH                      myResourceGroup  1000        *                        *                   *                             22                       TCP         Allow     Inbound

# 自分のグローバルIPアドレスを確認（ローカルPCから実行）
curl -s https://ifconfig.me
# 出力例
203.0.113.45

MY_IP="203.0.113.45"

# 許可規則を追加（優先度100 = 最優先で評価）
az network nsg rule create   --resource-group "$RG"   --nsg-name "$NSG_NAME"   --name "Allow-SSH-MyIP"   --priority 100   --protocol Tcp   --direction Inbound   --source-address-prefixes "$MY_IP"   --source-port-ranges "*"   --destination-address-prefixes "*"   --destination-port-ranges 22   --access Allow

# 出力例（成功時）
{
  "access": "Allow",
  "destinationPortRange": "22",
  "name": "Allow-SSH-MyIP",
  "priority": 100,
  "protocol": "Tcp",
  "sourceAddressPrefix": "203.0.113.45",
  ...
}

# 全IPからのSSHを拒否（優先度200 = Allow-SSH-MyIPの後に評価）
az network nsg rule create   --resource-group "$RG"   --nsg-name "$NSG_NAME"   --name "Deny-SSH-All"   --priority 200   --protocol Tcp   --direction Inbound   --source-address-prefixes "*"   --source-port-ranges "*"   --destination-address-prefixes "*"   --destination-port-ranges 22   --access Deny

# 設定後の規則を確認
az network nsg rule list   --resource-group "$RG"   --nsg-name "$NSG_NAME"   --output table

# 出力例（設定後）
Name                     Priority    SourceAddressPrefixes    DestinationPortRanges    Access
-----------------------  ----------  -----------------------  -----------------------  --------
Allow-SSH-MyIP           100         203.0.113.45             22                       Allow
Deny-SSH-All             200         *                        22                       Deny
SSH                      1000        *                        22                       Allow

# 許可されたIPからのSSH接続確認（成功するはず）
ssh -i ~/.ssh/azure_vm_key -o ConnectTimeout=10 azureuser@xx.xx.xx.xx
# 出力例
Welcome to Ubuntu 24.04.2 LTS (GNU/Linux 6.8.0-1021-azure x86_64)
Last login: Sat Jun 27 10:15:33 2026 from 203.0.113.45

# 別のIPからの接続を試みる場合（Azure Cloud Shellからテスト）
# Cloud Shellは異なるIPのため拒否される
ssh -o ConnectTimeout=10 azureuser@xx.xx.xx.xx
# 出力例（NSGに拒否された場合）
ssh: connect to host xx.xx.xx.xx port 22: Connection timed out

# 203.0.113.45 から vm の 22番ポートへのインバウンド通信可否を確認
az network watcher test-ip-flow   --vm "$VM_NAME"   --resource-group "$RG"   --direction Inbound   --protocol TCP   --local xx.xx.xx.xx:22   --remote 203.0.113.45:*

# 出力例（許可されている場合）
{
  "access": "Allow",
  "ruleName": "Allow-SSH-MyIP"
}

# 出力例（拒否されている場合）
{
  "access": "Deny",
  "ruleName": "Deny-SSH-All"
}

# 複数のIPアドレスを1つの規則で許可（スペース区切り）
az network nsg rule update   --resource-group "$RG"   --nsg-name "$NSG_NAME"   --name "Allow-SSH-MyIP"   --source-address-prefixes "203.0.113.45" "198.51.100.20"

# サブネット全体を許可する場合（例: 社内ネットワーク 10.0.0.0/24）
az network nsg rule update   --resource-group "$RG"   --nsg-name "$NSG_NAME"   --name "Allow-SSH-MyIP"   --source-address-prefixes "203.0.113.45" "10.0.0.0/24"

# サブネットに紐付いたNSGを確認
az network vnet subnet show   --resource-group "$RG"   --vnet-name "myVNet"   --name "mySubnet"   --query "networkSecurityGroup.id"   --output tsv
# 出力例（NSGなし）
None
# 出力例（NSGあり）
/subscriptions/xxx.../networkSecurityGroups/mySubnetNSG

# VMAccessを使ってSSH公開鍵をリセット（ロックアウト時の復旧手順）
az vm user reset-ssh   --resource-group "$RG"   --name "$VM_NAME"

# または新しい公開鍵を強制上書き
az vm user update   --resource-group "$RG"   --name "$VM_NAME"   --username "$USERNAME"   --ssh-key-value "$(cat ~/.ssh/new_key.pub)"