AzureのNSGとSSH公開鍵認証でLinux VMを安全に保護する方法｜ネットワークセキュリティグループの設定と実践例

この記事のポイント

・Azure NSGの受信セキュリティ規則でSSHを特定IPに限定できる
・SSH公開鍵認証をAzure CLIで後から追加する手順を実機で確認
・パスワード認証を無効化してブルートフォース攻撃を根本から防ぐ
・NSG規則の優先度（Priority）で複数IP許可・全IP拒否を組み合わせる

# journalctl -u sshd --since "1 hour ago" | grep "Failed password" | wc -l
2347

# journalctl -u sshd --since "1 hour ago" | grep "Failed password" | awk '{print $11}' | sort | uniq -c | sort -rn | head -5
 312 198.xx.xx.xx
 287 45.yy.yy.yy
 201 103.zz.zz.zz
  89 185.aa.aa.aa
  67 91.bb.bb.bb

# 実行環境: ローカルPC（Windows WSL2 / macOS / Linux）
ssh-keygen -t ed25519 -C "azure-linuxvm-key" -f ~/.ssh/azure_vm_key

# 出力例
Generating public/private ed25519 key pair.
Enter passphrase (empty for no passphrase): （パスフレーズを入力。空はNG）
Enter same passphrase again:
Your identification has been saved in /home/user/.ssh/azure_vm_key
Your public key has been saved in /home/user/.ssh/azure_vm_key.pub
The key fingerprint is:
SHA256:xXxXxXxXxXxXxXxXxXxXxXxXxXxXxXxXxXxXxXxX azure-linuxvm-key

# 実行環境: Azure Cloud Shell または az CLI が使えるローカル環境
# RHEL 9.4 / Ubuntu 24.04 LTS の Azure VMで動作確認済み

# 変数を設定
RG="myResourceGroup"
VM_NAME="myLinuxVM"
USERNAME="azureuser"
PUBKEY_PATH="~/.ssh/azure_vm_key.pub"

# 公開鍵を既存VMに追加
az vm user update \
  --resource-group "$RG" \
  --name "$VM_NAME" \
  --username "$USERNAME" \
  --ssh-key-value "$(cat $PUBKEY_PATH)"

# 出力例（成功時）
{
  "homeDirectory": "",
  "password": null,
  "sshAuthorizedKeys": [
    "ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIB... azure-linuxvm-key"
  ],
  "username": "azureuser"
}

# 公開鍵認証でVMにログイン（変更前に必ず成功を確認すること）
ssh -i ~/.ssh/azure_vm_key azureuser@xx.xx.xx.xx

# 以下はVM内での作業
# PasswordAuthentication を no に変更
sudo sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config

# 設定確認
grep "PasswordAuthentication" /etc/ssh/sshd_config
# 出力例
PasswordAuthentication no

# SSHデーモンを再起動
sudo systemctl restart sshd

# 再起動後もサービスが正常か確認
sudo systemctl status sshd | grep "Active:"
# 出力例
     Active: active (running) since Sat 2026-06-27 10:15:33 UTC; 3s ago

# VMに紐付いたNSG名を確認
az network nic show \
  --resource-group "$RG" \
  --name "${VM_NAME}VMNic" \
  --query "networkSecurityGroup.id" \
  --output tsv
# 出力例
/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/myLinuxVMNSG

NSG_NAME="myLinuxVMNSG"

# 現在の受信セキュリティ規則を一覧表示
az network nsg rule list \
  --resource-group "$RG" \
  --nsg-name "$NSG_NAME" \
  --output table

# 出力例（デフォルト状態）
Name                     ResourceGroup    Priority    SourceAddressPrefixes    SourcePortRanges    DestinationAddressPrefixes    DestinationPortRanges    Protocol    Access    Direction
-----------------------  ---------------  ----------  -----------------------  ------------------  ----------------------------  -----------------------  ----------  --------  -----------
SSH                      myResourceGroup  1000        *                        *                   *                             22                       TCP         Allow     Inbound

# 自分のグローバルIPアドレスを確認（ローカルPCから実行）
curl -s https://ifconfig.me
# 出力例
203.0.113.45

MY_IP="203.0.113.45"

# 許可規則を追加（優先度100 = 最優先で評価）
az network nsg rule create \
  --resource-group "$RG" \
  --nsg-name "$NSG_NAME" \
  --name "Allow-SSH-MyIP" \
  --priority 100 \
  --protocol Tcp \
  --direction Inbound \
  --source-address-prefixes "$MY_IP" \
  --source-port-ranges "*" \
  --destination-address-prefixes "*" \
  --destination-port-ranges 22 \
  --access Allow

# 出力例（成功時）
{
  "access": "Allow",
  "destinationPortRange": "22",
  "name": "Allow-SSH-MyIP",
  "priority": 100,
  "protocol": "Tcp",
  "sourceAddressPrefix": "203.0.113.45",
  ...
}

# 全IPからのSSHを拒否（優先度200 = Allow-SSH-MyIPの後に評価）
az network nsg rule create \
  --resource-group "$RG" \
  --nsg-name "$NSG_NAME" \
  --name "Deny-SSH-All" \
  --priority 200 \
  --protocol Tcp \
  --direction Inbound \
  --source-address-prefixes "*" \
  --source-port-ranges "*" \
  --destination-address-prefixes "*" \
  --destination-port-ranges 22 \
  --access Deny

# 設定後の規則を確認
az network nsg rule list \
  --resource-group "$RG" \
  --nsg-name "$NSG_NAME" \
  --output table

# 出力例（設定後）
Name                     Priority    SourceAddressPrefixes    DestinationPortRanges    Access
-----------------------  ----------  -----------------------  -----------------------  --------
Allow-SSH-MyIP           100         203.0.113.45             22                       Allow
Deny-SSH-All             200         *                        22                       Deny
SSH                      1000        *                        22                       Allow

# 許可されたIPからのSSH接続確認（成功するはず）
ssh -i ~/.ssh/azure_vm_key -o ConnectTimeout=10 azureuser@xx.xx.xx.xx
# 出力例
Welcome to Ubuntu 24.04.2 LTS (GNU/Linux 6.8.0-1021-azure x86_64)
Last login: Sat Jun 27 10:15:33 2026 from 203.0.113.45

# 別のIPからの接続を試みる場合（Azure Cloud Shellからテスト）
# Cloud Shellは異なるIPのため拒否される
ssh -o ConnectTimeout=10 azureuser@xx.xx.xx.xx
# 出力例（NSGに拒否された場合）
ssh: connect to host xx.xx.xx.xx port 22: Connection timed out

# 複数のIPアドレスを1つの規則で許可（スペース区切り）
az network nsg rule update \
  --resource-group "$RG" \
  --nsg-name "$NSG_NAME" \
  --name "Allow-SSH-MyIP" \
  --source-address-prefixes "203.0.113.45" "198.51.100.20"

# サブネット全体を許可する場合（例: 社内ネットワーク 10.0.0.0/24）
az network nsg rule update \
  --resource-group "$RG" \
  --nsg-name "$NSG_NAME" \
  --name "Allow-SSH-MyIP" \
  --source-address-prefixes "203.0.113.45" "10.0.0.0/24"

# サブネットに紐付いたNSGを確認
az network vnet subnet show \
  --resource-group "$RG" \
  --vnet-name "myVNet" \
  --name "mySubnet" \
  --query "networkSecurityGroup.id" \
  --output tsv
# 出力例（NSGなし）
None
# 出力例（NSGあり）
/subscriptions/xxx.../networkSecurityGroups/mySubnetNSG

# VMAccessを使ってSSH公開鍵をリセット（ロックアウト時の復旧手順）
az vm user reset-ssh \
  --resource-group "$RG" \
  --name "$VM_NAME"

# または新しい公開鍵を強制上書き
az vm user update \
  --resource-group "$RG" \
  --name "$VM_NAME" \
  --username "$USERNAME" \
  --ssh-key-value "$(cat ~/.ssh/new_key.pub)"