# VPC のネットワーク ACL を作成する
次のタスクは、ネットワーク ACL を作成し、ルールをネットワーク ACL に追加してから、ネットワーク ACL をサブネットに関連付ける方法を示します。
**Topics**
+ [ステップ 1: ネットワーク ACL を作成する](#CreateACL)
+ [ステップ 2: ルールを追加する](#Rules)
+ [ステップ 3: サブネットをネットワーク ACL に関連付ける](#NetworkACL)
+ [(オプション) Firewall Manager を使用してネットワーク ACL を管理する](#nacls-using-firewall-manager)
## ステップ 1: ネットワーク ACL を作成する
VPC のカスタムネットワーク ACL を作成できます。カスタムネットワーク ACL の初期ルールは、すべてのインバウンドトラフィックとアウトバウンドトラフィックをブロックします。新しいカスタムネットワーク ACL は、デフォルトではサブネットに関連付けられていないため、明示的にサブネットに関連付ける必要があります。
**コンソールを使用してネットワーク ACL を作成するには**
1. Amazon VPC コンソールの [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/) を開いてください。
1. ナビゲーションペインの [**Network ACLs**] を選択します。
1. **[ネットワーク ACL の作成]** を選択します。
1. (オプション) **[名前]** に、ネットワーク ACL の名前を入力します。
1. **[VPC]** で、VPC を選択します。
1. (オプション) **[タグ]** で、**[タグの追加]** を選択して、タグのキーと値を指定します。
1. **[ネットワーク ACL の作成]** を選択します。
**コマンドラインを使用してネットワーク ACL を作成するには**
+ [create-network-acl](https://docs.aws.amazon.com/cli/latest/reference/ec2/create-network-acl.html)（AWS CLI）
+ [New-EC2NetworkAcl](https://docs.aws.amazon.com/powershell/latest/reference/items/New-EC2NetworkAcl.html)（AWS Tools for Windows PowerShell）
## ステップ 2: ルールを追加する
インバウンドトラフィックまたはアウトバウンドトラフィックを許可または拒否するルールを追加できます。
最も小さい番号のルールから順にルールを処理します。ルール番号は、連続番号 (101、102、103 など) を使用せずに、間を空けておくことをお勧めします (100、200、300 など)。こうすることで、既存のルールに番号を振り直さなくても、新しいルールを簡単に追加できるようになります。
Amazon EC2 API またはコマンドラインツールを使用している場合は、ルールを変更できません。ルールの追加と削除のみを行うことができます。Amazon VPC コンソールを使用している場合は、既存のルールのエントリを変更できます。コンソールは既存のルールを削除し、新しいルールを追加します。ACL のルールの順序を変更する必要がある場合は、新しいルール番号を指定した新しいルールを追加してから、元のルールを削除します。
**コンソールを使用してネットワーク ACL にルールを追加するには**
1. Amazon VPC コンソールの [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/) を開いてください。
1. ナビゲーションペインの [**Network ACLs**] を選択します。
1. ネットワーク ACL を選択します。
1. インバウンドルールを追加するには、次の手順を実行します。
1. **[Inbound rules]** (インバウンドルール) タブを開きます。
1. **[インバウンドのルールの編集]** ページで、**[新しいルールの追加** を選択します。
1. まだ使用されていないルール番号、タイプ、プロトコル、ポート範囲、ソース、トラフィックを許可または拒否するかどうかを入力します。一部のタイプでは、プロトコルとポートが自動的に入力されます。ポート範囲の入力を求められた場合は、ポート番号またはポート範囲 (49152-65535 など) を入力します。
リストにないプロトコルを使用するには、タイプの **[カスタムプロトコル]** をクリックし、プロトコルを選択します。詳細については、「[IANA プロトコル番号](http://www.iana.org/assignments/protocol-numbers/protocol-numbers.xhtml)」を参照してください。
1. **[Save changes]** (変更の保存) をクリックします。
1. アウトバウンドルールを追加するには、次の手順を実行します。
1. **[Outbound rules]** (アウトバウンドルール) タブを選択します。
1. **[アウトバウンドのルールの編集]**、**[ルールの追加]** の順に選択します。
1. まだ使用されていないルール番号、タイプ、プロトコル、ポート範囲、ソース、トラフィックを許可または拒否するかどうかを入力します。一部のタイプでは、プロトコルとポートが自動的に入力されます。ポート範囲の入力を求められた場合は、ポート番号またはポート範囲 (49152-65535 など) を入力します。
リストにないプロトコルを使用するには、タイプの **[カスタムプロトコル]** をクリックし、プロトコルを選択します。詳細については、「[IANA プロトコル番号](http://www.iana.org/assignments/protocol-numbers/protocol-numbers.xhtml)」を参照してください。
1. **[Save changes]** (変更の保存) をクリックします。
**コマンドラインを使用してネットワーク ACL にルールを追加するには**
+ [create-network-acl-entry](https://docs.aws.amazon.com/cli/latest/reference/ec2/create-network-acl-entry.html)（AWS CLI）
+ [New-EC2NetworkAclEntry](https://docs.aws.amazon.com/powershell/latest/reference/items/New-EC2NetworkAclEntry.html)（AWS Tools for Windows PowerShell）
**コマンドラインを使用してネットワーク ACL のルールを置き換えるには**
+ [replace-network-acl-entry](https://docs.aws.amazon.com/cli/latest/reference/ec2/replace-network-acl-entry.html)（AWS CLI）
+ [Set-EC2NetworkAclEntry](https://docs.aws.amazon.com/powershell/latest/reference/items/Set-EC2NetworkAclEntry.html)（AWS Tools for Windows PowerShell）
**コマンドラインを使用してネットワーク ACL からルールを削除するには**
+ [delete-network-acl-entry](https://docs.aws.amazon.com/cli/latest/reference/ec2/delete-network-acl-entry.html)（AWS CLI）
+ [Remove-EC2NetworkAclEntry](https://docs.aws.amazon.com/powershell/latest/reference/items/Remove-EC2NetworkAclEntry.html)（AWS Tools for Windows PowerShell）
## ステップ 3: サブネットをネットワーク ACL に関連付ける
ネットワーク ACL のルールを特定のサブネットに適用するには、サブネットをネットワーク ACL と関連付ける必要があります。ネットワーク ACL を複数のサブネットに関連付けることができます。ただし、サブネットに関連付けることができるネットワーク ACL は 1 つだけです。特定の ACL に関連付けられていないサブネットは、デフォルトでデフォルトのネットワーク ACL と関連付けられます。
**サブネットをネットワーク ACL と関連付けるには**
1. Amazon VPC コンソール ([https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/)) を開きます。
1. ナビゲーションペインで [**Network ACLs**] を選択してから、ネットワーク ACL を選択します。
1. 詳細ペインの [**Subnet Associations**] タブで、[**Edit**] を選択します。ネットワーク ACL に関連付けるサブネットの [**Associate**] チェックボックスをオンにしてから、[**Save**] を選択します。
## (オプション) Firewall Manager を使用してネットワーク ACL を管理する
AWS Firewall Manager は、複数のアカウントおよび複数のサブネット間でネットワーク ACL の管理およびメンテナンスタスクを簡略化します。Firewall Manager を使用して、組織内のアカウントとサブネットをモニタリングし、定義したネットワーク ACL の設定を自動的に適用できます。Firewall Manager は、組織全体を保護する場合や、中央管理者アカウントで自動的に保護する新しいサブネットを頻繁に追加する場合に特に便利です。
Firewall Manager のネットワーク ACL ポリシーでは、単一の管理者アカウントを使用して、組織全体で使用するネットワーク ACL で定義する最小ルールセットを設定、モニタリング、および管理できます。組織内のどのアカウントとサブネットが Firewall Manager ポリシーの範囲内にあるかを指定します。Firewall Manager は、対象範囲内のサブネットのネットワーク ACL のコンプライアンスステータスを報告します。また、Firewall Manager を設定して、コンプライアンス違反のネットワーク ACL の修復を自動化することもできます。
詳細については、「*AWS Firewall Manager デベロッパーガイド*」で以下のリソースを参照してください。
+ [AWS Firewall Manager の前提条件](https://docs.aws.amazon.com/waf/latest/developerguide/fms-prereq.html)
+ [AWS Firewall Manager ネットワーク ACL ポリシーのセットアップ](https://docs.aws.amazon.com/waf/latest/developerguide/getting-started-fms-network-acl.html)
+ [Firewall Manager でネットワーク ACL ポリシーを使用する](https://docs.aws.amazon.com/waf/latest/developerguide/network-acl-policies.html)