Azure Firewallの料金を円で試算｜Basic・Standard・Premiumの違いとSKUの選び方

Azure Firewallの料金は、ファイアウォールを置いている時間に払う「デプロイ料金」と、通過したデータ量に払う「データ処理料金」の合計です。東日本リージョンの円建て参考価格では、通信がゼロでも月に約4.5万円（Basic）、約14.4万円（Standard）、約20.1万円（Premium）かかります。この記事では、2026年10月18日にAzure Retail Prices APIから取得した単価で月額を試算し、3つのSKUの機能差、停止やSKU変更の制約、NSGとの違いまでをMicrosoft Learnの記述に沿って整理します。

まとめ：月額の目安とSKU選びの結論

• 米ドル建てでは Basic 0.395ドル/時＋0.065ドル/GB、Standard 1.25ドル/時＋0.016ドル/GB、Premium 1.75ドル/時＋0.016ドル/GB。東日本と米国東部は同じ単価です。
• Basicはデータ処理単価がStandardの約4倍で、月12.7TB（平均約39Mbps）を超えるとStandardより高くなります。
• BasicからStandardへのSKU変更はできません。伸びる見込みがあるならStandardで始めます。
• 検証環境はPowerShellで停止（割り当て解除）すればAzure Firewall本体の課金が止まります。ただし、保持する静的パブリックIPなどの関連リソースは別途課金されます。「削除しないと止まらない」は誤りです。
• NSGとAzure Firewallは守備範囲が違います。外向き通信のFQDNによる集中制御が必要なら、NSGでサブネット単位の通信を制限し、Azure Firewallを併用します。IP・ポート単位の制御で要件を満たす環境では、NSGを中心とする構成も選択肢です。

Basic・Standard・Premiumの機能の違い

機能は下位SKUを上位が含む積み上げ式です。差が出るのは「脅威インテリジェンスで遮断できるか」「DNSプロキシとWebカテゴリを使えるか」「TLSを復号して中身まで検査するか」の3段階です。以下はAzure Firewall features by SKU（2026年10月14日更新）の比較表から、選定に効く行を抜き出したものです。

SKU別の機能比較表

可用性ゾーン、組み込みの高可用性、Firewall Managerでの集中管理、ログのSIEM連携、PCI・SOC・ISOの認証は全SKU共通です。2026年7月までの資料には「Basicは強制トンネリング非対応」と書かれたものがありますが、現在のLearnの比較表とFAQ（「Azure Firewall Basic supports forced tunneling」）では対応です。

Basicの制約：管理NIC必須と固定の2インスタンス

Basicは料金だけでなく構成も違います。Basicのデプロイ手順では管理NICが必須とされ、データ用の AzureFirewallSubnet とは別に AzureFirewallManagementSubnet（最小 /26）と管理用パブリックIPを用意します。Standard IPv4の静的パブリックIPは東日本で0.7877円/時（月約575円）なので、Basicはデータ用と管理用の2本ぶん、月約1,150円が上乗せになります。

スケールの仕組みも別物です。概要ページはBasicを「2台のバックエンドインスタンスによる固定のスケールユニット」と説明し、性能ページには「Azure Firewall Basic doesn’t autoscale」とあります。250Mbpsは目安ではなく天井です。DNSプロキシが無いので、ネットワークルールでFQDNを使うこともできません。

StandardとPremiumの差：TLSインスペクションとIDPS

Premiumだけの機能は、送信方向と東西方向の通信を復号して再暗号化するTLSインスペクションと、シグネチャベースのIDPSです。IDPSは50超のカテゴリに67,000超のルールを持ち、毎日20〜40件以上が追加され、最大10,000件までルールのモードを変更できます。Webカテゴリは、Standardは www.google.com までを見て「検索エンジン」のカテゴリと判定し、Premiumは www.google.com/news のURL全体を見て「ニュース」のカテゴリと判定します。ただし、HTTPSのパスを検査するにはTLSインスペクションの有効化と証明書の構成が必要です。受信方向のTLS終端はAzure Firewallの役目ではなく、Azure Application Gatewayと組み合わせて実現します。

単一フローの上限とIDPS有効時の性能

最大スループットだけでSKUを選ぶと、大容量の単一転送でつまずきます。Azure Firewallの性能ページに掲載された測定値は次のとおりです。全体スループットの値は最大20インスタンスを前提とし、プリスケーリングで最大50インスタンスを使う場合には同じ値を適用できません。

スケールアウトはスループットかCPUが60%、接続数が80%に達すると始まり、完了まで5〜7分かかります。単一フローの値は機能表のFat flow（1/10Gbps）と性能ページ（1.5/9Gbps）で数字が揃っていないため、バックアップ転送のような太い1本の通信がある場合は、事前に負荷試験で確かめてください。

Azure Firewallの料金体系

公式の料金ページのFAQによると、デプロイ料金は「スケールに関係なく、ファイアウォールの展開ごとに固定の時間料金」で、1時間に満たない時間は1時間として課金されます。下層のVMについて「コンピューティングの料金は一切課されません」と明記されているので、自動スケールでインスタンスが増えても既定ではデプロイ料金は変わりません。別途、パブリックIPとログの保存先（Log Analyticsなど）の料金がかかります。ハブ＆スポーク構成では、本文後半で説明するVNetピアリング料金も含めて見積もります。

東日本リージョンの月額試算（通信量別）

月730時間、1TB＝1,000GBで計算し、パブリックIPとログの料金は含めていません。単価はRetail Prices APIの currencyCode='JPY' の値で、APIの円建て価格は為替で毎月変わる参考価格です（米ドル建てが小売価格）。

月1TB程度ならStandardとPremiumの差は月約5.8万円で、ほぼデプロイ料金の差です。データ処理単価が同じなので、処理量が増えてもこの差は縮みません。

Basicが割高になる分岐点：月12.7TB＝平均約39Mbps

BasicとStandardの月額が並ぶのは、(196.9375−62.2322)×730 ÷ (10.2407−2.5208) で約12,738GB、つまり月12.7TBです。米ドル建てで計算しても12,738GBで一致します。これを30日あまりの平均帯域に直すと約39Mbpsで、Basicの上限250Mbpsのわずか15%ほどです。

平均39Mbpsを超える通信が流れる環境では、Basicの性能が足りていてもStandardの方が安くなります。Basicを選んでよいのは、平均が数Mbps〜十数Mbpsに収まる小規模拠点や検証環境です。ピーク時に250Mbpsへ張り付くような環境は、料金より先に性能の天井にぶつかります。

プリスケーリングのCapacity Unit料金

2025年11月1日から、Retail Prices APIに「Capacity Unit」のメーターが加わりました（Standard 0.07ドル、Premium 0.11ドル/時。東日本の円建てで11.0285円、17.3305円/時）。これはインスタンス数の下限と上限を事前に設定するプリスケーリングを有効にしたときだけ、通常の料金に加算されます。課金対象は既定で動く2台を除いた台数で、10台を確保すれば8台分です。Basicには設定がありません。

たとえばStandardで最小値と最大値をともに4台に設定し、月730時間維持すると、既定の2台を除いた2台分として月約16,102円が上乗せになります。セール期間や移行作業のように、5〜7分のスケールアウト待ちが許されない時間帯だけ設定し、終わったら既定値（null）に戻す使い方が向いています。

料金を抑える運用：停止・集約・SKU変更

検証環境の停止（割り当て解除）による料金削減

Azure Firewallはポータルに停止ボタンがありませんが、Azure FirewallのFAQがPowerShellでの停止と開始の手順を示しており、「billing stops and starts accordingly」と課金が連動して止まることを明記しています。管理NICのある構成（Basicは常にこちら）では次のように実行します。

# 停止（割り当て解除）
$azfw = Get-AzFirewall -Name "fw-basic" -ResourceGroupName "rg-fw"
$azfw.Deallocate()
Set-AzFirewall -AzureFirewall $azfw

# 開始（データ用と管理用のパブリックIPを付け直す）
$azfw = Get-AzFirewall -Name "fw-basic" -ResourceGroupName "rg-fw"
$vnet = Get-AzVirtualNetwork -ResourceGroupName "rg-fw" -Name "vnet-hub"
$pip = Get-AzPublicIpAddress -ResourceGroupName "rg-fw" -Name "pip-fw"
$mgmtPip = Get-AzPublicIpAddress -ResourceGroupName "rg-fw" -Name "pip-fw-mgmt"
$azfw.Allocate($vnet, $pip, $mgmtPip)
Set-AzFirewall -AzureFirewall $azfw

平日8時間×22日（月176時間）だけ動かせば、Standardのデプロイ料金は月約143,764円から約34,661円に下がります。注意点は、開始時にプライベートIPが変わる場合があることです。ルートテーブルの次ホップに固定のIPを書いていると通信が止まるので、開始後に Get-AzFirewall でIPを確認し、ルートを直す手順まで自動化しておきます。停止中はFirewall経由の通信がすべて止まる点も本番では許容できません。

ハブへのFirewall集約とピアリング料金

デプロイ料金は台数に比例するので、スポークの仮想ネットワークごとに置かず、ハブ＆スポーク構成のハブに1台だけ置くのが基本です。FAQも、各仮想ネットワークに置かずに済むことによるコスト削減を挙げる一方で、「ピアリングの料金と比べて評価すべき」と注意しています。スポーク間の通信がFirewallを経由すると、ピアリング料金とデータ処理料金の両方がかかるからです。

SKU変更の制約：BasicからStandardは不可、Premiumは停止・開始が必要

SKU変更の手順（2026年8月27日更新）によると、変更できる方向は限られています。

無停止のChange SKUは、ファイアウォールポリシーを使っていること（クラシックルールは不可）と、インスタンスが4台以下であることが条件です。Azure CLIの az network firewall update には --tier の引数が無く、azure-firewall拡張2.4.0で試すと「unrecognized arguments」で失敗しました。SKUの変更はポータル、PowerShell、Terraformのいずれかで行います。

Azure FirewallとNSG・Application Gateway WAFの違い

FAQはNSGとの関係を「Azure Firewall complements NSGs」と書き、置き換えではなく多層防御の組み合わせと位置づけています。

NSGにはRetail Prices APIに専用の課金メーターが無く、課金されるのはNetwork Watcherの「VNet Flow Logs Collected」などログ側です。WAFとの違いについてFAQは、Application Gateway WAFがWebアプリへの受信を守り、Azure FirewallはRDP・SSH・FTPなど非HTTPの受信と、全ポートの送信制御、送信HTTPSのアプリケーション制御を担うと整理しています。Webアプリの保護が主目的なら、FirewallよりApplication GatewayのWAFか、グローバル配信ならAzure Front DoorのWAFを先に検討します。

オンプレミスのファイアウォール機器やMarketplaceの仮想アプライアンス（NVA）と比べると、費用の形が違います。機器は購入費と保守契約、NVAはVM料金とライセンスが主な費用です。NVAの冗長化では複数台を配置し、製品が対応する方式に応じてロードバランサー、Azure Route Server、経路切り替えなどを組み合わせます。Azure Firewallは冗長化込みの時間課金です。ファイアウォールの種類と選び方の全体像はファイアウォールの仕組みと種類の解説にまとめています。

SLAとゾーン冗長

可用性ゾーンのドキュメントでは、2つ以上のゾーンにまたがるゾーン冗長構成のSLAは99.99%、ゾーンに対応していないリージョンでのリージョン構成は99.95%です。月30日を基準に稼働率から単純換算すると、停止時間はそれぞれ約4.32分と約21.6分に相当します。これは実際の停止時間の上限を保証する意味ではありません。

現在は新規作成時にゾーンを指定しない方式が推奨されており、対応リージョンでは既定でゾーン冗長になります。2026年10月9日時点の対応リストに東日本（japaneast）は入っていますが、西日本（japanwest）は入っていません。既存のファイアウォールも自動で移行され、再デプロイは不要です。ただし移行後もARMの zones プロパティは空や単一ゾーンのまま表示されることがあり、FAQはこの表示だけで冗長性を判断しないよう注意しています。ゾーン冗長にしても追加料金はかかりません。

Azure CLIによるBasicの作成手順

Basicは管理用のIP構成を同時に指定しないと作れません。以下はBash用の例で、Azureへのログインと対象サブスクリプションの選択を済ませ、東日本にリソースグループ rg-fw と仮想ネットワーク vnet-hub を作成済みであることを前提とします。VNetのアドレス空間には10.0.1.0/26と10.0.2.0/26を含め、両範囲を未使用にしておきます。次のコマンドは、azure-cli 2.91.0とazure-firewall拡張2.4.0で引数がすべて受け付けられることを確認したものです（ログイン前のため、実行は「az login」の要求で止まる段階まで）。az network firewall は拡張機能で、CLIの設定によっては初回実行時に自動インストールされます。明示的に導入する場合は az extension add --name azure-firewall を実行します。CLIを手元に入れない場合はAzure Cloud Shellから実行できます。

# サブネット（どちらも /26）
az network vnet subnet create -g rg-fw --vnet-name vnet-hub \
  -n AzureFirewallSubnet --address-prefixes 10.0.1.0/26
az network vnet subnet create -g rg-fw --vnet-name vnet-hub \
  -n AzureFirewallManagementSubnet --address-prefixes 10.0.2.0/26

# データ用と管理用のパブリックIP（Standard SKU）
az network public-ip create -g rg-fw -n pip-fw --sku Standard
az network public-ip create -g rg-fw -n pip-fw-mgmt --sku Standard

# Basicの作成（ゾーンは指定しない）
az network firewall create -g rg-fw -n fw-basic -l japaneast \
  --sku AZFW_VNet --tier Basic \
  --vnet-name vnet-hub --conf-name fw-ipconfig --public-ip pip-fw \
  --m-conf-name fw-mgmt-ipconfig --m-public-ip pip-fw-mgmt \
  --threat-intel-mode Alert

--tier は --sku を指定したときだけ有効で、既定値はStandardです。Basicの脅威インテリジェンスはアラートのみなので、--threat-intel-mode はAlertにします。作成後は、必要な通信を許可するアプリケーションルールまたはネットワークルールと、ログ出力先の診断設定を構成します。Azure Firewallは既定で通信を拒否するため、許可ルールを用意してからワークロードのサブネットに既定ルート（0.0.0.0/0、次ホップはFirewallのプライベートIP）を設定し、ログで通信が審査されていることを確かめます。IaCで管理するならTerraformでAzureを構築する手順の sku_tier を使います。

SKUを選ぶ判断基準と避けたい選び方

• Basic：平均帯域が数十Mbps未満で、今後も増えない小規模環境。外向き通信をFQDNで許可するだけで足り、脅威インテリジェンスによる遮断が要らない場合に限ります。
• Standard：本番の既定です。悪性IP/ドメインの遮断、DNSプロキシ、ネットワークルールでのFQDN指定、Webカテゴリが使えます。
• Premium：監査でTLSインスペクションやIDPSを求められる環境。PCI DSSの対象となる決済環境が典型です。

避けたいのは次の3つです。1つ目は、将来の拡張が見えているのにBasicで始めることです。BasicからStandardへは変更できないため、作り直しになります。2つ目は、TLSインスペクションを運用する体制が無いままPremiumを選ぶことです。証明書の配布と復号の除外設計を誤ると正常な通信まで壊れ、使わない機能に月約5.8万円を払い続けます。Standard⇔Premiumは無停止で切り替えられるので、Standardで始めて要件が固まってから上げれば十分です。3つ目は、検証環境を24時間動かし続けることです。構成設計から運用までの支援はインフラ構築（AWS・Google Cloud・Azure）で承っています。

よくある質問

Azure Firewallの料金はいくらですか？

東日本リージョンの円建て参考価格で、デプロイ料金がBasic 62.2322円/時、Standard 196.9375円/時、Premium 275.7125円/時です。これに処理量1GBあたりBasic 10.2407円、Standard/Premium 2.5208円が加わります。通信がゼロでも月約4.5万円、約14.4万円、約20.1万円かかります。

Azure Firewallは停止して課金を止められますか？

できます。ポータルに停止ボタンはありませんが、PowerShellの Deallocate() で停止すると課金も止まり、Allocate() で再開します。再開時にプライベートIPが変わることがあるので、ルートテーブルの確認が必要です。

Azure Firewall BasicからStandardへ変更できますか？

できません。Basicから上げられるのはPremiumだけで、それも停止と開始の手順の中に限られます。StandardとPremiumの間はChange SKUで無停止に切り替えられます。

Azure FirewallとNSGの違いは何ですか？

NSGはサブネットやNICの単位でIP・ポート・プロトコルを許可/拒否する分散型のフィルタで、本体に課金はありません。Azure Firewallは複数のVNetをまたいでFQDNや脅威インテリジェンスで集中制御する有料のサービスです。Microsoftは両者を補完関係と位置づけています。

Azure FirewallのSLAはいくつですか？

2つ以上の可用性ゾーンにまたがるゾーン冗長構成で99.99%、ゾーン非対応リージョンでは99.95%です。東日本では新規作成時にゾーンを指定しなければ既定でゾーン冗長になり、追加料金もかかりません。

関連記事

• Azure Application Gatewayとは？L7負荷分散・WAF・料金とv2の構築手順【2026年版】
• Azure Front Doorとは？CDN・グローバル負荷分散・WAFの仕組みとStandard／Premiumの違い・料金・採用判断を実装者目線で解説
• Azure Bastionとは？踏み台サーバーのマネージド代替・4つのSKUと接続方式・料金を実装者目線で解説
• ファイアウォールとは？仕組み・種類とWAF・UTMとの違い、企業の選び方を解説
• TerraformでAzureを構築する手順｜azurerm 5系の認証とbackend設計