ロリポップ固定IPアクセス byGMOペパボ
AWS・Azure・GCP管理コンソールの不正ログイン対策：固定IPで入口を絞る考え方

AWS・Azure・GCP管理コンソールの不正ログイン対策：固定IPで入口を絞る考え方

基礎知識

はじめに

クラウドサービスの普及により、AWS、Azure、GCPなどの管理コンソールは、企業システムの「最も重要な管理拠点」となっています。 これら管理コンソールへの不正ログインは、組織全体に甚大な被害をもたらすリスクを秘めています。

本記事では、3大クラウドプロバイダ（AWS、Azure、GCP）の管理コンソール保護において、「固定IPアドレスを使ったアクセス制限」がなぜ重要か、そして具体的にどのように実装すべきかを詳しく解説します。

⇒【ロリポップ！固定IPアクセス】 月額490円、すぐに使えて最大2ヶ月間無料！

クラウド管理コンソールが狙われる理由

攻撃者にとって最高価値のターゲット

クラウドインフラストラクチャの管理コンソール（AWS IAM、Azure Active Directory、GCP Cloud Identity）を乗っ取ることは、攻撃者にとって「宝くじ当選」に匹敵します。

なぜなら、以下のことが可能になるためです。

• 企業全体のリソース（仮想マシン、ストレージ、データベース）へのアクセス • リソース削除、改ざん、暗号化（ランサムウェア） • ユーザーの追加・削除、権限変更 • ネットワーク設定の変更（バックドア設置など） • 請求情報の変更（犯人が支払う額を減らす） • ログの削除（痕跡隠滅）

単一のアカウント侵害で、企業全体のデジタルインフラが制御できる状態は、セキュリティの観点から極めて危険です。

実際の被害規模

クラウド管理コンソール侵害事件は、年々増加しており、被害規模は深刻化しています。

事例1：AWS 認証情報流出による高額請求

2023年、ある企業がAWS認証情報をコード内に誤って記述、攻撃者がこの認証情報を使用してEC2インスタンス数千個を起動。 月額数百万円の追加請求が発生し、発見時には既に多くのリソースが起動していました。

事例2：Azure 管理者権限の不正利用

2022年、内部犯人がAzure管理者権限を使用して、組織全体の OneDrive データを外部に流出。 被害規模は数万件のドキュメント、機密情報が含まれていました。

事例3：GCP プロジェクト間の権限昇格

2021年、GCP プロジェクト管理者が権限昇格を通じて、他部門のデータベースにアクセス。 個人情報保護法違反として、組織に対して高額な罰金が課せられました。

⇒【ロリポップ！固定IPアクセス】月額490円、すぐに使えて最大2ヶ月間無料！

クラウド管理コンソール侵害の典型的フロー

不正ログイン→権限昇格→データ盗聴の流れ

クラウド管理コンソール侵害は、以下のようなパターンで発生することが多いです。

  1. フィッシング、パスワード流出、ブルートフォース攻撃によるログイン認証情報の入手
  2. MFAが設定されていない場合、直ちに管理コンソールにログイン
  3. MFAが設定されている場合、サイバー攻撃チームが SIM スワップ攻撃などで MFA を突破
  4. ログイン後、権限昇格を実施（新しい管理ユーザー追加など）
  5. リソースのバックドア化、データベースの外部へのコピー、または機密データの暗号化
  6. ランサムウェア攻撃の場合、身代金を要求

このフローを遮断する最強の防御は、「ネットワークレベルでのアクセス制限」です。 パスワーム認証情報を盗聴されても、「許可されたIPからのアクセス以外は受け付けない」という設定であれば、侵害は発生しません。

3大クラウドプロバイダのIP制限機能比較

AWS IAMの IP制限

AWS では IAM ポリシーを使用して、特定のIPアドレスからのアクセスのみを許可することが可能です。

AWS IP制限の特徴

• IAM ポリシーで細粒度な制御が可能 • 管理者ユーザーごとに異なる IP制限を設定可能 • Source IP + IAM ユーザー + MFA の組み合わせで多層防御 • CloudTrail により詳細なアクセスログが記録される • ルートユーザーはIP制限の対象外（ベストプラクティス上、使用を避けるべき）

AWS IAM ポリシー例

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": [
                        "203.0.113.0/24",
                        "192.0.2.100/32"
                    ]
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "NotIpAddress": {
                    "aws:SourceIp": [
                        "203.0.113.0/24",
                        "192.0.2.100/32"
                    ]
                }
            }
        }
    ]
}

このポリシーを管理者ユーザーに適用すると、許可IP以外からのアクセスがすべてDenyされます。

Azure AD の IP 制限

Azure は「条件付きアクセス」機能で IP制限が可能です。

Azure IP制限の特徴

• 条件付きアクセスにより、IP + デバイス + リスク評価 の多角的な判断が可能 • リアルタイムのリスク検出（不可能な移動、異常な場所からのアクセスなど） • グローバルセキュアアクセス（GSA）との連携で、より強力な制御が可能 • 管理ユーザーごとに異なる条件付きアクセスを設定可能

Azure 条件付きアクセス設定例

Azure AD Admin Center から、以下の手順で条件付きアクセスポリシーを設定します。

  1. セキュリティ > 条件付きアクセス > 新しいポリシーをクリック
  2. ユーザー：「管理者」を選択
  3. クラウドアプリ：「Microsoft Azure Management」を選択
  4. 条件 > 場所：「指定した場所」を選択
  5. 許可する場所を「名前付き場所」として登録（IP範囲）
  6. アクセス制御 > ブロック：「許可IP以外をブロック」
  7. ポリシーを有効化

Azure はAI による脅威検知も統合されており、単なるIP制限以上のセキュリティが実現されます。

GCP Identity and Access Management (IAM) の IP制限

GCP は同様に IAM ポリシーで IP制限が可能です。

GCP IP制限の特徴

• IAM ポリシーに「条件」を追加することで、IP制限が可能 • セキュリティ主要監査ログ（Security Command Center）で監視 • VPC Service Controls との組み合わせで、さらに強力な制御が可能 • Google Cloud Armor を使用した DDoS 防御も統合可能

GCP IAM 条件付きアクセス設定例

resource "google_organization_iam_policy" "admin_ip_restriction" {
  org_id = "123456789"

  binding {
    role = "roles/editor"
    members = [
      "serviceAccount:admin@project-id.iam.gserviceaccount.com"
    ]
    condition {
      expression = "resource.matchTag('env', 'admin') && origin.region_code == 'JP' && api.getAttribute('access_location','JP')"
    }
  }
}

GCP も Terraform による Infrastructure as Code での管理が可能で、設定の再現性が高いです。

固定IPアドレスを使用した統合的なアプローチ

3大クラウドプロバイダの IP許可リスト一元化

複数のクラウドプロバイダを使用している企業では、各プロバイダの許可IP設定を一元管理することが重要です。

推奨されるIP割り当て方針

• 会社オフィス用固定IP：1個（全管理者が利用） • AWS 専任管理者用固定IP：1個 • Azure 専任管理者用固定IP：1個 • GCP 専任管理者用固定IP：1個

このように分けることで、以下のメリットが得られます。

• 各管理者のアクティビティが明確に分離される • 特定のクラウドプロバイダで問題が発生した場合、その管理者のIPのみを対象に調査できる • 監査ログの関連付けが容易になる

VPN×固定IP による運用フロー

  1. 各管理者が固定IP VPN を契約（月額490円～）
  2. 管理者が各自の固定IPを確認
  3. AWS、Azure、GCP の管理コンソール設定で、それぞれの固定IPを許可リストに追加
  4. 管理者はVPN経由でのみ管理コンソールにアクセス
  5. オフィス、自宅、出張先のどこからでも、常に同じIPアドレスでアクセス可能

⇒【ロリポップ！固定IPアクセス】月額490円、すぐに使えて最大2ヶ月間無料！

クラウド管理コンソールの多層防御戦略

レイヤー1：ネットワークレベルの防御（IP制限）

最初の防御層は、ネットワークレベルです。

• 固定IP によるアクセス元制限 • 許可IP以外からのアクセスは、接続段階でブロック • 攻撃者が認証情報を入手しても、許可されたIPからのアクセスがなければ侵入不可

レイヤー2：認証レベルの防御（MFA、SSO）

IP制限を突破された場合に備えて、認証レベルの防御も重要です。

• MFA（多要素認証）：パスワード + スマートフォン認証 • SSO（シングルサインオン）：一元化された認証 • 生体認証：指紋、顔認証など

レイヤー3：アクティビティレベルの監視（監査ログ、アラート）

侵害を想定した早期検知体制も重要です。

• CloudTrail（AWS）、Audit Logs（Azure）、Cloud Audit Logs（GCP）の有効化 • 異常なアクティビティの自動検知 • セキュリティチームへのリアルタイムアラート

レイヤー4：権限レベルの制御（最小権限の原則）

仮に侵害されても、被害を最小限に止めるための権限管理が重要です。

• 管理者ユーザーの権限を最小限に限定 • 日常業務と権限昇格が必要な操作を分離 • 権限昇格時には、より強力な認証（例：セキュリティキー）を要求

実装ステップと優先順位

フェーズ1：基本的な IP制限（実装期間：1～2週間）

最初に実装すべきは、基本的なIP制限です。

  1. 各クラウドプロバイダの現在のアクセスパターンを確認
  2. 会社オフィスの固定IPを確認（既に固定である場合）
  3. AWS、Azure、GCP 管理者ポリシーに会社IPを許可リストとして追加
  4. 管理者にアクセス変更を周知

このフェーズでは、外出中の管理者が一時的にアクセスできなくなる可能性があるため、事前通知が重要です。

フェーズ2：個別管理者用固定IPの確保（実装期間：2～4週間）

外出時の利便性を確保するため、各管理者が固定IPを取得します。

  1. 各管理者がVPN契約（ロリポップ！固定IPアクセスなど）
  2. VPN提供事業者から固定IP割り当てを確認
  3. 管理者ごとの固定IPを AWS、Azure、GCP の許可リストに追加
  4. 管理者が VPN経由でアクセス可能なことを確認

フェーズ3：MFA と多層防御の強化（実装期間：継続的）

IP制限を基盤としつつ、追加の防御層を構築します。

  1. 全管理者にMFAの強制導入
  2. セキュリティキー（FIDO2）の導入検討
  3. 監査ログの定期確認（月1回）
  4. 異常アクティビティの自動アラート設定

クラウド管理者向けセキュリティチェックリスト

以下は、クラウド管理者が月1回実施すべきセキュリティチェックリストです。

AWS IAM チェックリスト

☐ IAM ユーザーが最小限の権限を持っているか確認 ☐ 未使用の IAM ユーザーが削除されているか確認 ☐ MFA が全管理者に有効化されているか確認 ☐ アクセスキーの有効期限が設定されているか確認 ☐ IP 許可リストが最新の管理者のみを含むか確認 ☐ CloudTrail が有効化され、ログが記録されているか確認 ☐ CloudTrail ログの異常なアクティビティがないか確認 ☐ ルートユーザーが使用されていないか確認

Azure AD チェックリスト

☐ グローバル管理者の数が最小限か確認 ☐ 全管理者に MFA が有効化されているか確認 ☐ 条件付きアクセスポリシーが有効化されているか確認 ☐ Azure AD Audit Logs で異常なアクティビティがないか確認 ☐ 過去30日間のサインインログで異常なIPからのアクセスがないか確認 ☐ ライセンスなしユーザーが削除されているか確認

GCP IAM チェックリスト

☐ プロジェクト所有者（Owner）の数が最小限か確認 ☐ 全管理者に MFA が有効化されているか確認 ☐ アクセス権限が最小権限の原則に従っているか確認 ☐ Cloud Audit Logs で異常なアクティビティがないか確認 ☐ Cloud Identity での認証が安全か確認 ☐ 不要なサービスアカウントが削除されているか確認

実装事例

事例1：複数クラウド採用企業のセキュリティ統一化

従業員150名のベンチャー企業が、AWS と Azure の両方を利用していました。 セキュリティポリシーが異なるため、管理の負担が大きかったです。

実装内容

  1. AWS IAM ポリシーと Azure 条件付きアクセスで、同一のIP許可リストを採用
  2. 各管理者が固定IP VPNを契約
  3. 会社オフィスIP + 各管理者の固定IPを両プラットフォームに登録
  4. 月1回の監査ログ確認を習慣化

実装効果

• セキュリティ管理が一元化され、運用負荷が50%削減 • 不正ログイン試行が複数件ブロック • 管理者がセキュリティ意識の重要性を体感

事例2：大手企業の多層防御構築

従業員1,000名以上の大手企業が、ゼロトラスト戦略に基づいて多層防御を構築した事例です。

実装内容

  1. レイヤー1：IP制限（固定IPアドレス）
  2. レイヤー2：MFA + セキュリティキー（FIDO2）
  3. レイヤー3：リアルタイムモニタリング（CloudTrail、Audit Logs、Cloud Audit Logs）
  4. レイヤー4：最小権限の原則に基づいた IAM ポリシー
  5. レイヤー5：定期的なセキュリティ監査・侵入テスト

実装効果

• 外部セキュリティ監査で「AAA」（最高レベル）評価を取得 • 保険会社とのセキュリティ保険契約がスムーズに • クライアント企業からの信頼が向上

ロリポップ！固定IPアクセスでクラウド管理コンソールを守る

クラウド管理コンソール保護における最重要対策が、「固定IPアドレスによるアクセス制限」です。 従来のプロバイダ契約では高額でしたが、VPNサービスの登場により低コスト化が実現されました。

ロリポップ！固定IPアクセスは、GMOペパボ株式会社が提供する固定IPアドレス対応のVPNサービスです。 月額490円（税込539円）〜という国内最安級の価格で、VPN経由でどこからでも常に同じ固定IPアドレスを使ってインターネットにアクセスできます。 高速かつ安全なVPNプロトコル「WireGuard」を採用しており、オンライン申し込み後すぐに利用を開始できます。 最大2ヶ月間の無料お試し期間も用意されているため、まずは気軽に導入テストが可能です。

複数のクラウドプロバイダを使用している組織でも、各管理者が1つの固定IP VPN を利用することで、すべてのプラットフォームのセキュリティを統一的に強化できます。

⇒【ロリポップ！固定IPアクセス】 月額490円、すぐに使えて最大2ヶ月間無料！

まとめ

AWS、Azure、GCP などのクラウド管理コンソールは、企業システムの最も重要な管理拠点です。 これら管理コンソールへの不正ログイン対策において、「固定IPアドレスによるアクセス制限」は、最も効果的で低コストな対策です。

多層防御（IP制限 + MFA + 監査ログ監視 + 最小権限）の基盤となる対策として、固定IP導入を強くお勧めします。 月額数百円～数千円の投資で、クラウドインフラ全体のセキュリティを劇的に向上させることができます。

おすすめの記事

ゼロトラスト導入前に行うアクセス元の棚卸し：固定IP・SaaS・端末を可視化する方法
基礎知識

ゼロトラスト導入前に行うアクセス元の棚卸し：固定IP・SaaS・端末を可視化する方法

管理者アカウントを守るゼロトラスト：SaaS管理画面のIP許可リスト運用
基礎知識

管理者アカウントを守るゼロトラスト：SaaS管理画面のIP許可リスト運用

APIキー・シークレット管理の基本：漏えいリスクを減らすゼロトラスト運用
基礎知識

APIキー・シークレット管理の基本：漏えいリスクを減らすゼロトラスト運用

どこからでも簡単に
固定IPアドレスでアクセス

導入相談