Microsoft Entra ID（旧Azure AD）の条件付きアクセスを「場所（IP）」ベースで設定する方法

Microsoft 365を利用する企業にとって、Microsoft Entra ID（旧Azure Active Directory）の「条件付きアクセス（Conditional Access）」は、アクセス制御の中核機能です。なかでも「会社のネットワーク（IP）からのみログインを許可したい」「社外からのアクセスにはMFAを必須にしたい」というニーズは非常に多く、これは条件付きアクセスの「場所（ネットワーク）」条件で実現できます。

ただし、条件付きアクセスにはライセンス要件があり、加えて「名前付きの場所（Named Locations）」に登録すべきIPが、テレワーク環境では定まらないという実務上の難しさがあります。社員の自宅回線のIPは変動し、出張先や複数拠点のIPもバラバラだからです。

この記事では、Entra IDの「名前付きの場所」に固定IPを登録し、信頼できる場所からのみアクセスを許可する条件付きアクセスポリシーの作り方を、ライセンス要件（P1／P2）を含めて解説します。さらに、固定IPを使って全社員の接続元を1つに統一し、テレワークでもIP制限を確実に効かせる方法を紹介します。なお、Entra IDの管理画面や名称は更新されるため、最新の正確な手順は公式ドキュメントをご確認ください。

Entra IDの条件付きアクセスとライセンス要件

条件付きアクセスは、「誰が・どのアプリに・どこから・どの端末で」アクセスするかという条件（シグナル）に応じて、アクセスの許可・ブロック・MFA要求などを判断する機能です。

まず押さえておくべきはライセンス要件です。

ライセンス	利用できる主な機能
Microsoft Entra ID Free	基本的なディレクトリ機能、セキュリティ既定値群（限定的なMFA）
Microsoft Entra ID P1	条件付きアクセス（IP・場所・デバイスなどの条件）
Microsoft Entra ID P2	P1の機能＋Identity Protection（リスクベースの条件付きアクセス）

ここで重要なのは、本記事で扱う「場所（IP）」ベースの条件付きアクセスを使うにはEntra ID P1以上が必要という点です。P1はMicrosoft 365 E3／E5やEnterprise Mobility + Security（EMS）E3／E5などに含まれます。サインインリスク・ユーザーリスクといった「リスクベース」の判定を使うには、P2（Identity Protection）が必要です。ご利用のプランで条件付きアクセスが使えるかを、まずご確認ください。

ステップ1：名前付きの場所（Named Locations）にIPを登録する

条件付きアクセスでIPを条件に使うには、先に「名前付きの場所」としてIP範囲を定義します。手順の概要は次のとおりです。

Microsoft Entra 管理センター（または対象の管理ポータル）にサインインする
「保護」→「条件付きアクセス」→「名前付きの場所（Named locations）」を開く
「IP範囲の場所（IP ranges location）」を新規作成する
名前（例：社内固定IP）を入力する
許可したいグローバルIPをCIDR表記（例：203.0.113.10/32）で追加する
必要に応じて「信頼できる場所としてマークする（Mark as trusted location）」にチェックを入れる
保存する

「信頼できる場所」にマークする意味

「信頼できる場所としてマークする」を有効にすると、そのIP範囲からの通信は「社内（信頼済み）」として扱われます。これにより、

信頼できる場所からはMFAを省略し、それ以外からはMFAを要求する、といった柔軟な制御が可能になる
Identity Protection（P2）のリスク判定の精度が高まる

といった効果があります。

登録するのは「グローバルIP」

ここで登録するIPは、社内ネットワークがインターネットへ出ていく際の外向きグローバルIPです。社内PCのプライベートIP（イントラネット上のクライアントIP）ではなく、ネットワークがパブリックインターネットに接続するために使うゲートウェイのグローバルIPを指定する必要があります。VPNの固定IPを使う場合は、その固定グローバルIPを登録します。

ステップ2：条件付きアクセスポリシーを作成する

名前付きの場所を定義したら、それを条件に使うポリシーを作成します。代表的な2つの設計パターンを紹介します。

パターンA：信頼できる場所「以外」はブロックする

「社内固定IP以外からのアクセスを禁止する」厳格な設計です。

「条件付きアクセス」→「ポリシー」→「新しいポリシー」を作成する
ユーザー：対象ユーザー／グループを選択（緊急用管理者は除外）
ターゲットリソース：対象アプリ（例：Office 365）を選択
条件 → 場所：「任意の場所」を含め、「除外」に名前付きの場所「社内固定IP」を指定する
アクセス制御 → 許可：「アクセスをブロックする」を選択する
ポリシーを「オン」にする

この構成により、「社内固定IP以外のすべての場所」からのアクセスがブロックされます。

パターンB：信頼できる場所「以外」はMFAを要求する

利便性を保ちつつ、社外アクセスのリスクを下げる設計です。

同様にポリシーを新規作成する
条件 → 場所：「任意の場所」を含め、「除外」に「社内固定IP」を指定する
アクセス制御 → 許可：「多要素認証を要求する」を選択する
ポリシーを「オン」にする

これで、社内固定IPからは追加認証なし、社外（自宅・出張先など）からはMFAを要求、という運用ができます。

いずれの場合も、いきなり全ユーザーに適用すると締め出しのリスクがあります。「レポート専用」モードで影響を確認してから「オン」にすることが推奨されます。

テレワークで「名前付きの場所が定まらない」課題

ポリシーの設定自体は難しくありません。難しいのは「名前付きの場所に何のIPを登録するか」です。

オフィス勤務中心なら、オフィス回線の固定IPを登録すれば成立しました。しかしテレワーク・複数拠点の現在は、

自宅回線のグローバルIPは動的に変わることがある
モバイル回線・テザリングのIPは特定困難
出張先・カフェのIPは事前に分からない
拠点ごとにIPが異なる

ため、社員全員の接続元IPを名前付きの場所に固定できません。結果として、パターンAの「ブロック」を有効にできず、IP制限が形だけになってしまいます。

固定IPで全員の接続元を統一する

この課題を解決するのが、全社員の接続元を1つの固定グローバルIPに統一するアプローチです。各端末をいったん固定IPを持つVPNに通せば、自宅・出張先・複数拠点のいずれから接続しても、Entra IDから見た接続元は常に同じ固定IPになります。

 自宅PC ───┐
 出張ノートPC ┼─→ 固定IP（VPN）─→ Entra ID の「名前付きの場所」に「この1つ」だけ登録
 拠点B ────┘

設定の流れは次のとおりです。

VPNサービスで固定グローバルIPを取得する
その固定IPをEntra IDの「名前付きの場所」に/32で登録し、必要なら「信頼できる場所」にマークする
条件付きアクセスポリシー（パターンAまたはB）を作成する
全社員にVPNを利用してもらい、接続元を固定IPに統一する

これにより、登録するIPは1つだけで済み、働く場所を問わずEntra IDの条件付きアクセスが確実に機能します。中小企業のMicrosoft 365におけるIP制限の全体像は、関連記事の「中小企業向けMicrosoft 365のIP制限によるセキュリティ強化〜」もあわせてご覧ください。

運用上の注意点

締め出し（ロックアウト）を防ぐ

「ブロック」ポリシーは強力な反面、設定ミスで全員がサインインできなくなる恐れがあります。緊急用のグローバル管理者アカウントを必ずポリシーの除外対象にし、「レポート専用」モードで影響を確認してから本適用してください。

IPだけに頼らず多層防御を

IP制限は「場所」を絞るもので、本人確認はMFAが担います。両者を組み合わせ、可能であればデバイスの準拠状態（Intune管理など）も条件に加えると、よりゼロトラストに近い堅牢な構成になります。

同時接続数とライセンス設計

VPNを使う場合、同時接続数を踏まえてライセンス数を見積もります。後述のロリポップ！固定IPアクセスは、1つの固定IPに複数ライセンスを紐づけて複数人・複数端末で共有でき（1ライセンスの同時接続は1台）、管理画面から1単位で増減できます。

Entra IDと連携すれば、ユーザーの追加・削除まで自動で反映できます

「ロリポップ！固定IPアクセス」はSCIM 2.0によるIDaaS連携に対応しており、Microsoft Entra ID向けの連携手順書も用意しています。IDaaSに登録済みのユーザーを管理画面へ自動で取り込み、IPアドレスとライセンスの割り当て、WireGuardの接続情報の配布までを自動化できます。名前付きの場所に登録する許可IPは1つのまま、入退社にともなうユーザーの増減だけを自動で追従させられます。連携に追加費用はかかりません。

Entra IDとの連携について見る

よくある質問（FAQ）

Q1. 無料ライセンスでもIPベースの条件付きアクセスは使えますか？

いいえ。IP・場所を条件にした条件付きアクセスはEntra ID P1以上が必要です。P1はMicrosoft 365 E3／E5やEMS E3／E5などに含まれます。ご利用のプランをご確認ください。

Q2. 「名前付きの場所」に登録するのは社内PCのIPですか？

いいえ。登録するのは、社内ネットワークがインターネットへ出る際の外向きグローバルIPです。プライベートIPではありません。固定IP VPNを使う場合は、そのVPNの固定グローバルIPを登録します。

Q3. 「信頼できる場所としてマークする」は必須ですか？

必須ではありません。ただしマークすると、信頼済みとして扱う柔軟な制御（社外のみMFAなど）が組みやすく、Identity Protection（P2）のリスク判定精度も高まります。用途に応じて選択してください。

Q4. ブロックとMFA要求、どちらを選ぶべきですか？

社外アクセスを一切認めない厳格な要件なら「ブロック」、業務の柔軟性を保ちたいなら「社外からはMFA要求」が向きます。アプリ（ターゲットリソース）ごとにポリシーを分けて使い分けることも可能です。

まとめ

Entra IDのIP制限は「名前付きの場所にIPを登録」→「条件付きアクセスポリシーで条件に使う」の2ステップ。
IP・場所ベースの条件付きアクセスにはEntra ID P1以上が必要（リスクベースはP2）。
ポリシーは「信頼できる場所以外はブロック」「信頼できる場所以外はMFA要求」の2パターンが基本。
登録するのは外向きグローバルIP。テレワークでは接続元が定まらず形骸化しやすい。
全員の接続元を1つの固定IPに統一すれば、名前付きの場所に1つ登録するだけで制御が完成する。
締め出し対策（緊急管理者の除外・レポート専用モード）を忘れず、多層防御で運用する。

ロリポップ！固定IPアクセスでできること

「ロリポップ！固定IPアクセス」は、WireGuardを採用したVPNで、自宅・カフェ・出張先・複数拠点など、どこからでも同じ固定グローバルIPアドレスでアクセスできるサービスです。この固定IPをEntra IDの「名前付きの場所」に登録するだけで、全社員の接続元を統一し、条件付きアクセスを確実に機能させられます。

申込当日から利用可能。設置工事や専門知識は不要です。
固定IPはお客様専有。1つの固定IPに複数ライセンスを紐づけ、複数人・複数端末で共有できます（1ライセンスの同時接続は1台）。ライセンスは管理画面から1単位で増減可能。
料金はライトプラン月額490円（税込539円）〜、スタンダードプランは1ライセンス450円（税込495円）・10ライセンス〜＝月額4,500円（税込4,950円）〜。
最大2ヶ月の無料お試し（1つ目の固定IP・上限10ライセンスまで）で、Microsoft 365／Entra ID環境と組み合わせて検証できます。
サービス詳細：https://vpn.lolipop.jp/
お申し込み：https://vpn.lolipop.jp/signup
導入のご相談：https://vpn.lolipop.jp/consultation
資料ダウンロード：https://vpn.lolipop.jp/service-document