Exchange Online のIP制限は、2026年8月現在、Microsoft Entra ID の「条件付きアクセス」で設定します。 かつて使われていたクライアントアクセスルール（Client Access Rules）は2025年9月に完全に廃止され、すべてのテナントでサポートされなくなりました。
そのため、Web上に残っている「Exchange Online PowerShell の New-ClientAccessRule でIP制限をかける」という手順は、現在はもう使えません。
現在の設定は次の流れになります。
- 名前付きの場所に、会社のグローバルIPアドレスを登録する
- 条件付きアクセスポリシーで、対象アプリに「Office 365 Exchange Online」を指定してその場所以外をブロックする
- レガシ認証（IMAP / POP / SMTP AUTH など）を別途ブロックする
この記事では、廃止の経緯と現在の設定手順、条件付きアクセスに移ったことで変わった挙動、そして前提となる固定IPアドレスの用意の仕方を解説します。
この記事の前提
本文の仕様は2026年8月時点のMicrosoft公式ドキュメントに基づいています。
出典: Exchange Online のクライアント アクセス規則 / Microsoft Entra での継続的アクセス評価（Microsoft Learn）
IP制限そのものの仕組みと、許可リスト方式で運用するときの前提はIP制限（IPアドレス制限）とは？仕組みと設定方法を解説にまとめています。
クライアントアクセスルールは廃止された
クライアントアクセスルールは、Exchange Online へのクライアント接続を、IPアドレス・認証方式・プロトコル・ユーザー属性の組み合わせで許可／拒否できる機能でした。「特定のIPアドレス以外からのOutlook on the webへの接続をブロックする」といった制御を、Exchange Online PowerShell だけで完結できたのが特徴です。
| 時期 | 出来事 |
|---|---|
| 2022年10月 | Microsoftが段階的な廃止を発表 |
| 2025年9月 | すべての組織で完全に廃止・サポート終了 |
廃止後の移行先としてMicrosoftが案内しているのが、**条件付きアクセス＋継続的アクセス評価（CAE）**です。単なる代替ではなく、多要素認証やデバイスのコンプライアンス状態と組み合わせて制御できる、より強力な仕組みに置き換わったという位置づけになっています。
古い手順に注意
「Exchange Online IP制限」で検索すると、New-ClientAccessRule を使う手順を解説した記事が多数見つかりますが、これらは2025年9月以降は実行できません。
すでにクライアントアクセスルールで運用していた組織は、条件付きアクセスへの移行が完了しているかを確認してください。
現在の設定方法：条件付きアクセスで制御する
前提：必要なライセンス
条件付きアクセスの利用には Microsoft Entra ID P1 以上が必要です。Microsoft 365 Business Premium にも含まれています。Business Basic / Business Standard では利用できないため、アップグレードかEntra ID P1 の追加購入が必要です。
手順
Entra ID側の画面をもう少し詳しく知りたい場合はEntra IDの条件付きアクセスを「場所（IP）」ベースで設定する方法、Microsoft 365全体の設計はMicrosoft 365のIP制限設定ガイドを参照してください。
レガシ認証を別途ブロックする
条件付きアクセスは、モダン認証を使う接続に対して機能します。IMAP4 / POP3 / SMTP AUTH といったレガシ認証（基本認証）は多要素認証にも対応しておらず、IP制限の抜け穴になりやすい経路です。
同じ条件付きアクセスの「クライアントアプリ」条件で「Exchange ActiveSync クライアント」「その他のクライアント」を対象にしたブロックポリシーを別途作成し、レガシ認証そのものを塞いでおくことをおすすめします。
条件付きアクセスに移って変わったこと
ネットワークの場所の変更が「ほぼ即時」に反映される
クライアントアクセスルールでは、ルールの作成・変更が有効になるまで最初の1件は最大24時間、以降の変更も最大1時間かかっていました。
現在の条件付きアクセスでは、**継続的アクセス評価（CAE）**により、Exchange Online / SharePoint Online / Teams などのサービスが Microsoft Entra ID からポリシーを同期し、サービス側で直接評価します。その結果、ユーザーが許可されたIP範囲の外に移動すると、ほぼ即時にアクセスが遮断されます。
| 項目 | CAE非対応クライアント | CAE対応クライアント |
|---|---|---|
| アクセストークンの有効期間 | 既定1時間 | 最大28時間（重大イベント／ポリシー評価で失効） |
| ネットワークの場所変更の反映 | 次のトークン更新時（最大1時間） | ほぼ即時 |
トークンの有効期間が延びているのに安全性が上がるのは、「時間で切る」代わりに「イベントで切る」方式に変わったためです。
CAEを効かせるには「IPベースの名前付きの場所」を使う
ここは設計上の重要な注意点です。CAEが分析できるのは、IPアドレス範囲で定義した名前付きの場所だけです。次の条件はCAEの即時適用の対象外になります。
- 国／地域ベースの場所の条件
- 多要素認証のサービス設定にある「信頼できるIP」機能
これらを使っている場合、ユーザーが移動しても即時には適用されず、1時間のアクセストークンが発行されます。IP制限を厳密に効かせたいなら、IPベースの名前付きの場所だけを使ってください。
また、ポリシーで指定したIP範囲の合計が5,000を超えると、場所変更のリアルタイム適用が行われなくなります。許可するIPアドレスは絞り込んでおくほうが安全です。
押さえておきたい制限
- ゲストユーザーはCAEの対象外です。IPベースの条件付きアクセスポリシーが即時には適用されません。
- ポリシーやグループメンバーシップの変更がリソース側に反映されるまで、最大1日（最適化された場合は2時間）かかることがあります。急ぎで適用したい場合は、対象ユーザーの更新トークンを取り消します。
- Teamsの通話・チャットサービスは、IPベースの条件付きアクセスポリシーに準拠しません。Teamsも含めて制御したい場合はTeamsのIP制限の内容もあわせて確認してください。
- プッシュ通知のプレビューはIPアドレスポリシーの保護対象外です。通知をタップして本文を開く時点ではポリシーが適用されます。
Exchange OnlineのIP制限には固定IPアドレスが要る
条件付きアクセスに移行しても、大前提は変わりません。名前付きの場所に登録するグローバルIPアドレスが固定されていなければ、この仕組みは機能しません。
一般的な回線で割り当てられる動的IPアドレスは、ルーターの再起動や回線の切断、プロバイダ側の割り当て更新で変わります（詳しくはIPアドレスが変わる原因とタイミング）。登録したIPアドレスが変わった瞬間、社員全員がメールを開けなくなります。
テレワークではさらに厳しく、社員の自宅回線のIPアドレスを1件ずつ登録する運用は現実的に維持できません。前章のとおり、登録するIP範囲は少ないほうがCAEの挙動としても有利です。
全社員のアクセス元IPアドレスを1つに揃える
ロリポップ！固定IPアクセスは、GMOペパボが提供するVPN型の固定IPアドレスサービスです。専用アプリに設定ファイルを読み込むだけで、オフィス・自宅・出張先のどこから接続しても同じ固定グローバルIPアドレスになります。
- 名前付きの場所に登録するIPアドレスは1つだけ。CAEの5,000範囲の制限にも当然かかりません
- 回線工事・プロバイダ変更が不要で、最短即日から利用できます
- ライトプランなら1ライセンスあたり月額490円（税込539円）、10ライセンスからのスタンダードプランなら1ライセンスあたり月額450円（税込495円）から
- VPNプロトコルには高速なWireGuardを採用しています
⇒【ロリポップ！固定IPアクセス】 月額490円（税込539円）〜、すぐに使えて最大2ヶ月間無料！
Exchange OnlineのIP制限に関するよくある質問
New-ClientAccessRule はもう使えないのですか？
使えません。クライアントアクセスルールは2022年10月に廃止が発表され、2025年9月にすべての組織でサポートが終了しました。現在Exchange OnlineのIP制限を行う方法は、Microsoft Entra ID の条件付きアクセスです。
Exchange Online だけにIP制限をかけることはできますか？
できます。条件付きアクセスポリシーのターゲットリソースで「Office 365 Exchange Online」だけを選べば、メールのみを対象にできます。ただし同じ認証基盤を使う他のサービスとの整合を考えると、Office 365全体を対象にしたほうが運用は単純です。
IMAPやPOPで接続しているアプリは制限されますか？
レガシ認証は条件付きアクセスの「クライアントアプリ」条件で明示的にブロックする必要があります。IP制限のポリシーを作っただけでは塞がらない経路が残る可能性があるため、レガシ認証をブロックするポリシーを別途用意してください。
社外に出た瞬間にメールが見られなくなりますか？
CAE対応のクライアント（新しいバージョンのOutlookなど）では、ネットワークの場所の変更がほぼ即時に反映され、許可範囲外に出た時点でアクセスできなくなります。CAEに対応していないクライアントの場合は、次のトークン更新（既定で1時間以内）のタイミングで適用されます。
社外からもメールを使いたい場合はどうすればよいですか？
社員が社外からもVPNなどで許可済みの固定IPアドレスを経由して接続する構成にします。そうすればアクセス元IPアドレスが常に同じになるため、IP制限を維持したまま社外から業務ができます。
まとめ
Exchange OnlineのIP制限は、クライアントアクセスルールの廃止（2025年9月）によって、条件付きアクセスへ完全に一本化されました。古い手順を参照して作業を進めると行き詰まるため、まず「いま何で設定するのか」を押さえるのが出発点になります。
設定のポイントは3つです。
- IPベースの名前付きの場所を使う（国／地域や旧「信頼できるIP」ではCAEが効かない）
- レガシ認証を別ポリシーで塞ぐ
- 登録するグローバルIPアドレスを固定する
最後の1点を回線を変えずに満たすなら、ロリポップ！固定IPアクセスのようなVPN型の固定IPサービスが現実的な選択肢です。あわせてMicrosoft 365のIP制限設定ガイドとSharePointのIP制限もご覧ください。
