IDaaS×固定IPでつくる「信頼できるネットワーク」アクセス制御の基本

「IDaaSを導入してシングルサインオンや多要素認証は整えたが、もう一段、アクセスを社内ネットワークに限定したい」——そう考える情報システム担当者は少なくありません。多くのIDaaSには、接続元のIPアドレスを条件にアクセスを許可・拒否する「条件付きアクセス」機能が備わっています。これを使えば、「会社のネットワークからのみログインを許可する」といった制御が可能です。

ところが、テレワークが当たり前になり、複数拠点・出張・在宅が混在する現在、この仕組みには大きな落とし穴があります。社員それぞれの自宅やモバイル回線のIPアドレスは固定されておらず、日々変わります。許可リストに登録しようにも対象が定まらず、IP制限が「形だけ」になってしまうのです。

この記事では、IDaaSの条件付きアクセス（ネットワーク条件）の基本的な仕組みを解説したうえで、「信頼できるネットワーク」をどう定義すればよいのか、その起点として固定IPがなぜ有効なのかを整理します。結論から言えば、全員の接続元を1つの固定グローバルIPに統一し、それを各IDaaS／SaaSの許可IPに登録することで、テレワーク環境でもチーム全体のアクセスを安全に制御できます。

IDaaSの「条件付きアクセス」とは

IDaaS（Identity as a Service）は、複数のクラウドサービスのID認証を一元管理するサービスです。シングルサインオン（SSO）や多要素認証（MFA）だけでなく、多くの製品が「条件付きアクセス（Conditional Access）」を備えています。

条件付きアクセスとは、「誰が・いつ・どこから・どの端末で」アクセスしているかという文脈（コンテキスト）に応じて、アクセスの可否や追加認証の要否を動的に判断する仕組みです。代表的な条件には次のようなものがあります。

本記事のテーマである「IP制限」は、このうち**接続元IPアドレス（場所）**を条件にする方式です。最も古くからあり、設定もシンプルで、コストをかけずにアクセス範囲を絞れる点が中小企業にも採用されやすい理由です。

「IPアドレス制限（許可リスト）」の基本動作

IP制限は、あらかじめ「このIPアドレスからのアクセスだけを許可する」という許可リスト（アローリスト）を作る方式が一般的です。逆に、特定IPだけを拒否する拒否リスト（ブロックリスト）方式もありますが、社内アクセスを守る用途では許可リスト方式が中心になります。

許可リストに登録するのは、社内ネットワークがインターネットへ出ていくときのグローバルIPアドレスです。社内PCに割り当てられたプライベートIP（192.168.x.xなど）ではなく、ルーターやゲートウェイがインターネット通信で見せる外向きのIPである点に注意してください。IDaaS側はインターネット越しに接続元を見るため、把握できるのはこのグローバルIPだからです。

「信頼できるネットワーク」という考え方

近年のIDaaSでは、許可IPを「信頼できる場所（Trusted Location／信頼できるネットワーク）」として定義する概念が一般的になっています。考え方はシンプルで、「この範囲のIPからの通信は、社内（信頼できる場所）からのアクセスとみなす」というものです。

信頼できるネットワークを定義しておくと、次のような柔軟な制御ができるようになります。

1. 信頼できる場所からは追加認証を省略し、社外からのアクセスにのみMFAを要求する（利便性とセキュリティの両立）
2. 信頼できる場所以外からのアクセスはブロックする（厳格なIP制限）
3. リスク検知エンジンに「ここは安全な場所」というヒントを与え、不審ログインの判定精度を高める

つまり「信頼できるネットワーク」は、現代のアクセス制御の起点になる土台です。逆に言えば、この起点となるIPアドレスが定まらないと、上記のすべてが機能しません。ここがテレワーク時代の最大の課題です。

テレワーク・複数拠点で「IP制限が形骸化する」理由

オフィス勤務が中心だった時代は、社員のアクセスはオフィスのインターネット回線（固定IP契約）を通っていました。したがって、オフィスのグローバルIPを許可リストに登録すれば、それでIP制限は機能しました。

しかし働き方が多様化した現在、状況は一変しています。

• 自宅の回線：一般的な家庭用インターネット回線のグローバルIPは、プロバイダから動的に割り当てられ、再接続のたびに変わる可能性がある
• モバイル回線・テザリング：キャリアのIPは広大な範囲で共有され、特定が困難
• 出張先・カフェ・コワーキングスペース：その場のネットワークのIPになり、事前登録は不可能
• 複数拠点：拠点ごとに異なる回線・異なるIPを持つ

これらをすべて許可リストに登録するのは現実的ではありません。動的IPは変わるたびに登録し直す必要があり、運用が破綻します。そこで「結局、全社員のアクセスを許可せざるを得ない」「IP制限を諦めてMFAだけで運用する」という妥協が起きがちです。これがIP制限の形骸化です。

固定IPが「信頼できるネットワークの起点」になる

この課題を解決する考え方が、全員の接続元IPを1つの固定グローバルIPに統一するというアプローチです。

各端末が直接インターネットへ出るのではなく、いったん固定IPを持つVPNを経由させます。すると、自宅から接続しても、出張先のカフェから接続しても、別拠点から接続しても、IDaaSやSaaSから見た接続元は常に同じ1つの固定IPになります。あとはそのIPを各サービスの許可リスト（信頼できるネットワーク）に登録するだけです。

【従来：接続元がバラバラでIP制限が効かない】
 自宅PC ───→ IP:A ─┐
 出張ノートPC ─→ IP:B ─┼─→ IDaaS（許可IPを特定できない…）
 拠点B ─────→ IP:C ─┘

【固定IPアクセス：全員が同じ固定IPに統一】
 自宅PC ───┐
 出張ノートPC ┼─→ 固定IP（VPN）─→ IDaaS（許可IPは1つだけ登録すればOK）
 拠点B ────┘

この方式のメリットを整理すると、以下のとおりです。

• 許可リストに登録するIPが1つで済むため、運用が極めてシンプルになる
• 自宅・出張先・複数拠点など働く場所を問わず、同じIP制限ポリシーが適用される
• IDaaSの「信頼できるネットワーク」「名前付きの場所」「Network Zone」などに、そのまま固定IPを登録できる
• 「社内からはMFA省略、社外からはMFA要求」といった柔軟な条件付きアクセスも、固定IPを基準に設計できる

「IPアドレス制限の仕組みそのもの」については、関連記事の「IPアドレス制限とは? 仕組みとメリットをわかりやすく解説」もあわせてご覧ください。

主要IDaaSにおける「IP制限」の設定イメージ

実際の設定は製品ごとに名称や手順が異なりますが、考え方は共通しています。「許可するIP範囲（＝固定IP）を定義し、それを条件にしたポリシーを作る」という流れです。代表的な製品の機能名を整理します。

各製品の具体的な設定手順は、それぞれの個別記事で詳しく解説しています（本記事末尾の関連記事を参照）。なお、各サービスのUIや機能名は変わることがあるため、最新の手順は必ず公式ヘルプをご確認ください。また、条件付きアクセスやIP制限は上位プランでのみ利用できる場合があるため、ライセンス要件の確認も重要です。

固定IP導入時に押さえたい運用上の注意

固定IPで「信頼できるネットワーク」を作る際、設計段階で押さえておきたいポイントがあります。

1. 許可IPは「グローバルIP」を登録する

前述のとおり、IDaaSが認識するのは接続元のグローバルIPです。VPN経由の固定グローバルIPを登録します。社内のプライベートIPを登録しても意味がない点に注意してください。

2. 「締め出し」を防ぐ段階的な適用

IP制限を「許可IP以外はすべてブロック」に設定する場合、設定ミスがあると管理者自身も含めて全員がログインできなくなる恐れがあります。まずは一部ユーザー・一部アプリで検証し、緊急用の管理者アカウントや代替手段を確保したうえで、段階的に適用範囲を広げるのが安全です。

3. IP制限だけに頼らず多層防御を

IPアドレスは「正しい場所からの通信か」を判定するものであり、「正しい本人か」を保証するものではありません。固定IPによるIP制限は強力ですが、多要素認証（MFA）やシングルサインオン（SSO）と組み合わせ、多層的に守ることが推奨されます。ゼロトラストの考え方では、IPだけでなく端末状態やユーザーの振る舞いも含めて総合的に判断します。

4. 同時接続とライセンス設計

VPNを使う場合、何人・何台が同時に接続するかを踏まえてライセンス数を見積もる必要があります。後述するロリポップ！固定IPアクセスでは、1つの固定IPに複数ライセンスを紐づけ、複数人・複数端末で同じ固定IPを共有できます（1ライセンスの同時接続は1台）。ライセンスは管理画面から1単位で増減できるため、人員の増減に合わせて柔軟に調整できます。

よくある質問（FAQ）

Q1. IDaaSにMFAを設定していれば、IP制限は不要では？

MFAは「正しい本人か」を確認する仕組み、IP制限は「正しい場所からの通信か」を確認する仕組みで、守る対象が異なります。両方を組み合わせることで、フィッシングで認証情報が漏れた場合でも、社外からのアクセスを止められるなど多層防御が実現します。併用が推奨されます。

Q2. 家庭用回線でも「固定IP」は使えますか？

一般的な家庭用回線のグローバルIPはプロバイダから動的に割り当てられ、変わる可能性があります。固定IPを得るには、固定IPオプション付き回線を契約するか、固定IPを提供するVPNサービスを利用します。VPN方式なら回線を問わず、自宅・出張先・複数拠点から同じ固定IPでアクセスできます。

Q3. 全員が同じIPになると、ユーザーごとの制御ができなくなりませんか？

IP制限は「どこからのアクセスか」を統一する仕組みです。ユーザーやグループごとの制御は、IDaaS側のユーザー・グループ条件やSSO、MFAで別途行えます。両者は補完関係にあり、固定IPで「場所」を、IDaaSで「人・端末」を制御するという役割分担になります。

Q4. IP制限は上位プランでないと使えないことがあると聞きました。

製品によります。たとえばMicrosoft Entra IDの条件付きアクセスはP1以上が必要です。一方、サービスによっては標準機能としてIP制限を提供しているものもあります。導入前に、対象サービスのプランごとの機能可否を必ず確認してください。

まとめ

• IDaaSの条件付きアクセスでは、接続元IPアドレスを条件に「信頼できるネットワークからのみ許可」といった制御ができる。
• しかしテレワークや複数拠点では社員ごとに接続元IPが変わり、許可リストが定まらずIP制限が形骸化しやすい。
• 全員の接続元を1つの固定グローバルIPに統一すれば、その1つを各IDaaS／SaaSの許可IPに登録するだけで、場所を問わずアクセスを制御できる。
• 固定IPは「信頼できるネットワーク」の起点となり、MFAやSSOと組み合わせた多層防御の土台になる。
• 設定はグローバルIPで登録する、段階的に適用する、IP制限だけに頼らない、といった点に注意する。

ロリポップ！固定IPアクセスでできること

「ロリポップ！固定IPアクセス」は、WireGuardを採用したVPNにより、自宅・カフェ・出張先・複数拠点など、どこからでも同じ固定グローバルIPアドレスでアクセスできるサービスです。各IDaaS／SaaSの許可IPにこの固定IPを登録するだけで、チーム全体の接続元を統一し、信頼できるネットワークを起点としたアクセス制御を実現できます。

• 申込当日から利用可能。設置工事や専門知識は不要です。
• 固定IPはお客様専有。1つの固定IPに複数ライセンスを紐づけ、複数人・複数端末で同じ固定IPを共有できます（1ライセンスの同時接続は1台）。ライセンスは管理画面から1単位で増減可能。
• 料金はライトプラン月額490円（税込539円）〜、スタンダードプランは1ライセンス450円（税込495円）・10ライセンス〜＝月額4,500円（税込4,950円）〜。
• 最大2ヶ月の無料お試し（1つ目の固定IP・上限10ライセンスまで）で、実際の環境で試せます。

まずは無料お試しや資料で確認したい方、自社の構成に合わせて相談したい方は、以下からご利用ください。

• サービス詳細：https://vpn.lolipop.jp/
• お申し込み：https://vpn.lolipop.jp/signup
• 導入のご相談：https://vpn.lolipop.jp/consultation
• 資料ダウンロード：https://vpn.lolipop.jp/service-document

関連記事（内部リンク）

• IDaaSとは?クラウドID管理による利便性の向上とセキュリティ強化を解説
• IPアドレス制限とは? 仕組みとメリットをわかりやすく解説
• 多要素認証(MFA)とは? 二段階認証との違いと導入すべき理由
• シングルサインオン(SSO)とは? メリット・デメリットと導入の注意点
• ゼロトラストとは?そのメリットとVPNとの違いを解説
• Okta（オクタ）のNetwork Zones・条件付きアクセスと固定IPで実現するアクセス制御
• Microsoft Entra ID（旧Azure AD）の条件付きアクセスを「場所（IP）」ベースで設定する方法