Microsoft 365（旧Office 365）のIP制限は、Microsoft Entra ID（旧Azure AD）の「条件付きアクセス」で設定します。 サービスごとにIP許可リストを持っているわけではなく、テナント全体の入口で「どのIPアドレスからのサインインを許可するか」を決めるのが基本形です。
大まかな流れは次の2ステップだけです。
- 名前付きの場所（ネームドロケーション） に、会社のグローバルIPアドレスを登録する
- 条件付きアクセスポリシー で「その場所以外からのアクセスをブロック」する
ただし実際の運用では、自分自身が締め出される、SharePointだけ別途設定が必要、Exchange Onlineの旧来のIP制限機能が廃止されている、といった落とし穴があります。そして何より、許可リストに登録するグローバルIPアドレスが固定でなければ、この仕組みは成立しません。
この記事では、条件付きアクセスの具体的な設定手順と、サービスごとの追加設定、つまずきやすいポイント、そして固定IPアドレスの用意の仕方までを順に解説します。
この記事の前提
本文の設定画面・仕様は2026年8月時点のMicrosoft公式ドキュメントに基づいています。
Microsoft 365の管理画面は更新が多いため、実際に設定する際はMicrosoft Learnの該当ページもあわせてご確認ください。
IP制限そのものの仕組みと、許可リスト方式で運用するときの前提はIP制限（IPアドレス制限）とは？仕組みと設定方法を解説にまとめています。
Microsoft 365のIP制限は「条件付きアクセス」で行う
Microsoft 365でIPアドレスによるアクセス制限をかける方法は、大きく2階層に分かれます。
| 階層 | 設定場所 | 効く範囲 |
|---|---|---|
| ① テナント全体（推奨） | Microsoft Entra ID の条件付きアクセス | Microsoft 365全体、または対象アプリを指定して制限 |
| ② サービス個別 | SharePoint管理センターなど各サービスの設定 | そのサービスだけ。①でカバーしきれない経路を塞ぐ |
まず①を設定し、必要に応じて②を足す、という順番になります。①だけで大半の要件は満たせますが、SharePoint / OneDrive は「Microsoft 365以外の経路」からのアクセスも考えられるため、機密度が高い場合は②も併用します。
必要なライセンス
条件付きアクセスの利用には Microsoft Entra ID P1 以上のライセンスが必要です。 Microsoft 365 Business Premium にも条件付きアクセスが含まれるため、中小企業ではこのプランで要件を満たせるケースが多くあります。
一方、Business Basic / Business Standard には条件付きアクセスが含まれません。これらのプランでIP制限を行いたい場合は、Entra ID P1 の追加購入か、Business Premium へのアップグレードが必要です。
セキュリティ既定値群との関係
テナントで「セキュリティ既定値群（security defaults）」が有効になっていると、条件付きアクセスポリシーは作成できません。
条件付きアクセスを使う場合は、セキュリティ既定値群を無効化したうえで、多要素認証を要求するポリシーを自分で作り直す必要があります。先にMFAのポリシーを用意してから切り替えてください。
手順①：名前付きの場所に会社のIPアドレスを登録する
まず、「信頼できるネットワーク」の定義を作ります。
203.0.113.10/32）。複数拠点がある場合は範囲を追加していきます。入力するときの注意点
- 登録するのは社内のプライベートIPではなく、社外に出ていくときのグローバルIPアドレスです。
192.168.x.xや10.x.x.xを入れても意味がありません。オフィスのグローバルIPアドレスはグローバルIPアドレスの確認方法の手順で調べられます。 - IPv6を登録する場合はCIDR表記が必須です（単一アドレスなら
2001:db8::1/128）。 - CIDRマスクは /8 より大きいものだけが受け付けられます。
/8以下の広すぎる範囲は登録できません。 - 上限は 名前付きの場所が195個まで、1つの場所あたりIP範囲が2,000個までです。通常の企業利用で上限に当たることはまずありませんが、拠点ごとに場所を分けすぎないほうが管理は楽になります。
手順②：条件付きアクセスポリシーで社外からのアクセスを制限する
登録した場所を使って、実際のアクセス制御ルールを作ります。
ブロックするか、MFAを要求するか
いきなり「ブロック」にすると、出張中や在宅勤務の社員が業務不能になります。運用の現実解は次の2択です。
| 方式 | 動作 | 向いているケース |
|---|---|---|
| 社外からはブロック | 許可IP以外からは一切アクセスできない | 機密情報を扱う。全社員が固定IP経由で接続できる体制がある |
| 社外からはMFAを要求 | 許可IP以外からは追加認証を求める | 段階的に締めていきたい。外出先での利用が多い |
「社外からはブロック」を選ぶなら、社外にいる社員がVPNなどで許可IPアドレス経由に切り替えられる手段を先に用意しておくのが前提になります。
サービス別の追加設定
条件付きアクセスはサインインの入口を守りますが、サービスによっては個別の設定が必要・または有効です。
| サービス | 個別のIP制限機能 | 補足 |
|---|---|---|
| SharePoint / OneDrive | あり（SharePoint管理センターの「アクセス制御」） | 条件付きアクセスとは別に、ネットワークの場所ベースのポリシーを設定できる。詳細はSharePointのIP制限 |
| Exchange Online | なし（2025年9月にクライアントアクセスルールが廃止） | 現在は条件付きアクセスで制御する。詳細はExchange OnlineのIP制限 |
| Microsoft Teams | なし | 条件付きアクセスの対象アプリに Teams を指定して制御する。詳細はTeamsのIP制限 |
Entra ID側の設定をもう少し詳しく知りたい場合は、Entra IDの条件付きアクセスを「場所（IP）」ベースで設定する方法も参照してください。
よくある失敗と回避策
自分が締め出される（ロックアウト）
もっとも多い事故です。 条件付きアクセスは管理者にも適用されるため、設定ミスがあると管理画面にすら入れなくなります。
対策は、**緊急アクセス用アカウント（break-glass アカウント）**をあらかじめ作り、すべての条件付きアクセスポリシーの対象から除外しておくことです。長く複雑なパスワードを設定し、通常業務では使わず、パスワードは金庫などで厳重に保管します。
レポート専用モードを飛ばしていきなり有効化する
条件付きアクセスには「レポート専用」モードがあり、実際にはブロックせずに「もし有効だったら誰がブロックされたか」だけを記録できます。必ずこのモードで数日運用し、想定外のユーザーやサービスが引っかからないか確認してから本番適用してください。
反映まで時間がかかることを見落とす
条件付きアクセスポリシーは第1要素認証のあとに評価されます。すでにサインイン済みのセッションについては、継続的アクセス評価（CAE）に対応したクライアントならネットワークの場所の変更がほぼ即時に反映されますが、CAEに対応していないクライアントでは次のトークン更新（既定で1時間以内）まで旧セッションのままアクセスできます。
なお、CAEが即時に効くのはIPアドレス範囲で定義した名前付きの場所だけです。国／地域ベースの場所や、多要素認証のサービス設定にある旧来の「信頼できるIP」機能を使っている場合は即時適用されません。IP制限を厳密に効かせたいなら、IPベースの名前付きの場所を使ってください。
VPNやクラウドプロキシ経由のIPアドレスを考慮していない
クラウド型のプロキシやVPNを経由している場合、Microsoft Entra IDが見るのはプロキシ／VPNのIPアドレスです。利用者本来のIPアドレスが入る X-Forwarded-For ヘッダーは、偽装の可能性があるため使われません。
これは裏を返せば、VPN型の固定IPサービスを使えば、社員がどこにいても同じIPアドレスとして扱われるということでもあります。次章はこの点の話です。
Microsoft 365のIP制限には「変わらないIPアドレス」が要る
ここまでの設定はすべて、許可リストに登録したIPアドレスが変わらないことを前提にしています。
しかし、一般的なインターネット回線で割り当てられるのは動的IPアドレスです。ルーターの再起動や回線の切断、プロバイダ側の割り当て更新で番号が変わるため、変わるたびに名前付きの場所を編集しなければ全社員がアクセス不能になります。詳しくはIPアドレスが変わる原因とタイミングにまとめています。
さらに、テレワークが前提の組織では別の問題が起きます。社員の自宅回線のIPアドレスを1件ずつ許可リストに登録する運用は、現実的に破綻します。 人数分のIPアドレスが変わり続けるからです。
この2つを同時に解決するのが、社員全員が同じ固定グローバルIPアドレスで外に出る構成です。
ロリポップ！固定IPアクセスという選択肢
ロリポップ！固定IPアクセスは、GMOペパボが提供するVPN型の固定IPアドレスサービスです。回線工事もプロバイダ変更も不要で、専用アプリに設定ファイルを読み込むだけで、オフィス・自宅・出張先のどこから接続しても同じ固定グローバルIPアドレスになります。
Microsoft 365のIP制限との相性という観点では、次の点が効いてきます。
- 名前付きの場所に登録するIPアドレスが1つで済む —— 社員が何人いても、Entra ID側に登録するのは1つの固定IPアドレスだけです。入退社のたびに許可リストを触る必要がありません。
- ライセンスを追加すれば同じ固定IPを複数人で使える —— 1ライセンス＝1台の同時接続で、人数に応じてライセンスを増減できます。
- 料金 —— ライトプランなら1ライセンスあたり月額490円（税込539円）、10ライセンスからのスタンダードプランなら1ライセンスあたり月額450円（税込495円）から利用できます。初回は最大2ヶ月の無料お試し期間があります。
- 導入が速い —— オンラインで申し込みが完結し、最短即日で固定IPアドレスが使えます。条件付きアクセスの設定と並行して準備できます。
⇒【ロリポップ！固定IPアクセス】 月額490円（税込539円）〜、すぐに使えて最大2ヶ月間無料！
Microsoft 365のIP制限に関するよくある質問
Microsoft 365にサービス単体のIP許可リスト機能はありますか？
テナント全体を対象にした一元的なIP許可リストはなく、Microsoft Entra IDの条件付きアクセスで設定するのが基本です。例外的に、SharePoint / OneDrive はSharePoint管理センターの「アクセス制御」でネットワークの場所ベースのポリシーを個別に設定できます。Exchange Onlineにあったクライアントアクセスルールは2025年9月に廃止され、現在は条件付きアクセスに一本化されています。
Microsoft 365 Business Standard でもIP制限はできますか？
できません。IP制限に使う条件付きアクセスには Microsoft Entra ID P1 以上が必要で、Business Basic / Business Standard には含まれていません。Business Premium にアップグレードするか、Entra ID P1 を追加購入する必要があります。
社員の自宅のIPアドレスを全員ぶん登録すればテレワークにも対応できますか？
技術的には可能ですが、運用が破綻します。自宅回線の多くは動的IPで番号が変わるため、変わるたびに管理者が名前付きの場所を編集しなければならず、更新が遅れた社員はその間アクセスできません。全員が同じ固定IPアドレスを経由する構成にするほうが、登録するIPアドレスが1つで済み現実的です。
条件付きアクセスの設定を間違えて自分が入れなくなったらどうなりますか？
すべてのポリシーから除外した緊急アクセス用アカウントがあれば、そのアカウントでサインインしてポリシーを修正できます。用意していない場合はMicrosoftのサポートに連絡して解除を依頼することになるため、ポリシーを作る前に必ず緊急アクセス用アカウントを準備してください。
IP制限をかければ多要素認証は不要になりますか？
不要にはなりません。IP制限は「どこから来たか」しか見ないため、許可されたネットワーク内で認証情報が悪用された場合は防げません。条件付きアクセスでも、IP制限と多要素認証は組み合わせて使うのが前提です。
まとめ
Microsoft 365のIP制限は、Entra IDの「名前付きの場所」に会社のグローバルIPアドレスを登録し、条件付きアクセスポリシーでそれ以外をブロックするという2ステップで設定できます。
設定作業そのものは30分もかかりませんが、成否を分けるのはその前段です。
- 条件付きアクセスが使えるライセンス（Entra ID P1 / Business Premium）があるか
- 緊急アクセス用アカウントを用意し、レポート専用モードで検証したか
- そして、許可リストに登録するグローバルIPアドレスが本当に固定されているか
特に最後の1点は、テレワークを前提とする組織ほど重くのしかかります。回線を変えずに全社員のアクセス元IPアドレスを1つに揃えられるロリポップ！固定IPアクセスのようなVPN型の固定IPサービスは、この課題に対する現実的な解になります。
