Okta（オクタ）のNetwork Zones・条件付きアクセスと固定IPで実現するアクセス制御

Okta（オクタ）はSSOやMFAで広く使われるIDaaSですが、「特定のIPアドレスからのアクセスだけを許可したい」「社外からのログインにはMFAを必須にしたい」といったIP制限のニーズも多くあります。Oktaでこれを実現する中心機能が「Network Zones（ネットワークゾーン／IPゾーン）」と、それを条件に使う「サインオンポリシー」です。

一方で、設定そのものよりも難しいのが「そもそも許可すべきIPをどう定めるか」という問題です。テレワークや複数拠点では社員ごとに接続元IPが異なり、しかも自宅回線のIPは変動するため、許可リストに登録しきれません。せっかくNetwork Zonesを作っても、許可IPが定まらなければIP制限は機能しません。

この記事では、OktaのNetwork Zones（IPゾーン）の作成方法、ゲートウェイIPや動的ゾーン・ブロックリストの考え方、サインオンポリシーでのアクセス制御の組み立て方を解説します。さらに、固定IPを許可IPに登録することで、働く場所を問わずOktaのアクセス制御を確実に効かせる方法を紹介します。なお、OktaのUIはClassic EngineとIdentity Engineで異なり、画面も更新されるため、最新の正確な手順は公式ヘルプをご確認ください。

OktaのNetwork Zones（ネットワークゾーン）とは

Network Zonesは、IPアドレスの範囲や地理的な場所をひとまとまりの「ゾーン」として定義する機能です。定義したゾーンは、サインオンポリシーやアプリのアクセスポリシーの条件として再利用できます。「このゾーンからのアクセスは許可」「このゾーン以外はMFAを要求」といった制御の土台になります。

Oktaのネットワークゾーンには、主に次の種類があります。

ゾーンの種類	内容	主な用途
IP Zone（IPゾーン）	ゲートウェイIPや信頼できるプロキシIPを範囲で定義	社内固定IPを「信頼できる場所」として定義
Dynamic Zone（動的ゾーン）	地理的な場所・ASN・匿名化プロキシなどの条件で動的に判定	特定国からのアクセスを制限など
Blocklist Network Zone（ブロックリスト）	このゾーンに一致するIPからのアクセスを常時ブロック	既知の不正IPを遮断

本記事の主役は、社内の固定IPを定義する「IP Zone」です。

IPゾーンを作成する手順

OktaでIPゾーンを作成する基本的な流れは次のとおりです（Identity Engineの場合）。

Admin Console（管理コンソール）にログインする
メニューから「Security（セキュリティ）」→「Networks（ネットワーク）」に移動する
「Add Zone（ゾーンを追加）」をクリックし、「IP Zone（IPゾーン）」を選択する
ゾーン名（例：Corporate-FixedIP）を入力する
「Gateway IPs（ゲートウェイIP）」に、許可したい社内のグローバルIPを入力する
必要に応じて「Proxy IPs（信頼できるプロキシIP）」を設定する
保存する

IPアドレスの入力では、改行またはコンマで区切って複数指定でき、単一のIPアドレス・IP範囲・CIDR表記（例：203.0.113.10/32）が使えます。固定IPが1つであれば、/32のCIDR表記または単一IPで登録するのがシンプルです。

ゲートウェイIPと信頼できるプロキシIPの違い

Gateway IPs（ゲートウェイIP）：社内ネットワークがインターネットへ出ていく際の外向きグローバルIP。VPNの固定IPを使う場合は、ここに固定IPを登録するのが基本です。
Proxy IPs（信頼できるプロキシIP）：通信が信頼できるプロキシを経由する場合に、本来の接続元を判定するために用います。

ここで重要なのは、登録するのが接続元のグローバルIPである点です。社内PCのプライベートIPではなく、インターネット側から見える外向きのIPを登録します。

サインオンポリシーでアクセスを制御する

IPゾーンを作っただけでは制御は始まりません。作成したゾーンを「条件」として使うポリシーを設定して初めて、IP制限が機能します。Oktaでは大きく2つのレベルで設定できます。

1. グローバルセッションポリシー（Oktaへのサインイン全体）

Oktaそのものへのサインインに対して条件を設定します。たとえば次のような設計が可能です。

「IPゾーン Corporate-FixedIP 以外からのアクセスは拒否（Deny）」→ 社内固定IP以外を完全にブロック
「Corporate-FixedIP からのアクセスはMFAを省略、それ以外はMFAを要求」→ 利便性とセキュリティの両立

2. アプリケーションのサインオンポリシー（アプリ単位）

特定のアプリ（SaaS）ごとに条件を設定します。アプリの「Sign On」設定でルールを追加し、条件に「Network（Zone）」と「Group」などを指定します。たとえば「この業務システムは、営業グループが固定IPゾーンからアクセスした場合のみ許可」といった、きめ細かな制御ができます。

ルールは上から評価されるため、「許可するルール」と「それ以外を拒否するルール」の順序に注意してください。一般には「特定ゾーンからは許可」→「それ以外はすべて拒否」という並びで設計します。

ブロックリストゾーンの活用

既知の不正IPや特定国からのアクセスを止めたい場合は、Blocklist Network Zoneを使います。このゾーンに一致するIPからのアクセスは、ポリシー設定にかかわらず常時ブロックされます。許可リスト（IPゾーン）とブロックリストを併用することで、より堅牢な制御になります。

テレワークで「許可IPが定まらない」課題と固定IPによる解決

Network Zonesの設定自体は難しくありません。難しいのは「Gateway IPsに何を登録するか」です。

オフィス勤務中心なら、オフィス回線のグローバルIPを登録すれば済みました。しかし現在は、

自宅回線のグローバルIPは動的に変わることがある
モバイル回線・テザリングのIPは特定困難
出張先・カフェのIPは事前に分からない
拠点ごとにIPが異なる

といった理由で、社員全員の接続元IPを許可リストに固定できません。その結果、IPゾーンを作ってもポリシーを「許可IP以外はブロック」にできず、IP制限が形だけになりがちです。

これを解決するのが、全社員の接続元を1つの固定グローバルIPに統一するアプローチです。各端末をいったん固定IPを持つVPNに通せば、自宅からでも出張先からでも別拠点からでも、Oktaから見た接続元は常に同じ固定IPになります。

 自宅PC ───┐
 出張ノートPC ┼─→ 固定IP（VPN）─→ Okta の IP Zone に「この1つ」だけ登録
 拠点B ────┘

設定の流れは次のようになります。

VPNサービスで固定グローバルIPを取得する
その固定IPをOktaのIPゾーン（Gateway IPs）に/32などで登録する
サインオンポリシーで「このゾーン以外は拒否、またはMFA要求」を設定する
全社員にVPNを利用してもらい、接続元を固定IPに統一する

これにより、許可IPは1つだけで管理でき、働く場所を問わずOktaのアクセス制御が確実に効くようになります。

運用上の注意点

自分を締め出さないための検証

「許可IP以外はすべて拒否」を有効化すると、設定ミスで管理者自身もログインできなくなる恐れがあります。Oktaには「Super Admin」が誤設定でロックアウトされた場合の救済手段が用意されていますが、まずは一部グループ・一部アプリで検証し、緊急用の管理者アカウントを別途確保したうえで本適用するのが安全です。

IPだけに頼らず多層防御を

IPゾーンによる制限は「場所」を絞る仕組みです。本人確認はMFAやSSO、デバイス信頼性の評価と組み合わせ、多層的に守りましょう。Oktaの強みであるアダプティブMFAと固定IPゾーンを併用すると、堅牢かつ柔軟な制御になります。

同時接続数とライセンス設計

VPNを利用する場合、同時に何人・何台が接続するかを踏まえてライセンス数を見積もります。後述のロリポップ！固定IPアクセスは、1つの固定IPに複数ライセンスを紐づけて複数人・複数端末で共有でき（1ライセンスの同時接続は1台）、管理画面から1単位で増減できます。

Oktaと連携すれば、ユーザーの追加・削除まで自動で反映できます

「ロリポップ！固定IPアクセス」はSCIM 2.0によるIDaaS連携に対応しており、Okta向けの連携手順書も用意しています。IDaaSに登録済みのユーザーを管理画面へ自動で取り込み、IPアドレスとライセンスの割り当て、WireGuardの接続情報の配布までを自動化できます。Network Zonesに登録する許可IPは1つのまま、入退社にともなうユーザーの増減だけを自動で追従させられます。連携に追加費用はかかりません。

Oktaとの連携について見る

よくある質問（FAQ）

Q1. OktaのNetwork Zonesはどのプランでも使えますか？

Network Zonesはアクセス制御の基本機能として広く提供されていますが、利用できる機能の範囲やアダプティブな判定はプラン・エディションによって異なる場合があります。導入前にご利用のプランで使える機能を公式情報でご確認ください。

Q2. IPゾーンに登録するのは社内PCのIPですか？

いいえ。登録するのは、社内ネットワークがインターネットへ出ていく際の外向きグローバルIPです。固定IP VPNを使う場合は、そのVPNの固定グローバルIPを登録します。社内のプライベートIP（192.168.x.x等）を登録しても機能しません。

Q3. 「ブロック」と「MFA要求」はどう使い分けますか？

機密性が高く社外アクセスを一切認めない業務システムは「固定IP以外はブロック」、利便性を保ちつつ社外アクセスのリスクを下げたい場合は「固定IP以外はMFA要求」が向きます。アプリ単位でサインオンポリシーを分ければ、システムごとに使い分けられます。

Q4. 固定IPを変更したらどうなりますか？

許可しているIPが変わると、その固定IP以外からのアクセス扱いになり、ブロックされる可能性があります。固定IPを変更する際は、事前にOktaのIPゾーンを更新してください。お客様専有の固定IPを使うサービスなら、勝手にIPが変わる心配がなく運用が安定します。

まとめ

OktaのIP制限は「Network Zones（IPゾーン）でIP範囲を定義」し、「サインオンポリシーで条件として使う」という2ステップで実現する。
ゾーンには許可用のIPゾーン、地理条件などの動的ゾーン、常時遮断のブロックリストがある。
ポリシーは「固定IP以外は拒否」または「固定IP以外はMFA要求」を、Okta全体・アプリ単位で設計できる。
テレワークでは許可IPが定まらず形骸化しやすいが、全員の接続元を1つの固定IPに統一すれば、許可IPを1つ登録するだけで制御が完成する。
締め出し対策・多層防御・ライセンス設計に注意する。最新の手順は公式ヘルプを確認する。

ロリポップ！固定IPアクセスでできること

「ロリポップ！固定IPアクセス」は、WireGuardを採用したVPNで、自宅・カフェ・出張先・複数拠点など、どこからでも同じ固定グローバルIPアドレスでアクセスできるサービスです。この固定IPをOktaのIPゾーン（Gateway IPs）に登録するだけで、全社員の接続元を統一し、Network Zonesによるアクセス制御を確実に機能させられます。

申込当日から利用可能。設置工事や専門知識は不要です。
固定IPはお客様専有。1つの固定IPに複数ライセンスを紐づけ、複数人・複数端末で共有できます（1ライセンスの同時接続は1台）。ライセンスは管理画面から1単位で増減可能。
料金はライトプラン月額490円（税込539円）〜、スタンダードプランは1ライセンス450円（税込495円）・10ライセンス〜＝月額4,500円（税込4,950円）〜。
最大2ヶ月の無料お試し（1つ目の固定IP・上限10ライセンスまで）で、Okta環境と組み合わせて検証できます。
サービス詳細：https://vpn.lolipop.jp/
お申し込み：https://vpn.lolipop.jp/signup
導入のご相談：https://vpn.lolipop.jp/consultation
資料ダウンロード：https://vpn.lolipop.jp/service-document