SaaSのIP制限を一元管理するには？複数SaaS×固定IPの運用設計

クラウド化が進み、いまや1社で数十のSaaSを使うことも珍しくありません。各SaaSにはIPアドレス制限（許可リスト）機能が用意されていることが多く、「許可した接続元からのアクセスだけを通す」ことで不正アクセスのリスクを下げられます。

ところが、SaaSが増えるほど、そしてテレワークが広がるほど、IP制限の運用は急速に難しくなります。「SaaSごとに許可IPを設定したいが、社員の接続元IPがバラバラで、何を登録すればいいのか分からない」——これは、IP制限を導入しようとする多くの企業が直面する壁です。

この記事では、複数SaaSのIP制限が破綻する根本原因を解き明かし、固定IPで全社員の接続元を1つに揃え、各SaaSに同じ許可IPを登録する一元管理の運用設計を解説します。許可IP管理表の考え方や、テレワークへの対応、運用上の注意点まで、実務に落とせる形で整理します。

結論を先に述べます。複数SaaSのIP制限を現実的に運用する鍵は、「SaaS側を統一する」のではなく「接続元を統一する」ことです。全社員が同じ固定グローバルIPからアクセスすれば、各SaaSの許可リストに登録するIPは1つに揃い、管理が一気にシンプルになります。

IP制限そのものの仕組みと、許可リスト方式で運用するときの前提はIP制限（IPアドレス制限）とは？仕組みと設定方法を解説にまとめています。

なぜ複数SaaSのIP制限は破綻するのか

SaaSごとに許可IPを設定する負担

多くのSaaSがIP制限機能を備えています。本連載で取り上げてきたAdobe、Figma、Miro、LegalOn / LegalForce、Wrikeなどもそうです（製品により対応状況やプランは異なります）。一見、「各SaaSの管理画面で許可IPを登録すればいい」と思えます。

しかし、登録する「許可IP」の中身が問題です。許可リストには、社員が実際に接続してくる元のグローバルIPを登録しなければ意味がありません。ここで多くの現場がつまずきます。

テレワークで接続元IPがバラバラになる

オフィス勤務が前提だった時代は、全員がオフィスの固定回線から接続していたため、オフィスのグローバルIPを1つ登録すれば済みました。

テレワークが広がると状況は一変します。社員それぞれが自宅のインターネット回線を使い、その家庭用回線のグローバルIPはプロバイダーから動的に割り当てられ、再接続のたびに変わることがあります。社員50人なら最大50通り、しかも日々変動するIPを把握し続けるのは不可能です。

「SaaSの数 × 社員の数」だけ管理対象が増える

複数SaaS環境では、この問題が掛け算で膨らみます。仮に社員の接続元IPがバラバラなまま、SaaSごとに許可IPを登録しようとすると、「SaaSの数 × 把握しきれない社員のIP」という、事実上管理不能な組み合わせが生まれます。

結果として「形骸化」か「業務阻害」に陥る

こうして多くの現場は、次のいずれかに陥ります。

形骸化：管理しきれず、IP制限を緩めて広い範囲を許可する。実質的にセキュリティが効かなくなる。
業務阻害：オフィス回線のみ許可し、テレワークや出張先からのアクセスを禁止する。SaaSの利便性が失われる。

どちらも望ましくありません。IP制限は「導入したけれど運用が回らない」典型的な対策になりがちなのです。

発想の転換：「接続元」を統一する

SaaS側ではなく、接続元を揃える

この問題の根本原因は、SaaS側がバラバラなことではなく、社員の接続元IPがバラバラなことにあります。であれば、解くべきは接続元です。

全社員が、どこから働いていても、同じ1つのグローバルIPからインターネットに出るようにできれば——各SaaSの許可リストに登録するIPは、たった1つで済みます。SaaSがいくつあっても、登録するIPは共通。管理対象が「SaaSの数 × 社員の数」から「SaaSの数 × 1」へと劇的に減ります。

これを実現するのが「固定IP」

全社員の接続元を1つに統一する手段が、固定IPです。固定IP型のVPNを使えば、社員が自宅・出張先・サテライトオフィスのどこから接続しても、同じ固定グローバルIPで外部のSaaSにアクセスできます。SaaS側からは、全社員が「同じ許可された接続元」から来ているように見えます。

一元管理の全体像

固定IPを軸にした一元管理は、次の構造で整理できます。

接続元（1つの固定IP）：全社員がVPN経由でこの固定IPからアクセスする。
各SaaSの許可リスト：すべてのSaaSに、同じ固定IPを1つ登録する。
管理ドキュメント：「どのSaaSに、どのIPを、いつ登録したか」を一覧化して管理する。

接続元を1つに揃えることで、SaaSごとの設定はシンプルな繰り返し作業になり、変更や監査もしやすくなります。

ロリポップ！固定IPアクセスを使った運用設計

サービスの概要

GMOペパボが提供する「ロリポップ！固定IPアクセス」は、WireGuardを採用したVPNサービスです。VPNに接続すれば、どこからアクセスしても同じ固定グローバルIPで外部のSaaSに接続できます。各SaaSの許可IPには、この固定IPを1つ登録するだけで済みます。

一元管理の観点で押さえたい特徴は次のとおりです。

どこからでも同じ固定IP：在宅・出張先・複数拠点のいずれからでも、全社員の接続元が1つに揃う
申込当日利用可・工事不要：専用線の敷設や専門知識を必要とせず、すぐに運用を始められる
固定IPは専有：他社と共有しない自社専用のグローバルIPのため、許可リストに登録する対象が明確で、監査時の説明もしやすい
1IPに複数ライセンスを紐づけ可能：1つの固定IPを全社員・全端末で共有できる（1ライセンスの同時接続は1台）。ライセンスは1単位で増減できるため、組織の増減に追従しやすい

導入の流れ（概念）

ロリポップ！固定IPアクセスを契約し、利用する固定グローバルIPを確定する
社員数・端末数に応じてライセンスを用意し、各端末にVPNを設定する
業務で使う各SaaSの管理画面で、IP制限を有効化し、許可IPにその固定IPを登録する
IdP（IDaaS）で条件付きアクセスを使う場合は、IdP側の許可IPにも同じ固定IPを登録する
「SaaS利用時はVPN経由」という運用ルールを全社で統一し、周知する

各SaaSやIdP、ロリポップ！の具体的な設定画面・項目は更新される場合があるため、最新の手順は各公式ヘルプをご確認ください。

許可IP管理表（テンプレート）の考え方

複数SaaSを横断して管理するには、状態を一覧化するドキュメントが欠かせません。「許可IP管理表」を用意し、次の項目を整理しておくことをおすすめします。

SaaS名：Adobe、Figma、Miro、LegalOn、Wrike など
IP制限の対応状況：対応あり／IdP経由／上位プラン限定など
設定場所：SaaS本体の管理画面／ IdPの条件付きアクセスなど
登録した許可IP：自社の固定IP（基本的に全SaaS共通の1つ）
対象プラン：自社が契約しているプランで利用可能か
MFA併用の有無：接続元（IP）に加えて本人確認（MFA）を併用しているか
設定日・最終確認日：いつ設定し、いつ棚卸しで確認したか
管理担当者：設定・変更の責任者

この管理表があると、新しいSaaSを導入したときに「IP制限を有効化し、固定IPを登録する」というチェックを抜け漏れなく回せます。また、固定IPを変更する必要が生じた場合も、「どのSaaSのどこを更新すればよいか」が一覧で分かり、修正漏れを防げます。監査や内部統制の説明資料としても活用できます。

管理表運用のコツ

新規SaaS導入時のチェックリストに組み込む：「IP制限を有効化したか」「固定IPを登録したか」を導入手順に含める。
IP変更時の影響範囲を即座に把握する：固定IPを変える際は管理表を見れば、更新が必要なSaaS・IdPがすべて分かる。
定期的に棚卸しする：使わなくなったSaaSや、設定が外れていないかを定期的に確認する。

テレワーク・複数拠点への対応

在宅勤務でも接続元が変わらない

固定IP型VPNを使えば、社員が自宅から接続しても、VPN経由である限り接続元は同じ固定IPです。各SaaSの許可リストはそのままで、テレワークでもIP制限が機能し続けます。「在宅だからアクセスできない」「在宅のたびに許可IPを追加する」といった運用が不要になります。

出張・サテライトオフィスでも同じ

出張先のWi-Fiやモバイル回線、サテライトオフィスからでも、VPNに接続すれば同じ固定IPでアクセスできます。働く場所が増えても、SaaS側の設定を変える必要はありません。

外部協力者・複数拠点の扱い

外部の協力会社や別拠点のメンバーにもライセンスを付与してVPN経由で接続してもらえば、彼らの接続元も同じ固定IPに揃います。組織の境界が広がっても、接続元の統一という原則は変わりません。プロジェクト終了時にライセンスを減らせば、接続経路ごとアクセスを整理できます。

設定・運用でつまずきやすいポイント

自分自身を締め出さない

IP制限を有効化する際、管理者自身が許可リスト外のIPから操作していると、設定直後に自分がログインできなくなる事故が起こり得ます。VPN接続を確立し、固定IP経由でアクセスできることを確認してから、各SaaSの制限を有効化しましょう。複数SaaSを一気に設定する場合は特に注意が必要です。

IP制限とMFAは「両方」使う

IP制限は「どこから」、MFA・SSOは「誰か」を制御します。目的が異なるため、両方を併用する多層防御が有効です。固定IPで接続元を絞ったうえで、IdP連携やMFAを重ねることで、より堅牢な統制になります。

API・外部連携の接続元も棚卸しする

SaaSによっては、IP制限がAPI呼び出しにも適用されます。他システムとの自動連携やバッチがある場合、その接続元IPも許可リストに含める必要があります。連携が止まらないよう、事前に棚卸ししておきましょう。

対応状況は製品ごとに正確に確認する

IP制限の対応状況やプランは製品によって異なります。SaaS本体で制御できるもの、IdP経由が前提のもの、上位プラン限定のもの——管理表で「どこでIPを判定するか」を製品ごとに整理し、最新の対応状況は各公式ヘルプで確認してください。

VPN接続の徹底を運用ルールに

固定IPによる一元管理は、「全社員がVPN経由で接続している」ことが前提です。VPN未接続のままアクセスして弾かれる、という運用ミスを防ぐため、接続手順を周知し、業務開始時の接続を習慣化する仕組みを整えましょう。

よくある質問（FAQ）

Q1. SaaSごとに違う許可IPを登録する必要がありますか？

固定IPで全社員の接続元を統一すれば、各SaaSに登録する許可IPは基本的に同じ1つで済みます。SaaSがいくつあっても、登録するIPは共通になり、管理がシンプルになります。

Q2. テレワークでもIP制限を維持できますか？

維持できます。固定IP型のVPNを使えば、社員が自宅・出張先・拠点のどこから接続しても同じ固定IPになるため、各SaaSの許可リストを変えずにIP制限を機能させ続けられます。

Q3. IP制限に対応していないSaaSはどうすればよいですか？

SaaS本体がIP制限に対応していない場合でも、SSO（SAML）を構成し、IdP（IDaaS）の条件付きアクセスで接続元IPを判定する方法があります。この場合もIdPに登録する許可IPを固定IPに揃えれば、同じ運用に乗せられます。

Q4. 許可IP管理表には何を書けばよいですか？

SaaS名、IP制限の対応状況、設定場所（SaaS本体かIdPか）、登録した許可IP、対象プラン、MFA併用の有無、設定日・最終確認日、管理担当者などを整理します。新規SaaS導入時のチェックや、IP変更時の影響範囲の把握、監査対応に役立ちます。

Q5. 固定IPは全社員で共有できますか？

ロリポップ！固定IPアクセスでは、1つの固定IPに複数ライセンスを紐づけて複数人・複数端末で共有できます（1ライセンスの同時接続は1台）。ライセンスは1単位で増減できるため、全社規模でも部門単位でも柔軟に運用できます。

まとめ

複数SaaSのIP制限が破綻する根本原因は、SaaS側ではなく「社員の接続元IPがバラバラ」なことです。
テレワークが広がると、SaaSの数 × 社員の数だけ管理対象が増え、形骸化か業務阻害に陥りがちです。
解決策は「接続元を統一する」こと。全社員が同じ固定IPからアクセスすれば、各SaaSに登録する許可IPは1つに揃います。
許可IP管理表で「どのSaaSに、どのIPを、どこで設定したか」を一覧化すれば、新規導入・IP変更・監査がスムーズになります。
IP制限とMFA・SSOを併用する多層防御で、より堅牢なSaaSセキュリティ統制を実現できます。
「ロリポップ！固定IPアクセス」は工事不要・申込当日利用可で、専有の固定IPを全社員で共有でき、複数SaaSのIP制限を一元管理する土台になります。

各SaaS・IdPの対応状況や設定手順は更新される場合があるため、最新情報は各公式ヘルプをご確認ください。

ロリポップ！固定IPアクセスでできること

「ロリポップ！固定IPアクセス」は、WireGuardを採用したVPNで、どこからでも同じ固定グローバルIPでアクセスできるサービスです。工事や専門知識は不要で、申込当日から利用できます。

全社員の接続元を1つの固定IPに統一：複数SaaSの許可リストに登録するIPを1つにまとめ、一元管理を実現します。
専有の固定IPを全社員で共有：1つの固定IPに複数ライセンスを紐づけ、複数人・複数端末で利用可能（1ライセンスの同時接続は1台）。ライセンスは1単位で増減できます。
わかりやすい料金：ライトは月額490円（税込539円）〜、スタンダードは10ライセンス〜＝月額4,500円（税込4,950円）〜。最大2ヶ月無料（1つ目の固定IP・上限10ライセンス）でお試しいただけます。オプションとして接続ログ／ルーティング各税込110円もご用意しています。

複数SaaSのIP制限を「接続元の統一」でシンプルにしたい方は、まずはお気軽にご相談ください。

お申し込み：https://vpn.lolipop.jp/signup
導入のご相談：https://vpn.lolipop.jp/consultation