SharePoint Online と OneDrive には、Microsoft 365全体の条件付きアクセスとは別に、SharePoint専用のIP制限機能があります。 SharePoint管理センターの「アクセス制御」＞「ネットワークの場所」で許可するIPアドレス範囲を指定すると、その範囲外からのアクセスはブラウザ・デスクトップアプリ・モバイルアプリのいずれからもブロックされます。
ただし、この機能には知らずに有効化すると業務が止まる制約が3つあります。
- 場所ベースのポリシーに対応しているアプリは Teams / Viva Engage / Exchange だけ —— Power Automate、Power BI、Power Apps、Planner、OneNote などからSharePointのファイルにアクセスしている場合、許可した社内ネットワークからでもブロックされます
- 自分自身も締め出される —— この設定はSharePoint管理センターとPowerShellコマンドレットにも効きます。許可リストに自分のIPアドレスを入れ忘れると、Microsoftサポートに連絡するしか復旧手段がありません
- 許可するIPアドレスが固定でないと成立しない —— 動的IPの回線では番号が変わるたびに全員がアクセス不能になります
この記事では、設定手順そのものと、これらの制約を踏まえた運用の考え方を解説します。
この記事の前提
本文の設定画面・仕様は2026年8月時点のMicrosoft公式ドキュメントに基づいています。
出典: SharePoint と OneDrive へのネットワークの場所ベースのアクセス（Microsoft Learn）
IP制限そのものの仕組みと、許可リスト方式で運用するときの前提はIP制限（IPアドレス制限）とは？仕組みと設定方法を解説にまとめています。
SharePointのIP制限は2種類ある
SharePointへのアクセスをIPアドレスで絞る方法は2つあり、目的が違います。
| 方法 | 設定場所 | 特徴 |
|---|---|---|
| 条件付きアクセス | Microsoft Entra 管理センター | Microsoft 365全体の入口で制御する。Entra ID P1以上が必要 |
| ネットワークの場所ベースのポリシー | SharePoint管理センター | SharePoint / OneDrive だけを対象に、サービス側で直接ブロックする |
基本は条件付きアクセスで、SharePointの機密性がとくに高い場合に後者を上乗せする、という関係です。条件付きアクセスはサインイン時（および継続的アクセス評価のタイミング）に効きますが、ネットワークの場所ベースのポリシーはSharePointへのリクエストそのものを弾くため、より直接的です。
条件付きアクセス側の設定はMicrosoft 365のIP制限設定ガイドにまとめています。以下はSharePoint固有のほうの手順です。
手順：SharePoint管理センターで設定する
203.0.113.10, 198.51.100.0/24）。保存前に必ず確認すること
いま自分が使っているグローバルIPアドレスを、許可リストに必ず含めてください。
この設定はSharePointサイトとOneDriveだけでなく、SharePoint管理センター・OneDrive管理センター・PowerShellコマンドレットの実行にも適用されます。許可範囲外に自分がいると設定を戻すことができず、Microsoftのサポートに連絡する必要があります。
自分のIPアドレスはグローバルIPアドレスの確認方法の手順で調べられます。
PowerShellで設定する場合
複数テナントの管理や、設定内容をコードで管理したい場合はPowerShellが使えます。
# 許可するIPアドレス範囲を指定する
Set-SPOTenant -IPAddressAllowList "203.0.113.10/32,198.51.100.0/24"
# 現在の設定を確認する
Get-SPOTenant | Select-Object IPAddressEnforcement, IPAddressAllowListなお、重複したIPアドレスを含めて保存すると「入力 IP 許可リストに重複がある」という趣旨の関連付けIDつきエラーになります。範囲が重なっていないか事前に確認してください。
有効化する前に知っておくべき3つの制約
制約1：対応していないアプリからのアクセスは全部ブロックされる
これがもっとも見落とされやすい点です。場所ベースのポリシーに対応しているのは、Teams / Viva Engage / Exchange のみです。
つまり、次のようなアプリからSharePointのドキュメントを開いている場合、信頼されたネットワークの内側にいてもブロックされます。
- Power Automate（SharePointリストをトリガーにしたフロー）
- Power Apps / Power BI
- Planner
- OneNote
- Skype
SharePointは、対応していないアプリについては「そのユーザーが信頼された境界内にいるかどうか」を判断できないため、一律で拒否します。業務フローがこれらのアプリに依存していないかを、有効化の前に必ず棚卸ししてください。
Microsoftの推奨
SharePointで場所ベースのポリシーを有効にする場合、ExchangeとViva Engageにも同じポリシーと同じIPアドレス範囲を設定することが推奨されています。SharePointはこれらのサービスに依存して、ユーザーが信頼されたIP範囲内にいるかを判断しているためです。
また、Office.comポータル経由のアクセスを守りたい場合は、「Office 365」を対象にしたMicrosoft Entraの条件付きアクセスポリシーで信頼できるIP範囲を構成するのが推奨されています。
制約2：外部共有したゲストもブロックされる
社外の取引先とファイルやフォルダーを共有している場合、そのゲストは許可したIPアドレス範囲の外からアクセスすることになります。当然、アクセスできません。
外部共有を業務に組み込んでいる組織では、場所ベースのポリシーは事実上使えないか、外部共有を別のテナント・別のサイトに分離する設計が必要になります。
制約3：動的IPからのアクセスは前提として成り立たない
場所ベースのポリシーは、固定された信頼できるIPアドレス範囲に依存しています。IPアドレス範囲を事前に特定できない環境では、この機能そのものが選択肢になりません。
これはクラウドサービス側からのアクセスにも当てはまります。たとえばAzureのデータセンターからSharePointにアクセスするサービスは、フェールオーバーなどの理由で送信元IPアドレスが動的に変わることがあります。
そして何より、自社の回線が動的IPだと運用できません。
SharePointのIP制限には固定IPアドレスが必要
許可リストに登録するIPアドレスが変わってしまえば、その瞬間に全社員がSharePointとOneDriveにアクセスできなくなります。一般的なインターネット回線で割り当てられる動的IPアドレスは、ルーターの再起動や回線の切断で変わるため、この用途には使えません（詳しくはIPアドレスが変わる原因とタイミング）。
さらにテレワークが絡むと、社員の自宅回線のIPアドレスを1件ずつ登録する運用になり、人数分のIPアドレスが変わり続けるため管理が破綻します。
全員を1つの固定IPアドレスに集約する
現実的な解は、社員がどこから接続しても同じ固定グローバルIPアドレスで外に出る構成にすることです。そうすれば、SharePointの許可リストに登録するIPアドレスは1つで済みます。
ロリポップ！固定IPアクセスは、GMOペパボが提供するVPN型の固定IPアドレスサービスです。回線工事もプロバイダ変更も不要で、専用アプリに設定ファイルを読み込むだけで、オフィス・自宅・出張先のどこからでも同じ固定IPアドレスになります。
- 許可リストに登録するのは1つの固定IPアドレスだけ。入退社のたびに設定を触る必要がありません
- ライセンスを追加すれば、同じ固定IPアドレスを複数人・複数端末で利用できます
- ライトプランなら1ライセンスあたり月額490円（税込539円）、10ライセンスからのスタンダードプランなら1ライセンスあたり月額450円（税込495円）から
- オンラインで申し込みが完結し、最短即日で利用開始できます
⇒【ロリポップ！固定IPアクセス】 月額490円（税込539円）〜、すぐに使えて最大2ヶ月間無料！
SharePointのIP制限に関するよくある質問
条件付きアクセスとSharePointのアクセス制御はどちらを使うべきですか？
まず条件付きアクセスを設定するのが基本です。Microsoft 365全体を一貫したルールで守れるうえ、ExchangeやTeamsにも同じポリシーが効きます。そのうえで、SharePointに特に機密性の高い情報があり、対応していないアプリをブロックしても業務に支障がないと確認できた場合に、SharePointのネットワークの場所ベースのポリシーを上乗せします。
設定してからどのくらいで反映されますか？
最長で15分ほどかかります。保存直後にアクセスできてしまっても、設定が効いていないわけではないので、しばらく待ってから再確認してください。
許可リストに自分のIPアドレスを入れ忘れて管理画面に入れなくなりました。復旧できますか？
管理者自身では戻せません。SharePoint管理センター・OneDrive管理センター・PowerShellのいずれも許可範囲外からは実行できなくなるため、Microsoftのサポートに連絡して解除を依頼する必要があります。設定前に必ず自分のグローバルIPアドレスを確認し、許可リストに含めてください。
Power AutomateのフローがSharePointにアクセスできなくなりました。回避方法はありますか？
場所ベースのポリシーはPower Automateに対応していないため、ポリシーを有効にしている限り回避できません。Power Automateなどの連携が必須の場合は、SharePointのネットワークの場所ベースのポリシーは使わず、Microsoft Entraの条件付きアクセスによる制御に寄せる設計を検討してください。
社外の取引先との共有はどうなりますか？
許可したIPアドレス範囲の外からのアクセスになるため、ゲストは共有されたファイルやフォルダーを開けなくなります。外部共有を続ける必要がある場合は、場所ベースのポリシーを適用するテナント・サイトの範囲を見直す必要があります。
まとめ
SharePoint OnlineとOneDriveのIP制限は、SharePoint管理センターの「アクセス制御」＞「ネットワークの場所」、またはPowerShellの Set-SPOTenant -IPAddressAllowList で設定できます。設定作業自体は数分で終わります。
難しいのは設定ではなく、有効化しても業務が止まらないかの見極めです。
- Teams / Viva Engage / Exchange 以外のアプリからSharePointにアクセスしていないか
- 外部共有のゲストがいないか
- 自分のIPアドレスを許可リストに入れたか
- そして、許可リストに登録するグローバルIPアドレスが固定されているか
最後の1点を回線を変えずに満たすなら、ロリポップ！固定IPアクセスのようなVPN型の固定IPサービスが選択肢になります。Microsoft 365全体の設定はMicrosoft 365のIP制限設定ガイド、メール側はExchange OnlineのIP制限もあわせてご覧ください。
