Microsoft TeamsのアクセスをIP制限で守る｜Entra ID条件付きアクセス活用

Microsoft Teamsは、チャット・会議・ファイル共有が集約された業務の中心ツールです。だからこそ、認証情報が漏れた場合の影響は甚大で、「会社が許可した場所からのみTeamsを使えるようにしたい」というIP制限のニーズは根強くあります。しかし「Teamsの設定画面を探してもIP制限の項目が見つからない」という声も少なくありません。

その理由はシンプルです。TeamsのアクセスをIPで制御するのは、Teams単体の設定ではなく、認証基盤であるMicrosoft Entra ID（旧Azure AD）の「条件付きアクセス」で行うからです。本記事では、条件付きアクセスと「名前付きの場所」を使ってTeamsを場所（IP）ベースで制御する仕組みと設計、そして固定IPを名前付きの場所に登録する運用を解説します。結論として、Entra IDに固定IPを「名前付きの場所（信頼できる場所）」として登録し、条件付きアクセスで「許可した場所以外はブロック」とすれば、テレワークでもTeamsのアクセス元を統制できます。ライセンス要件や最新の手順はMicrosoftの公式ドキュメントをご確認ください。なお、Microsoft 365全体のIP制限は既存記事「中小企業向けMicrosoft 365のIP制限によるセキュリティ強化とロリポップ！固定IPアクセスの活用」も参照してください。

なぜTeams単体にIP制限の設定がないのか

Teamsは、認証とアクセス制御をMicrosoft 365全体の基盤であるMicrosoft Entra IDに委ねています。ユーザーがTeamsにアクセスするとき、その背後ではEntra IDが認証とアクセス可否を判定しています。したがって、IPアドレスによるアクセス制御は、Teamsアプリ個別の設定ではなく、Entra IDの条件付きアクセスポリシーで一元的に設定します。

この構造には利点があります。条件付きアクセスでTeamsを含むMicrosoft 365アプリ群をまとめて制御できるため、TeamsだけでなくExchange Online（メール）やSharePoint、OneDriveなども同じポリシーで守れます。

条件付きアクセスの仕組み

Microsoft Entra 条件付きアクセスは、ゼロトラストの考え方に基づくポリシーエンジンです。「もし（条件）なら、（制御）する」という形でアクセス可否を判定します。

条件として指定できる主な要素は次のとおりです。

ユーザー／グループ：誰に適用するか
対象リソース（クラウドアプリ）：Teamsなど、どのアプリを対象にするか
ネットワーク（場所）：どのIP／場所からのアクセスか
デバイス（OS）：どの端末・OSからか
リスク状態：サインインやユーザーのリスク

制御は「アクセスのブロック」または「アクセス権の付与（MFA要求や準拠デバイス必須などの条件付き）」を指定できます。複数のポリシーが同時に適用された場合はすべて評価され、1つでも「ブロック」と判定されればアクセスは遮断されます。

ライセンス要件

条件付きアクセスはMicrosoft Entra ID P1で利用できます。サインインリスク・ユーザーリスクに基づくリスクベースの条件付きアクセスにはP2（Microsoft Entra ID Protection）が必要です。自社のライセンスで利用可能かは、Microsoftの公式ドキュメント（Microsoft Entra ライセンス）でご確認ください。

「名前付きの場所」でIPベースの制御を行う

IPベースの制御の中核が「名前付きの場所（Named Locations）」です。これは、IPアドレス範囲に名前を付けて登録し、条件付きアクセスの条件として再利用できる仕組みです。

IPアドレス範囲（IPv4／IPv6、CIDR表記）を登録し、「本社」「拠点A」などの名前を付ける
登録した場所は「信頼できる場所（Trusted）」としてマークでき、組織の公開ネットワーク範囲を表すのに使う
条件付きアクセスポリシーで、この名前付きの場所を「含める／除外する」形で条件に指定する

たとえば「自社の許可IPを名前付きの場所として登録し、その場所以外からのTeamsアクセスはブロックする」というポリシーを作れば、許可した場所からのみTeamsを使える状態になります。

設定の流れ（概要）

実際の設定はおおむね次の流れです。具体的な画面・項目名は変更され得るため、最新の手順はMicrosoftの公式ドキュメントをご確認ください。

名前付きの場所を登録：Entra ID管理センターで、許可するIP範囲を名前付きの場所として登録し、必要に応じて信頼できる場所としてマークする
条件付きアクセスポリシーを作成：対象リソースにTeams（および関連するMicrosoft 365アプリ）を指定する
条件にネットワーク（場所）を設定：登録した名前付きの場所を「除外」し、それ以外の場所からのアクセスを対象にする
制御を「ブロック」に設定：許可した場所以外からのアクセスを遮断する
レポート専用モードで検証：いきなり有効化せず、まずレポート専用モードで影響範囲を確認してから本適用する

条件付きアクセスの判定（例）
  対象：Microsoft Teams
  条件：名前付きの場所（許可IP）"以外" からのアクセス
  制御：ブロック
  ─────────────────────────────
  → 許可IP（固定IP）からのみTeamsアクセスを許可

固定IPを名前付きの場所に登録する

ここで決定的に重要なのが「名前付きの場所に登録するIPをどう確保するか」です。

オフィス回線が動的IPの場合や、テレワークで社員が自宅・カフェ・出張先からアクセスする場合、接続元IPは変動し、バラバラになります。名前付きの場所には固定された範囲を登録する必要があるため、IPが変わり続ける環境では登録・更新が現実的でなくなり、IP制御が形骸化します。全IP許可（実質制限なし）か運用破綻のどちらかに陥りがちです。

そこで、固定IPアクセス型のVPNで全員のアクセスを同じ1つの固定グローバルIPに統一します。その固定IPを名前付きの場所として登録すれば、テレワーク環境でも条件付きアクセスの場所ベース制御が安定して機能します。社員がどこにいても、Teamsへのアクセスは「許可した固定IP経由のみ」に統制できます。

テレワーク・複数人運用のポイント

複数人・複数拠点でも名前付きの場所は1つ：「ロリポップ！固定IPアクセス」では1つの固定IPをお客様専有で利用でき、1IPに複数ライセンスを紐づけて複数人・複数端末で共有できます（1ライセンスの同時接続は1台）。拠点や人数が増えても、Entra IDに登録する名前付きの場所は1つで済みます。
MFAと組み合わせる：条件付きアクセスでは「許可IP以外はブロック」だけでなく「許可IP外ではMFAを必須にする」といった柔軟な制御も可能です。場所とMFAを組み合わせて多層防御にします。MFAは「多要素認証(MFA)とは? 二段階認証との違いと導入すべき理由」を参照してください。
ライセンスは1単位で増減可：人員の変動に合わせてライセンスを調整できます。

注意点

締め出し（ロックアウト）に注意：条件付きアクセスを誤って設定すると、管理者自身を含む全員がアクセスできなくなる恐れがあります。緊急アクセス用の管理者アカウントをポリシーから除外しておくのが定石です。
レポート専用モードで段階的に：いきなり「ブロック」を本適用せず、レポート専用モードで影響を確認してから有効化します。
抜け道をなくす：固定IPを経由しないアクセス経路が残ると、場所ベースの制御が形骸化します。VPN経由を前提とした運用設計にします。
可用性の確保：唯一の許可IPに障害が出るとアクセスできなくなるため、緊急時の手順を整えます。
仕様・ライセンスは変わり得る：最新の手順・ライセンス要件はMicrosoftの公式ドキュメントをご確認ください。

Teamsだけでなく Microsoft 365 全体を同じ基盤で守る

条件付きアクセスの強みは、Teams単体にとどまらず、同じポリシーでMicrosoft 365全体を統制できる点にあります。Teamsを対象リソースに指定したポリシーに、Exchange Online（メール）、SharePoint、OneDriveを加えれば、これらすべてを「許可した固定IPからのみ」に統一できます。

これにより、たとえばTeamsだけIP制限してメールは素通り、といった対策のちぐはぐさを防げます。チャット・会議・メール・ファイルという業務データの主要な置き場所を、1つの名前付きの場所（固定IP）で一貫して守れるのが、Entra IDで制御する最大のメリットです。Microsoft 365全体のIP制限の考え方は、既存記事「中小企業向けMicrosoft 365のIP制限によるセキュリティ強化とロリポップ！固定IPアクセスの活用」で詳しく解説しています。

条件付きアクセスの設計パターン例

中小〜中堅企業で実装しやすい設計パターンを示します。

パターン1：許可IP以外は完全ブロック

最もシンプルで強固なパターンです。名前付きの場所（固定IP）以外からのTeamsアクセスをすべてブロックします。社外の不審なアクセスを認証の前段で遮断できますが、可用性とのバランスを考え、緊急用管理者の除外設定は必須です。

パターン2：許可IP外ではMFAを必須にする

許可IP（固定IP）からのアクセスは通常どおり、それ以外の場所からのアクセスにはMFAを追加で要求するパターンです。完全ブロックほど厳格ではないため、出張時の例外的なアクセスにも対応しつつ、社外アクセスのハードルを上げられます。場所とMFAを組み合わせた多層防御の実装例です。

パターン3：管理者・機密データは厳格、一般利用は緩やか

役割や対象データの機密度でポリシーを分けます。管理者アカウントや機密性の高いSharePointサイトへのアクセスは許可IP（固定IP）に限定し、一般的な利用はMFA要求にとどめる、といった段階設計です。

いずれのパターンでも、名前付きの場所に登録する「許可IP」を固定IPで確保しておくことが前提になります。固定IPがなければ、これらのポリシーはテレワーク環境で機能しません。

よくある質問（FAQ）

Q1. Teams単体でIP制限はできますか？ Teamsアプリ個別の設定ではIP制限を行いません。認証基盤であるMicrosoft Entra IDの条件付きアクセスで、名前付きの場所（IP）を条件に制御します。Teamsを対象リソースに指定すれば、TeamsへのアクセスをIPで制御できます。

Q2. 条件付きアクセスを使うのに必要なライセンスは？ 条件付きアクセスはMicrosoft Entra ID P1で利用できます。リスクベースの制御にはP2が必要です。自社のライセンス状況はMicrosoftの公式ドキュメントでご確認ください。

Q3. テレワークでもTeamsのアクセス元を統一できますか？ 固定IPアクセス型VPNで全員のアクセスを同じ固定グローバルIPに統一し、その固定IPをEntra IDの名前付きの場所に登録すれば、テレワークでもアクセス元を統制できます。

Q4. 名前付きの場所とは何ですか？ IPアドレス範囲に名前を付けて登録し、条件付きアクセスの条件として再利用する仕組みです。「信頼できる場所」としてマークすることで、組織の許可ネットワークを表現できます。

まとめ

TeamsのIP制御はTeams単体ではなく、Microsoft Entra IDの条件付きアクセスで行う
条件付きアクセスは「名前付きの場所（IP）」を条件にアクセス可否を判定する
条件付きアクセスはP1、リスクベース制御はP2が必要
名前付きの場所には固定されたIPが必要で、固定IPで全員のアクセス元を統一すると場所ベース制御が実用的になる
締め出し防止のため緊急用管理者を除外し、レポート専用モードで段階的に適用する

ロリポップ！固定IPアクセスでできること

「ロリポップ！固定IPアクセス」は、WireGuardを採用したVPNサービスです。どこからでも同じ固定グローバルIPでアクセスでき、申込当日からの利用が可能で、回線工事や専門知識は不要です。固定IPはお客様専有で、1つのIPに複数ライセンスを紐づけて複数人・複数端末で共有できます（1ライセンスの同時接続は1台、ライセンスは1単位で増減可）。