※本記事は2026年8月6日時点のMicrosoft公式情報を基にしています。管理画面、ライセンス、推奨設定は変更されることがあります。
Microsoft 365の業務情報を守るため、「職場の固定グローバルIPアドレスからだけアクセスさせたい」と考えることがあります。
先に結論を書くと、Microsoft 365へのアクセス元をユーザーやアプリごとに制御する基本手段は、Microsoft Entraの「条件付きアクセス」です。SharePoint管理センターにもIP制限がありますが、対象は主にSharePointとOneDriveで、管理センターやPowerShellまで制限されるため用途が異なります。
また、管理者ロックアウトを避けるためにグローバル管理者をすべて除外する設計はおすすめできません。通常の管理者は原則として制限対象に残し、緊急時専用の「緊急アクセスアカウント」を別に用意します。
IP制限はMFA（多要素認証）の代わりではありません。固定IPは「どのネットワークから接続したか」を確認する条件の一つであり、ID、認証方法、端末の安全性と組み合わせて使うものです。
Microsoft 365で使えるアクセス制限方法を比較
| 方法 | 主な対象 | 向いている用途 | 主な注意点 |
|---|---|---|---|
| Microsoft Entraの条件付きアクセス | ユーザー、グループ、クラウドアプリ | Microsoft 365全体または特定アプリへのサインインを、接続場所等で制御する | Microsoft Entra ID P1が必要。設定ミスで管理者を含めてロックアウトする可能性がある |
| SharePoint管理センターのネットワーク場所 | SharePoint、OneDriveと関連する管理操作 | SharePoint／OneDriveのデータを許可IPからのみ利用させる | 管理センター、PowerShell、外部共有、連携アプリにも影響する |
| Microsoft 365管理センターのCopilot／統合アプリ設定 | Microsoft 365 Copilot Chat | Copilotを利用できるユーザーやグループを制御する | IP制限ではなく、アプリの展開・利用可否を管理する |
| ファイアウォールやDNSで関連URLを部分遮断 | 端末またはネットワーク | 原則として推奨しない | Microsoft 365のサービス依存関係により、他機能の障害を招きやすい |
目的が「Microsoft 365全体を職場からだけ利用させる」なら条件付きアクセス、「SharePointとOneDriveのデータだけを制限する」ならSharePoint側の設定が候補です。「Copilotだけを使わせたくない」場合は、Microsoft 365管理センターのCopilot管理機能を使います。
基本はMicrosoft Entraの条件付きアクセス
条件付きアクセスは、ユーザー、グループ、接続元のIPアドレス、端末、対象クラウドアプリなどの条件を組み合わせ、アクセスを許可または拒否する仕組みです。
Microsoft公式では、条件付きアクセスの利用にMicrosoft Entra ID P1が必要とされています。Microsoft 365 Business Premiumには条件付きアクセスの利用権が含まれますが、Business Basicだけでは要件を満たさないため、P1等の追加または上位プランを検討する必要があります。Microsoft Entra条件付きアクセスの概要
ネームドロケーションへ登録するのは「外向きのIPアドレス」
職場の固定IPは、条件付きアクセスの「ネットワーク」からネームドロケーションとして登録します。IPv4とIPv6のパブリックアドレス範囲に対応しています。
ここへ入力するのは、パソコンに設定された192.168.x.xや10.x.x.xなどのプライベートIPアドレスではありません。ルーターやファイアウォールからインターネットへ出る際にMicrosoft側から見える、組織のパブリックIPアドレスです。条件付きアクセスのネットワーク割り当て
IPv6で直接インターネットへ出る端末がある場合、IPv4だけを登録すると想定外にブロックされる可能性があります。実際のサインインログでMicrosoft EntraがどのIPアドレスを認識しているかを確認してから登録する方が安全です。
なお、ネームドロケーションを「信頼済み」として登録しただけではアクセスは制限されません。その場所を条件付きアクセスポリシーの条件や除外として使用して、初めて制御が行われます。
「職場以外をブロックする」ポリシーの基本設計
一般的な考え方は次のとおりです。
- 職場のパブリックIPアドレスをネームドロケーションとして登録する
- 最初はテスト用ユーザーまたは小規模なパイロットグループだけを対象にする
- 対象となるMicrosoft 365のクラウドアプリを指定する
- すべてのネットワークを対象にし、職場のネームドロケーションを除外する
- 職場以外からのアクセスをブロックする
- 緊急アクセスアカウントを除外する
- レポート専用モードで影響を確認してから有効化する
対象を「すべてのユーザー」「すべてのリソース」にしたブロックポリシーは、設定を誤ると管理者自身もログインできなくなります。Microsoftも、ブロック制御は影響を理解し、レポート専用モードやパイロットグループで確認してから展開するよう案内しています。条件付きアクセス展開の計画
Microsoftの現在の展開ガイドでは、各ポリシーを少なくとも1週間レポート専用モードで確認してから強制適用する方法が示されています。レポート専用モードでは実際のサインインを拒否せず、「有効だった場合に許可・拒否のどちらになったか」をサインインログで確認できます。条件付きアクセスポリシーの影響分析
セキュリティの既定値との関係も確認する
Microsoft Entraの「セキュリティの既定値」と条件付きアクセスは、併用を前提とした仕組みではありません。条件付きアクセスへ移行する場合は、現在セキュリティの既定値が担っているMFAやレガシ認証対策を、条件付きアクセスポリシーで不足なく置き換える必要があります。
IP制限だけを作成して、既存のMFA対策を失わないように注意してください。
グローバル管理者を一律に除外してはいけない理由
管理者ロックアウトを防ぐため、すべてのグローバル管理者をIP制限の対象外にしたくなるかもしれません。しかし、日常的に使用する管理者アカウントを無条件で除外すると、そのアカウントが乗っ取られた場合に場所による制限が働きません。
例えば、攻撃者が管理者のパスワードやセッションを不正取得したとき、除外された管理者アカウントなら職場外のネットワークからもアクセスを試みられます。高い権限を持つアカウントほど、例外を広く設けない方が安全です。
通常の管理者アカウントは条件付きアクセスの対象に残し、ロックアウト復旧用の例外は緊急アクセスアカウントへ限定する設計が適切です。
緊急アクセスアカウントを少なくとも2つ用意する
Microsoftは、障害や設定ミスで通常の管理者がログインできない場合に備え、緊急アクセスアカウントを少なくとも2つ維持するよう推奨しています。緊急アクセス用管理者アカウントの管理
主な要件は次のとおりです。
.onmicrosoft.comドメインを使うクラウド専用アカウントにする- オンプレミスActive Directoryとの同期や外部IDプロバイダーへ依存させない
- 通常の管理者とは異なる、フィッシング耐性のある認証方法を使う
- FIDO2セキュリティキーまたは証明書ベース認証を使用する
- サインインをブロック・制限する条件付きアクセスポリシーから除外する
- 通常業務には使用しない
- サインインや監査ログを監視し、使用時に通知する
- 資格情報やセキュリティキーを安全な場所で保管する
- 少なくとも90日ごとにサインインと管理操作が可能か確認する
大切なのは、「いつも使うグローバル管理者を例外にする」のではなく、「平常時には使わない専用アカウントだけを例外にする」ことです。
SharePoint管理センターのIP制限は影響範囲が広い
SharePoint管理センターの「アクセス制御」には、「特定のIPアドレス範囲からのアクセスのみを許可する」設定があります。許可範囲外からは、ブラウザー、デスクトップアプリ、モバイルアプリのいずれを使ってもSharePointとOneDriveへのアクセスがブロックされます。SharePointとOneDriveのネットワーク場所による制限
ただし、次の影響があります。
- SharePoint管理センターとOneDrive管理センターも制限される
- SharePoint Online PowerShellのコマンドレットも制限される
- 許可IP範囲外のゲストは共有されたファイルへアクセスできない
- SharePoint上の文書を参照するMicrosoft 365アプリや外部アプリが正常に動かない場合がある
- 動的に送信元IPが変わるクラウドサービスとの連携に向かない
現在接続している管理者のパブリックIPアドレスを許可リストへ入れ忘れて自分をロックアウトし、許可IPからも接続できない場合は、Microsoftサポートへの連絡が必要になります。
SharePointとOneDriveだけを厳格に制限する明確な理由がある場合には有効ですが、Microsoft 365全体のアクセス設計としては、対象ユーザーやアプリを細かく指定できる条件付きアクセスを先に検討した方が柔軟です。
Copilotだけを制御するためにIPやURLを遮断しない
「Copilot Chatだけを止めたい」という目的で、ファイアウォール、プロキシ、DNSフィルタリングにより関連URLやIPアドレスを部分的に遮断する方法は避けた方がよいでしょう。
Microsoft 365は多数のサービスが相互に依存する分散型のクラウドサービスです。Microsoftのネットワーク設計ガイダンスでも、特定の機能だけを想定した選択的な許可リストはサポートされず、接続障害の原因になると説明されています。Microsoft 365のネットワーク接続原則
Copilot Chatを利用できるユーザーを限定する場合は、Microsoft 365管理センターの「統合アプリ」からCopilotを選び、対象ユーザーまたはグループを指定します。Microsoft 365 Copilotアプリ、Outlook、Teams、Web上のCopilot Chatなど、利用経路を踏まえて管理する必要があります。Microsoft 365 Copilot Chatの管理
Copilotの製品やアカウント、ライセンスの違いは、Microsoft Copilotの違いを整理｜個人向け・法人向け・Copilot Chat・Copilot Businessの選び方で詳しく解説しています。
固定IP付きVPNを使う場合の注意点
自宅や外出先から職場と同じ扱いで管理したい場合、固定の送信元IPアドレスを提供するVPNサービスを使い、そのIPをネームドロケーションへ登録する方法があります。
Microsoft Entraが判定に使うのは、接続元端末の元のIPではなく、Microsoft側から見えるVPNまたはプロキシのパブリックIPです。そのため、固定IP付きVPNを経由すれば、外出先からも登録済みの場所として判定させることができます。
一方で、次のリスクが増えます。
- VPN事業者やVPNサーバーの障害時にアクセスできない
- 契約変更や設備変更で固定IPが変わる可能性がある
- VPNアカウントが漏えいすると、第三者が信頼済みIPから接続できる
- VPNへ接続できない緊急時に管理経路を失う
- すべてのMicrosoft 365通信を遠隔地のVPNへ集約すると、速度や安定性が低下する
固定IP付きVPNは通常の管理経路としては使えますが、緊急アクセス手段を1つのVPNや1つの固定IPだけに依存させないことが重要です。緊急アクセスアカウントはVPN障害時にも利用できる独立した設計にします。
IP制限を導入する前に確認すること
| 確認項目 | 確認内容 |
|---|---|
| 利用ライセンス | 対象ユーザーにMicrosoft Entra ID P1以上の権利があるか |
| 固定IP | Microsoft側から見えるIPv4／IPv6のパブリックIPを確認したか |
| MFA | IP制限とは別に、全管理者と対象ユーザーのMFAを維持しているか |
| 緊急アカウント | クラウド専用の緊急アクセスアカウントを2つ以上準備したか |
| 認証方法 | 緊急アカウントにFIDO2等のフィッシング耐性認証を設定したか |
| 除外対象 | 通常のグローバル管理者ではなく、緊急アカウントだけを除外したか |
| テスト | パイロットグループとレポート専用モードで影響を確認したか |
| 利用経路 | ブラウザー、Office、スマホ、PowerShell、連携サービスを試したか |
| IPv6 | IPv6経由のサインインが想定外にブロックされないか |
| 復旧手順 | 誤設定時に無効化する担当者、端末、連絡手段を決めたか |
IP制限にも限界がある
固定IPからのみ許可しても、職場内の端末がマルウェアへ感染した場合や、VPNアカウントが盗まれた場合までは防げません。IPアドレスはユーザー本人や端末の安全性を証明するものではないためです。
また、条件付きアクセスによる場所の判定は、Webアプリへの初回サインイン時や、アプリが新しいアクセストークンを取得するときに行われます。最新の認証を使うモバイル・デスクトップアプリでは、ネットワークを移動してから新しい場所の制限が反映されるまで、既定で最大1時間程度かかる場合があります。
そのため、「社外へ出た瞬間にすべての通信が切断される仕組み」とは考えない方がよいでしょう。MFA、フィッシング耐性認証、管理対象端末、最小権限、サインイン監視などと組み合わせて防御します。
よくある質問
グローバル管理者だけIP制限から除外すれば安全ですか？
安全とはいえません。日常的に使うグローバル管理者を除外すると、そのアカウントが侵害された際に場所の制限が働きません。通常の管理者は制限対象に残し、専用の緊急アクセスアカウントだけを除外する設計が基本です。
Microsoft 365 Business Basicだけで条件付きアクセスを使えますか？
Business Basicだけでは条件付きアクセスに必要なMicrosoft Entra ID P1の要件を満たしません。P1等を追加するか、条件付きアクセスの利用権を含むMicrosoft 365 Business Premiumなどを検討します。
IP制限を設定するとスマートフォンのOfficeアプリも使えなくなりますか？
ポリシーの対象ユーザー、対象アプリ、接続場所の条件に該当すれば、スマートフォンやタブレットからのアクセスもブロックされます。モバイル回線のIPアドレスは通常固定されないため、職場Wi-Fiまたは許可したVPNを経由しないと使えない設計になります。
SharePoint管理センターのIP制限なら管理者は対象外ですか？
いいえ。SharePointとOneDriveの管理センターやPowerShell操作も制限されます。現在の接続元IPを許可リストへ入れ忘れると、管理者自身が設定を戻せなくなる可能性があります。
固定IP付きVPNがあれば緊急アクセスアカウントは不要ですか？
必要です。VPN側の障害、認証トラブル、契約変更などで管理経路が使えなくなる可能性があります。緊急アクセス手段をVPNだけに依存させないようにします。
Copilot Chatだけを社内IPから利用させることはできますか？
条件付きアクセスで対象アプリとユーザーを設計できる場合もありますが、CopilotはMicrosoft 365内の複数の利用経路やサービスにまたがります。Copilotの利用可否そのものは、Microsoft 365管理センターのCopilot／統合アプリ設定で対象ユーザーやグループを管理する方が適切です。
まとめ
Microsoft 365を固定IPからのみ利用させる場合は、次の順序で進めると管理者ロックアウトのリスクを抑えられます。
- Microsoft Entra ID P1の利用権を確認する
- MFAを維持し、クラウド専用の緊急アクセスアカウントを2つ以上準備する
- 職場のパブリックIPv4／IPv6をネームドロケーションへ登録する
- 通常の管理者を一律に除外せず、緊急アクセスアカウントだけを除外する
- パイロットグループとレポート専用モードで影響を確認する
- ブラウザー、Office、スマホ、PowerShell、連携サービスを検証してから段階的に有効化する
SharePoint管理センターのIP制限は、SharePoint／OneDriveのデータを厳格に守る用途には有効ですが、管理センターやPowerShell、外部共有、連携アプリまで影響します。Copilotだけの利用を止めたい場合は、ネットワーク機器でURLやIPを部分遮断するのではなく、Microsoft 365管理センターの管理機能を使用します。
最も重要なのは、IP制限を単独の防御策と考えないことです。MFA、フィッシング耐性認証、緊急アクセスアカウント、監視、段階的なテストを組み合わせて導入します。
