Exchange Online（Microsoft 365 のメール）へのアクセスを、社内や特定のIPアドレスからだけに限定したい。その設定方法を今すぐ知りたい担当者は少なくありません。ところが、検索して最初に出てくる「クライアントアクセスルール（New-ClientAccessRule）」という方法は、2025年9月に完全廃止され、現在は使えません。
現在、Exchange Online のIPアドレス制限は、Microsoft Entra ID（旧 Azure AD）の「条件付きアクセス」で行います。許可したいIPアドレスを「名前付きの場所」として登録し、それ以外からのアクセスをブロックするポリシーを作る仕組みです。利用には Microsoft Entra ID P1 以上のライセンスが必要です。
この記事では、廃止された旧方式と現行方式の違いをはじめに整理します。そのうえで、条件付きアクセスでの設定手順・必要なライセンス・自分や社員を締め出さないための事前準備・テレワーク環境での注意点までを解説します。
目次
一括ダウンロードする
Exchange OnlineのIP制限は今「条件付きアクセス」で行う（旧クライアントアクセスルールは2025年9月廃止）
はじめに、最も間違えやすい点を押さえます。Exchange Online へのアクセスをIPアドレスで制御する機能として長く使われてきた「クライアントアクセスルール（Client Access Rules）」は、すでに提供を終了しています。Microsoft の公式ドキュメントは、2025年9月時点で完全に廃止され、すべての組織でサポートされなくなったと明記しています。
2025 年 9 月の時点で、Exchange Online のクライアント アクセス ルールは完全に非推奨となり、すべての組織でサポートされなくなります。 これにより、2022 年 10 月に開始された段階的廃止が完了します。
出典：Exchange Online のクライアント アクセス規則｜Microsoft Learn（learn.microsoft.com）
そのため、検索でよく見かける New-ClientAccessRule などの PowerShell コマンドでIP制限をかける手順は、今から実行しても動きません。現在の正しい方法は、Microsoft Entra ID の「条件付きアクセス」でIP範囲を指定し、社外からのアクセスをブロックするポリシーを作ることです。旧方式と現行方式の違いを整理すると、次のとおりです。
| 項目 | 提供状況 | 設定する場所 | IPアドレスの指定 | 必要なライセンス | 適用範囲 |
|---|---|---|---|---|---|
| 旧方式：クライアントアクセスルール（廃止） | 2025年9月に完全廃止（2022年10月に段階的廃止を開始） | Exchange Online PowerShell | ルールの条件としてIPを指定 | Exchange Online の各プランで利用可だった | Exchange Online 単体 |
| 現行方式：条件付きアクセス | 現行の標準的な方法 | Microsoft Entra 管理センター | 「名前付きの場所」にIP範囲を登録 | Microsoft Entra ID P1 以上 | Exchange Online を含む Microsoft 365 全体に適用可 |
廃止にともない、IPアドレスを条件としたルールは条件付きアクセスポリシーへ、プロトコルを条件としたルールは Set-CASMailbox などへ移行する、という整理が Microsoft から案内されています。この記事では、多くの読者の目的である「IPアドレスでアクセスを絞る」方法、つまり条件付きアクセスでの設定を中心に解説します。
出典・参考資料（2件）
必要なライセンス（Entra ID P1以上）とプラン別の線引き
条件付きアクセスでIP制限を始める前に、まず自社のライセンスで使えるかを確認します。条件付きアクセスは、どの Microsoft 365 プランでも使えるわけではなく、公式ドキュメントは利用に Microsoft Entra ID P1 ライセンスが必要だと明記しています。
この機能を使用するには、Microsoft Entra ID P1 ライセンスが必要です。
出典：Microsoft Entra 条件付きアクセス（概要）｜Microsoft Learn（learn.microsoft.com）
Microsoft 365 Business Premium ライセンスをお持ちのお客様は、条件付きアクセス機能を使用することもできます。
プラン別に整理すると、次のようになります。Business Basic・Business Standard には Entra ID P1 が含まれないため、これらのプランで条件付きアクセスを使うには、別途 Entra ID P1 の追加が必要です。
| ライセンス | Microsoft Entra ID Free（Business Basic・Business Standard などに含まれる範囲） | Microsoft Entra ID P1 | Microsoft 365 Business Premium | Microsoft Entra ID P2 |
|---|---|---|---|---|
| 条件付きアクセスの利用 | 利用不可（セキュリティ既定値群による一律の保護のみ） | 利用可 | 利用可（Entra ID P1 を含む） | 利用可（サインインリスクなどに応じたリスクベースの条件付きアクセスも利用可） |
IPアドレスでアクセスを絞るだけであれば、Entra ID P1 で足ります。サインインの危険度に応じて自動で制御するリスクベースの条件付きアクセスまで使う場合は、Entra ID P2（Microsoft Entra ID 保護）が必要です。
出典・参考資料（1件）
- 出典：Microsoft Entra 条件付きアクセス｜Microsoft Learn（リンク）
設定する前に必ず確認すること（締め出し・反映タイミング）
条件付きアクセスでIP制限をかけるとき、最大のリスクは「自分や全社員がログインできなくなる（締め出し＝ロックアウト）」ことです。ポリシーを作る前に、次の4点を必ず押さえておきます。
自分や全社員を締め出さないための事前準備（緊急アクセス用アカウントの除外）
IPでアクセスをブロックするポリシーは、設定を誤ると管理者自身も締め出します。これを防ぐため、Microsoft は、通常のアカウントが使えない緊急時に備えた「緊急アクセス用（ブレイクグラス）アカウント」をあらかじめ用意しておくことを推奨しています。
Microsoft は、組織が全体管理者ロールが永続的に割り当てられる 2 つのクラウド専用緊急アクセス アカウントを作成することを推奨しています。
出典：Microsoft Entra ID のセキュリティの既定値を構成する｜Microsoft Learn（learn.microsoft.com）
この緊急アクセス用アカウントを、作成したブロックポリシーの「対象外（除外）」に設定しておきます。万一、ポリシーの不備で全員が締め出されても、このアカウントから入って修正できる状態を残すのが狙いです。
いきなり有効化せず、まずレポート専用モードで検証する
作ったポリシーは、いきなり本番で有効化しないでください。条件付きアクセスには、ポリシーを実際には適用せず、適用したらどうなるかだけを記録する「レポート専用モード」があります。
レポート専用モードは、管理者がほとんどの条件付きアクセス ポリシーを有効にする前にテストできるようにするポリシー状態です。 サインイン時に、システムはレポート専用モードでポリシーを評価しますが、ポリシーは適用しません。
出典：条件付きアクセス ポリシーの分析情報: 監視と評価｜Microsoft Learn（learn.microsoft.com）
このモードで数日運用し、サインインログで「誰がブロックされる見込みか」を確認しましょう。想定外の締め出しが起きないと確認できてから本番として有効化すれば、意図しないアクセス遮断のリスクを大きく下げられます。
セキュリティ既定値群が有効なままでは設定できない（無効化が前提）
Microsoft Entra ID には、全体に一律の保護をかける「セキュリティ既定値群（Security Defaults）」という機能があります。これが有効なままだと、個別の条件付きアクセスポリシーは作成できません。
セキュリティの既定値群を置き換える条件付きアクセス ポリシーを実装する組織では、セキュリティの既定値群を無効にする必要があります。
出典：Microsoft Entra ID のセキュリティの既定値を構成する｜Microsoft Learn（learn.microsoft.com）
そのため、条件付きアクセスでIP制限を始める前に、セキュリティ既定値群を無効にします。ただし無効にすると既定の多要素認証の強制も外れるため、必要な多要素認証は条件付きアクセスポリシー側であらためて設定しておきましょう。
ポリシー反映のタイミング（CAE対応クライアントは即時・非対応は次のトークン更新まで）
IP制限が効き始めるまでの時間も押さえておきます。継続的アクセス評価（CAE）に対応したクライアント（新しい Outlook など）では、ネットワークの場所にもとづくポリシーがほぼ即時に適用されます。
ネットワークの場所の変更: 条件付きアクセスの場所のポリシーがほぼリアルタイムで適用されます。
出典：Microsoft Entra での継続的アクセス評価｜Microsoft Learn（learn.microsoft.com）
一方、CAE に対応していないクライアントでは、発行済みのアクセストークンが切れるまで旧状態が残ります。公式はトークンの既定の有効期間を1時間としており、社外に移動した利用者には最大1時間ほど遅れてポリシーが適用される計算です。「設定したのにすぐ効かない」と感じても、この反映待ちである場合があります。
出典・参考資料（3件）
条件付きアクセスでIPアドレス制限をかける手順
ここからは、実際の設定手順です。前節の注意点（緊急アクセス用アカウントの除外・レポート専用モードでの検証）を踏まえて進めましょう。手順は大きく2つに分かれます。まず許可するIPアドレスを「名前付きの場所」に登録し、次にその場所以外のアクセスを制御するポリシー（ブロックまたは多要素認証の要求）を作ります。いずれも Microsoft Entra 管理センターで操作します。
名前付きの場所に会社のIPアドレスを登録する（CIDRの入力形式）
最初に、許可したい会社やオフィスのグローバルIPアドレスを「名前付きの場所」として登録します。Microsoft Entra 管理センターで「Entra ID」>「条件付きアクセス」>「名前付きの場所」を開き、「新しい場所」から作成します。
登録するIPアドレスは、CIDR（クラスレス Inter-Domain ルーティング）表記で入力します。単一の固定IPアドレスは末尾に /32 を付けて書き（例: 203.0.113.5/32）、会社の出口IPとVPNの出口IPのように複数ある場合は、同じ名前付きの場所に続けて登録できます。公式ドキュメントでは、入力形式について次のように定められています。
IP 範囲を定義するときに、/8 より大きい CIDR マスクのみが許可されます。
IPv6 アドレスは CIDR 表記で入力する必要があります。
出典：条件付きアクセス ポリシー: ネットワーク信号の使用｜Microsoft Learn（learn.microsoft.com）
登録するのは、社内ネットワークがインターネットへ出ていくときの「出口」のグローバルIPアドレスです。社内の端末に割り当てられたプライベートIPアドレス（10.x.x.x など）ではない点に注意してください。公式も、登録対象は「ネットワークがパブリックインターネットに接続するために使用するアドレス」であると説明しています。
自社の出口IPアドレスが分からない場合は、社内のネットワーク担当者やプロバイダー・回線事業者に確認しましょう。固定グローバルIPアドレスが割り当てられていることが前提になります（固定IPがない場合の扱いは後述します）。登録した場所は「信頼できる場所」としてマークしておくと、以降のポリシーで指定しやすくなります。
出典・参考資料（1件）
- 出典：条件付きアクセス ポリシー: ネットワーク信号の使用｜Microsoft Learn（リンク）
条件付きアクセスポリシーで社外からのアクセスをブロック／多要素認証を要求する
次に、登録した名前付きの場所を使って、条件付きアクセスポリシーを作ります。「許可したいIPを登録し、その場所を除外して残りをブロックする」のが基本の組み立てです。Microsoft Entra 管理センターでの操作は次の順で進めます。
- 「条件付きアクセス」>「ポリシー」>「新しいポリシー」を開き、ポリシーに名前を付けます。
- 「ユーザー」で対象ユーザーを指定します。このとき、締め出しに備えて前節で用意した緊急アクセス用アカウントを「除外」に入れます。
- 「ターゲットリソース（クラウドアプリ）」で、メール（Exchange Online）を含む「Office 365」を選びます。
- 「条件」>「場所（ネットワーク）」で、対象に「任意の場所」を含め、除外に先ほど登録した名前付きの場所（＝許可するオフィスのIP）を指定します。これで「登録したIP以外」が制御の対象になります。
- 「アクセス制御」>「付与」で、社外を遮断するなら「アクセスのブロック」を選びます。社外でも本人確認を通れば使わせたい場合は、ブロックではなく「アクセス権の付与」で「多要素認証を要求する」を選びます。
- 「ポリシーの有効化」をいきなり「オン」にせず、まず「レポート専用」で作成します。前節のとおり数日検証し、想定外の締め出しが起きないと確認できてから「オン」に切り替えます。
登録する名前付きの場所はあくまで「許可したいオフィスのIP」で、それを除外対象に指定して残りをブロックする点がポイントです。「登録したIP以外」という場所を別に作る必要はありません。スマートフォンのメールアプリ（Exchange ActiveSync）からのアクセスも、このポリシーの対象に含まれます。
テレワーク・VPN・動的IP環境での注意点（固定IPは要るか）
IP制限を検討するとき、実務で課題になりやすいのがテレワークです。在宅勤務の社員は自宅や外出先からアクセスするため、固定のIPアドレスを持ちません。この環境でIP制限を成り立たせるには、アクセスを「決まったIP」に集約する必要があります。
一般的には、社員の通信を会社のVPNやクラウドプロキシに通し、そこの固定グローバルIPを名前付きの場所に登録します。ここで注意したいのは、条件付きアクセスが見ているのは「VPN・プロキシの出口IP」だという点です。
クラウドホスト型プロキシまたは VPN ソリューションを使用する場合、ポリシーの評価時に Microsoft Entra ID が使用する IP アドレスはプロキシの IP アドレスです。 ユーザーのパブリック IP アドレスを含む X-Forwarded-For (XFF) ヘッダーは、信頼できるソースからの検証がないため使用されません。
出典：条件付きアクセス ポリシー: ネットワーク信号の使用｜Microsoft Learn（learn.microsoft.com）
つまり、社員一人ひとりの自宅IPを登録する運用は現実的ではありません。自宅IPは多くの回線で動的に変わり、変わるたびに名前付きの場所を更新しなければ締め出しが起きるためです。社員の通信をVPNなどの固定IPに集約する設計が基本になります。
固定IPを自前で用意するのが難しい場合は、固定IPを提供するVPNサービスや、IP・端末でのアクセス制限を代行できる ID 管理サービス（IDaaS）を使う選択肢もあります。具体的なサービスは後半の「自前の運用が難しいときの選択肢」で紹介します。
混同しやすい別機能との違い（Exchange固有の落とし穴）
Microsoft 365 には、名前が似ていてIP制限と混同しやすい別機能がいくつかあります。間違った機能を設定してしまわないよう、Exchange Online 固有の注意点として整理しておきます。
SharePoint/OneDrive には管理センター側の個別IP制限がある（Exchangeは条件付きアクセスに一本化）
SharePoint Online と OneDrive for Business には、条件付きアクセスとは別に、SharePoint 管理センターの「アクセス制御」で特定のIPアドレス範囲だけを許可する機能があります。
新しい SharePoint 管理センター の [アクセス制御] に移動し（中略）[ネットワークの場所] を選択し、[特定の IP アドレス範囲からのアクセスのみを許可する] をオンにします。
出典：SharePoint と OneDrive へのネットワークの場所ベースのアクセス｜Microsoft Learn（learn.microsoft.com）
一方、Exchange Online にはこの「管理センター側の個別IP制限」はなく、クライアントアクセスルールの廃止によって、IP制限は条件付きアクセスに一本化されています。SharePoint の設定を探してもExchange側には同じ画面がない、というのがメールだけ挙動が違う理由です。
EOP の接続フィルター（IP許可/ブロックリスト）は別機能
Exchange Online Protection（EOP）にも「IP許可リスト／IPブロックリスト」という設定がありますが、これは別機能です。EOP の接続フィルターは、受信メールの送信元サーバーのIPを許可・拒否してスパムを制御するためのもので、利用者のアクセス元IPを絞る条件付きアクセスとは目的が異なります。
IP 許可または IP ブロック リストの制限 – 接続フィルターで IP 許可リストまたは IP ブロックリストを構成する場合は、最大 1273 エントリを指定できます。このエントリは、1 つの IP アドレスまたは CIDR (クラスレス Inter-Domain ルーティング) 範囲の /24 ～ /32 のいずれかです。
出典：Exchange Online Protection の制限｜Microsoft Learn（learn.microsoft.com）
「メールをどこから見られるか」を制御したいなら条件付きアクセス、「どのサーバーからのメールを受け取るか」を制御したいなら EOP の接続フィルター、と用途で使い分けます。
ActiveSync・モバイルの扱い
モバイルからのアクセスは、ポリシーの条件で「デバイスプラットフォーム」や「クライアントアプリ」を指定すると、スマートフォンだけ別の扱いにできます。社用端末のみ許可したい場合は、IP制限に加えてデバイス（端末）を条件にする設計も検討するとよいでしょう。
出典・参考資料（2件）
一括ダウンロードする
自前の運用が難しいときの選択肢（ID管理サービスの活用）
ここまで見てきたとおり、条件付きアクセスでのIP制限は、Entra ID P1 の用意・セキュリティ既定値群の調整・固定IPの確保・締め出し回避の設計と、押さえるべき点が少なくありません。
「P1 を買い足すほどではない」「条件付きアクセスの運用に自信がない」という場合は、IP・端末でのアクセス制限を SSO や多要素認証とまとめて扱える国産の ID 管理サービス（IDaaS）を使う選択肢もあります。
IDaaS を使うと、Microsoft 365 へのログインを IDaaS 側に集約し、その IDaaS が持つIPアドレス制限・端末制限の機能でアクセスを絞れます。条件付きアクセスを直接触る代わりに、一つの管理画面でアクセス制御・SSO・多要素認証・ID管理をまとめて運用できる点が利点です。
ここでは Microsoft 365 へのアクセスをIP・端末で制限できる代表的なサービスを紹介します。
| サービス名 | CloudGate UNO | HENNGE One |
|---|---|---|
| 提供会社 | 株式会社インターナショナルシステムリサーチ | HENNGE株式会社 |
| IPアドレス制限 | ● | ● |
| 端末制限（デバイス証明書） | ●オプション | ●オプション |
| Microsoft 365連携 | ●SSO連携 | ●フェデレーション連携 |
| SSO・多要素認証 | ●パスキー(FIDO2)対応 | ●パスキーは要問い合わせ |
| 月額費用 | 400円〜600円/ユーザー（税抜） | 400円〜/ユーザー（税抜） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る |
※2026年11月時点の各社公式情報にもとづく。最新の料金・機能は各社の公式情報をご確認ください。
CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNO は、ISR（株式会社インターナショナルシステムリサーチ）が自社開発する国産の ID 基盤です。SSO・多要素認証・ID管理に加え、アクセス制限として「IPアドレス制限（複数IP登録可）」「デバイス証明書による端末制限」「国・地域制限」「曜日・時間帯制限」を備えています。公式は、場所・デバイス・時間によるログイン制限を提供すると説明しています。
SSO の連携先には Microsoft 365 が含まれ、Microsoft 365 へのログインを CloudGate UNO に集約したうえで、許可したIPアドレスや社用端末からのアクセスだけに絞れます。認証はパスキー（FIDO2）によるパスワードレスにも全プランで対応し、条件付きアクセスを直接運用せずにアクセス制御と認証強化を両立できます。
料金は Standard Plus が月額400円（税抜、税込440円）からで、30日間の無料体験が用意されています（2026年11月時点、公式料金ページ）。
HENNGE One（HENNGE株式会社）
HENNGE One は、HENNGE株式会社が提供するクラウドセキュリティの統合基盤で、SSO・多要素認証・アクセス制御を担う Identity Edition を軸に構成されています。アクセス制御では、IPアドレス制限と、デバイス証明書による端末制御に対応します。契約ユーザー数は300万を超えています（2026年5月発表）。
Microsoft 365 とはフェデレーション連携でき、ログインを HENNGE One 側で受けてIP・端末による制御をかけられます。SSO は連携するクラウドサービス数が増えても追加課金がない料金設計で、480以上のサービスに対応すると案内されています。
Identity Edition の料金は IdP プランが月額400円（ID単価・税抜）からです（2026年10月以降の新プラン、公式料金ページ）。
ここで取り上げたのは、Microsoft 365 のアクセス制限に使える代表的な2サービスです。ほかの ID 管理サービス（IDaaS）も含めて、選び方・料金・導入事例までまとめて比較したい場合は、以下の記事をご覧ください。
まとめ
Exchange Online のIPアドレス制限は、検索で上位に出る旧方式「クライアントアクセスルール」が2025年9月に廃止されたため、現在は Microsoft Entra ID の条件付きアクセスで行います。許可するIPを「名前付きの場所」に登録し、それ以外をブロック（または多要素認証を要求）するポリシーを作る流れで、利用には Entra ID P1 以上のライセンスが必要です。
設定の際は、緊急アクセス用アカウントの除外・レポート専用モードでの検証・セキュリティ既定値群の無効化・反映タイミングの4点を押さえ、締め出しを避けます。テレワーク環境では固定IPへの集約が前提になり、自前の運用が難しい場合は、IP・端末での制限を SSO や多要素認証とまとめて扱える ID 管理サービス（IDaaS）の活用も選択肢になります。
一括ダウンロードする
よくある質問（FAQ）
Q. 条件付きアクセスとは何ですか？
A. 条件付きアクセスとは、Microsoft Entra ID（旧 Azure AD）が提供する、サインイン時の条件（ユーザー・アクセス元の場所・端末など）に応じてアクセスを許可・ブロック・追加認証させる仕組みです。Exchange Online のIPアドレス制限も、現在はこの条件付きアクセスで行います。
許可したいIPアドレスを「名前付きの場所」として登録し、それ以外の場所からのアクセスをブロック（または多要素認証を要求）するポリシーを作る形です。利用には Microsoft Entra ID P1 以上のライセンスが必要です。
Q. Exchange OnlineのIP制限はPowerShell（クライアントアクセスルール）で設定できますか？
A. 現在はできません。検索で見かける New-ClientAccessRule などの PowerShell コマンド（クライアントアクセスルール）は、Microsoft の公式ドキュメントで2025年9月に完全廃止されたと明記されており、今から実行しても動きません。
IPアドレスを条件としたルールは条件付きアクセスポリシーへ移行する整理になっているため、Exchange Online のIP制限は Microsoft Entra 管理センターの条件付きアクセスで設定します。すでにクライアントアクセスルールを設定していた場合も、同様に条件付きアクセスへ移す必要があります。
Q. Microsoft 365 Business StandardでもExchange OnlineのIP制限はできますか？
A. Business Standard 単体ではできず、別途 Microsoft Entra ID P1 の追加が必要です。条件付きアクセスの利用には Entra ID P1 以上のライセンスが要りますが、Business Basic・Business Standard に含まれるのは Entra ID Free の範囲で、条件付きアクセスは使えません。
なお Microsoft 365 Business Premium は Entra ID P1 を含むため、追加なしで条件付きアクセス（IP制限）を利用できます。
Q. Entra ID P1を追加せずにExchange OnlineのIP制限をかける方法はありますか？
A. Microsoft 365 の標準機能だけでIP制限をかけるには条件付きアクセス（Entra ID P1）が必要で、P1 なしに Exchange Online を直接IPで絞ることはできません。
P1 を買い足したくない場合の選択肢としては、Microsoft 365 へのログインを ID 管理サービス（IDaaS）側に集約し、その IDaaS が持つIPアドレス制限・端末制限の機能でアクセスを絞る方法があります。条件付きアクセスを直接運用せずに、SSO・多要素認証とまとめてアクセス制御を管理できます。
Q. Exchange Online単体にIP許可リストの機能はありますか？
A. Exchange Online には、サービス単体の個別IP許可リスト機能はありません（SharePoint 管理センターのような設定画面はありません）。
SharePoint Online・OneDrive for Business には管理センター側で特定のIPアドレス範囲だけを許可する設定がありますが、Exchange Online はクライアントアクセスルールの廃止によってIP制限が条件付きアクセスに一本化されています。SharePoint と同じ設定画面を Exchange 側で探しても見つからないのはこのためです。
Q. 社員の自宅のIPアドレスを全員登録すればテレワークでもIP制限できますか？
A. 自宅IPを個別に登録する運用は現実的ではありません。通信をVPNやクラウドプロキシの固定IPに集約するのが基本です。多くの家庭用回線のIPアドレスは動的に変わるため、変わるたびに名前付きの場所を更新しないと社員が締め出されてしまいます。
条件付きアクセスが見ているのはVPN・プロキシの出口IPであり、社員の通信を会社のVPNなどに通してその固定グローバルIPを登録すれば、テレワークでもIP制限を両立できます。
Q. 条件付きアクセスの設定を誤って自分が締め出されたらどうなりますか？
A. 管理者自身もログインできなくなるため、締め出しに備えて緊急アクセス用（ブレイクグラス）アカウントをポリシーの対象外にしておくことが重要です。Microsoft は、全体管理者ロールを持つ緊急アクセス用アカウントを用意しておくことを推奨しています。これをブロックポリシーの除外に設定しておけば、万一ポリシーの不備で全員が締め出されても、そのアカウントから入って修正できます。
あわせて、本番適用の前にレポート専用モードで誰がブロックされる見込みかを確認しておくと安全です。
Q. IP制限をかければ多要素認証（MFA）は不要になりますか？
A. IP制限をかけても多要素認証が不要になるわけではありません。IP制限と多要素認証は役割が異なります。IP制限は「どこからアクセスしているか」を絞る仕組みで、許可したIPの内側に入った人が本人かどうかまでは確認できません。なりすましや認証情報の漏えいに備えるには、IP制限と多要素認証を併用するのが安全です。
条件付きアクセスでは、社外からのアクセスをブロックする代わりに多要素認証を要求する設定も選べます。
Q. 条件付きアクセスでIP制限を設定してから反映されるまでどのくらいかかりますか？
A. 継続的アクセス評価（CAE）に対応したクライアントではほぼ即時に、非対応のクライアントでは発行済みのアクセストークンが切れるまで（既定で最大1時間ほど）かかります。新しい Outlook など CAE 対応クライアントは、ネットワークの場所にもとづくポリシーがほぼリアルタイムで適用されます。
「設定したのにすぐ効かない」と感じる場合は、この反映待ちであることが多いため、しばらく時間をおいて確認してください。
Microsoft 365 のアクセス制御・ID管理サービスの料金・資料を一括チェック
MCB FinTechカタログでは、Microsoft 365 へのIP・端末アクセス制限や多要素認証に対応したID管理サービス（IDaaS）の最新資料を無料で一括請求できます。アクセス制御機能・対応認証方式・料金をまとめて比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
