条件付きアクセスで社外・海外からのサインインを制限する｜IP と国の指定（Entra ID のネームド ロケーション）

たとえば、事務所が1か所あり、在宅で働く人がいて、年に何回か海外へ出張する人がいる会社があるとします。海外からの不正なサインインを止めたいので、条件付きアクセスで「会社の IP アドレスからだけ入れる」ようにしたい。ところが、そうすると在宅の人は入れなくなり、出張のたびに設定を変えることになりそうで、手が止まります。

この記事を読むと、会社の IP アドレスと国のどちらを、どのポリシーに使うかを決められます。在宅の人を止めずに海外からのサインインを絞る形と、海外出張のときの外し方も分かります。当社は Microsoft 365 の導入を支援している会社で、ライセンスの販売はしていません。

「場所」に登録するのは、会社の外向きの IP アドレスと、使う国

条件付きアクセス（決めた条件を満たすときだけ、Microsoft 365 などへのサインインを通す Entra ID の機能）では、サインインした場所を条件に使えます。場所は、Entra 管理センターの［条件付きアクセス］>［ネームド ロケーション］に、名前を付けて登録しておきます。Microsoft の公式の技術文書のサイトである Microsoft Learn（以下、Learn）では「名前付き場所」とも書かれています。条件付きアクセスを使うには Microsoft Entra ID P1 のライセンスが要り、Business Premium にも含まれています（Microsoft Learn「条件付きアクセスとは」）。どのプランに P1 が入っているかはEntra ID の Free・P1・P2 の記事に書いています。

一覧の上に［国の場所］と［IP 範囲の場所］のボタンがあり、場所の種類はこの2つです（当社の検証用の環境、2026年11月6日）。一覧の説明には、信頼済みとマークした場所と、条件付きアクセスのポリシーで使っている場所は削除できない、と書かれていました。場所を作るのは、少なくとも条件付きアクセス管理者のロールを持つ人です（Microsoft Learn「場所ごとにアクセスをブロックする」）。

IP 範囲の場所：会社の回線がインターネットに出るときのアドレス

［IP 範囲の場所］を押すと［新しい場所 (IP 範囲)］の画面が開きます。名前と IP アドレスの範囲を入れ、必要なら［信頼できる場所としてマークする］に印を付けます。入れるのは、会社の回線がインターネットに出るときのアドレス（外向きの IP アドレス、パブリック IP アドレスとも呼びます）です。社内のパソコンに付いている 10.… や 192.168… のようなアドレスではありません。社内のネットワークの端末も、ネットワークがインターネットにつなぐときのアドレスで判定されるからです。会社の外向きのアドレスが分からなければ、回線の契約先か、ネットワークを設定した業者に聞くのが確かです。

範囲は「203.0.113.0/24」のような CIDR の書き方（アドレスと、範囲の大きさを表す「/」の後の数）で入れます。IPv6 のアドレスも CIDR の書き方で入れます。上限は、IP 範囲の場所が195個まで、1つの場所に範囲が2,000個まで、範囲の大きさは /8 より細かいものだけです（Microsoft Learn「条件付きアクセス: ネットワーク割り当て」）。［信頼できる場所としてマークする］に印を付けた場所は、ポリシーの中で「信頼できる場所」としてまとめて選べます。印を付けた場所は、印を外さないと削除できません。撮影のときは範囲を入れていません。範囲を足す［＋］を1回押しましたが、入力の行は出ませんでした。範囲を入れたあとの画面は確かめていません。

国の場所：仕事で使う国

［国の場所］を押すと［新しい場所 (国)］の画面が開き、名前を付けて国・地域を一覧から選びます。国をどう判定するかは［国の検索方法］の欄で、「IP アドレスによる場所の特定 (IPv4 と IPv6)」（最初に選ばれていた値）と「GPS 座標による場所の特定」から選びます。どの国にも対応づけられない IP アドレスもあり、それも含めるかを［不明な国/地域を含める］で選べます。Learn ではこの欄の説明の見出しが「不明な国またはリージョンを含める」になっていますが、同じ欄のことです。

IP アドレスで判定するときは、Entra ID が IPv4・IPv6 のアドレスを、定期的に更新される対応表で国に置き換えます。つまり、国は本人がいる場所ではなく、インターネットに出るときのアドレスから推定したものです。

GPS で判定するときは、社員のスマホの Microsoft Authenticator のアプリが位置を送ります。システムは1時間ごとにアプリに位置を聞きに行き、最初の許可から24時間たつと、社員はアプリを開いて通知を承認し直す必要があります。パスワードを使わない認証方法だけを設定している人には、GPS の判定が効きません。Learn は、この機能を使うのは、とても機密性の高いアプリを守るときに限るよう書いています。そのアプリも、1時間ごとの確認の知らせを受け入れられるか、特定の国に限る必要があるものに限ります。当社は、会社全体の国のブロックには IP アドレスでの判定をお勧めします。社員全員のスマホに1時間ごとの位置の確認を求めることになるからです。

この記事に関連するサービス

M365・Google Workspace の移行と設定の相談移行と設定を、1件から相談できます。詳しく見る →Microsoft 365 導入支援Exchange・SharePoint・Teamsの移行から権限設計・Copilot活用まで詳しく見る →Google Workspace 導入・移行支援Gmail移行から権限設計・Gemini活用まで詳しく見る →AIセキュリティ診断・規約・ルール整備AIを使う前に、出す前に。安全の確認と、規約・ルールの整備を詳しく見る →Notion 導入支援議事録・ナレッジ・タスクを一箇所にまとめる詳しく見る →

サインインした人は、どの場所と判定されるか

場所の判定に使われるのは、サインインがインターネットに出るときの IP アドレスです。場面ごとに並べると、次のようになります。国は IP アドレスから推定したものなので、表の国は、ふつうはそう判定されるという目安です。たとえば、海外で日本の携帯回線のローミングを使ったときにどの国と判定されるかは、当社では確かめていません。実際の判定は、サインイン ログで確かめます。サインイン ログの列の見方はサインイン ログの見方の記事にまとめています。

気をつけたいのは3つです。

1つ目はクラウドの VPN やプロキシです。これらを通すと、Entra ID は VPN やプロキシのアドレスで判定し、本人のアドレスを含む X-Forwarded-For という情報は使いません。クラウドの VPN やプロキシが使う IP アドレスの一覧を最新に保つことはほぼ不可能だ、とも Learn は書いています（Microsoft Learn「条件付きアクセス: ネットワーク割り当て」）。海外の出口を使う VPN なら、日本にいても海外と判定されます。逆に、海外にいても日本の出口の VPN を使えば日本と判定されます。だから当社は、国のブロックを多要素認証の代わりとは考えていません。

2つ目は IPv6 です。事務所の回線が IPv6 でもインターネットに出ていると、サインインが IPv6 のアドレスで届くことがあります。Learn の IPv6 のページは、ネットワークを表す外向きの IPv6 アドレスがあるのに場所に足していないと、ユーザーがブロックされると書いています。サインイン ログで IPv6 のアドレスを探し、回線の契約先と一緒に外向きの IPv6 のアドレスを確かめるよう勧めています（Microsoft Learn「Microsoft Entra ID での IPv6 サポート」）。会社の IP の場所を作るときは、IPv4 と IPv6 の両方を入れます。

3つ目は判定の時期です。条件付きアクセスは、サインインのときと、アプリが新しいトークン（サインインの証明）を取りに行くときに判定されます。Entra ID は既定で1時間ごとにトークンを出すので、事務所から外へ出た人には、最新の認証を使うアプリなら1時間以内に新しい場所でポリシーが当たります。Web のアプリは、最初のサインインのときに判定され、その結果がアプリごとのセッションの長さのあいだ続きます。そのため、1時間より遅れることがあります。また、条件付きアクセスはパスワードなど1つ目の認証が済んだ後に当たります。Learn は、条件付きアクセスはサービス拒否（DoS）攻撃などへの防御の最前線を意図したものではない、と書いています（Microsoft Learn「条件付きアクセス: ネットワーク割り当て」）。

場所をどのポリシーに使うか

場所は、それだけでは何も止めません。ポリシーの［ネットワーク］の欄で場所を対象にしたり対象外にしたりして、はじめて効きます。Learn が例に挙げる使い方を、この記事の会社に当てはめると、次の3つになります。

1つ目の「使う国以外を止める」は、Learn が「組織がビジネスを行っていない国/リージョンをブロックする」として挙げている使い方です。会社の多くの人に関わるのは、この1本です。

2つ目は、管理者の操作や、給与・会計のように見られる人を絞りたいアプリだけを、会社の回線からに限る使い方です。在宅や出張中にその操作をする人がいないときにだけ使えます。管理者に使うなら、緊急用アカウントを対象外に入れます。

3つ目は、全員に多要素認証を求めるポリシーで「信頼できる場所」を対象外にし、事務所の中では多要素認証を省く使い方です。ただ、Microsoft は、すべてのユーザーとすべてのリソースに多要素認証を求めるポリシーを、どの組織も作るよう勧めています（Microsoft Learn「すべてのユーザーに多要素認証を要求する」）。当社は、事務所の中を例外にすることはお勧めしません。事務所の中のパソコンが乗っ取られたときや、事務所の回線を使える人なら、パスワードだけで入れることになるからです。全員の多要素認証の作り方は多要素認証を全員に有効にする記事に書いています。

なお、多要素認証のサービス設定（古い管理画面）にも「信頼できる IP」という欄があり、［ネームド ロケーション］の上の［多要素認証の信頼済み IP の構成］から開きます。Learn は、この欄を使うことはお勧めしないとしていて、IPv4 のアドレスしか受け付けません（Microsoft Learn「条件付きアクセス: ネットワーク割り当て」）。ここに設定した範囲は、ポリシーで場所を選ぶ一覧に出て、「すべての信頼できるネットワークと場所」にも含まれます。当社の検証用の環境では、［ネームド ロケーション］の一覧は0件でしたが、ポリシーで場所を選ぶ［ネットワークの選択］には「多要素認証の信頼済み IP」（種類は IP 範囲、信頼済みは「はい」）が1件出ていました。この環境のサービス設定に範囲が入っているかは、見ていません。「信頼できる場所」を対象外にするポリシーを作る前に、サービス設定の信頼できる IP に何が入っているかを確かめておきます。新しく範囲を登録するなら、Entra 管理センターの場所を使います。

使う国以外からのサインインを止めるポリシーを作る

作る前から運用までの順番は、次のとおりです。

作る前に、いまどこから入っているかを見る

Entra 管理センターの［サインイン ログ］で、社員がどの IP アドレス・国から入っているかを見ておきます。サインインを開くと［場所］のタブがあり、ポリシーの判定に使われた情報もそこで見られます（Microsoft Learn「条件付きアクセスでのサインインに関する問題のトラブルシューティング」）。P1 のサインイン ログは30日分残ります（Microsoft Learn「Microsoft Entra のデータ保持」）。

条件付きアクセスの「すべてのユーザー」にはゲストも含まれます（Microsoft Learn「条件付きアクセス: ユーザー、グループ、エージェント、ワークロード ID」）。海外にいる取引先の人をゲストとして招いているなら、その人も国のブロックで止まります。ゲストを対象外にするか、そのまま止めるかも、作る前に決めます。

ポリシーの欄：使う国を対象外にして、それ以外を止める

Learn のデプロイの計画のページは、使ってよい国の一覧を場所として作り、それを対象外にしてブロックするポリシーを作る形を挙げています（Microsoft Learn「条件付きアクセスのデプロイを計画する」）。Learn の場所ごとのブロックの手順のほうは、止めたい場所を作って［対象］に選ぶ形で書かれています。止める国を並べる形だと、並べ忘れた国からは入れてしまいます。使う国を対象外にする形なら、一覧に無い国は全部止まります。この記事では、デプロイの計画のページの形を使います。欄ごとの値は次のとおりです。

［ネットワーク］の欄は、作成画面の［割り当て］の中にあります。［構成］を［はい］にすると、［任意のネットワークまたは場所］［すべての信頼できるネットワークと場所］［選択したネットワークと場所］などの選択肢が出ます。［対象外］のタブで、作った国の場所を選びます。灰色で選べなかった［すべての準拠しているネットワークの場所］は、画面の案内によるとグローバル セキュア アクセスという別の機能のもので、この記事では扱いません。

Learn で「場所」と呼ばれてきた条件は、名前が［ネットワーク］に変わって割り当ての欄に移り、しばらくは［条件］の中にも出ます。今ある場所の条件のポリシーは、そのまま動きます（Microsoft Learn「条件付きアクセス: ネットワーク割り当て」）。画面でも、［ネットワーク］の［構成］を［はい］にすると、［条件］が「1 個の条件が選択されました」に変わり、［条件］の中の［場所］にも同じ「任意のネットワークまたは場所」が出ました。2か所は同じ設定なので、どちらで設定してもかまいません。

「すべてのユーザー」と「すべてのリソース」を止めるので、外す人と試し方を先に決める

このポリシーは、すべてのユーザーとすべてのリソースを対象にブロックします。Learn のトラブルシューティングのページは、すべてのユーザー・すべてのリソースに対する「アクセスをブロック」を、組織全体がブロックされる構成として、使わないよう書いています（Microsoft Learn「条件付きアクセスでのサインインに関する問題のトラブルシューティング」）。この記事のポリシーは、［ネットワーク］の条件で止める範囲を使う国の外に絞っています。そのため当社は、この注意がそのまま当たる形ではないと読んでいます。ただ、使う国の場所に日本を入れ忘れたり、別の場所を選んだりすると、会社全体が止まることは同じです。

そこで次の4つを、作るときに決めておきます。

• 緊急用アカウント（Learn では緊急アクセス アカウント）だけを入れたグループを、対象外に入れる。サインインを止めるポリシーから緊急用アカウントを外すことは、Learn の緊急用アカウントのページの勧めです。作り方と守り方は管理者ロールと緊急用アカウントの記事に書いています。
• Microsoft Entra Connect の同期のアカウントのような、特定の人に結びつかないサービス アカウントも対象外に入れる。Learn の場所ごとのブロックのページも、緊急用アカウントと並べて外すよう勧めています。
• ［ポリシーの有効化］をまず［レポート専用］にする。レポート専用はサインインを止めず、当たったかどうかだけを記録します。
• オンにする前に What If（どのポリシーが当たるかを試す道具）で、海外の国の IP アドレスと会社の IP アドレスを入れて試す。

サービス アカウントの外し方と What If の開き方は条件付きアクセスの設定方法の記事に、レポート専用の結果の読み方はレポート専用モードの記事に書いています。

撮影した環境では、［ポリシーの有効化］の下に「組織のセキュリティ構成を管理しようとしているようです。条件付きアクセス ポリシーを有効にする前に、まずセキュリティの既定値群を無効にする必要があります。」と出ていました。セキュリティの既定値群は、Microsoft が用意した、全員に多要素認証の登録を求めるなどの基本の設定です。既定値群から条件付きアクセスへ切り替える順番は多要素認証を全員に有効にする記事に書いています。

GPS で判定する国の場所を使うときは、レポート専用でも社員に位置の共有が求められ、共有しないとブロックされることがある、と Learn のネットワーク割り当てのページは書いています。レポート専用なら誰も止まらない、とは限りません。

在宅と出張をどう扱うか

在宅：自宅の IP アドレスは登録しない

在宅の人は、自宅の回線のアドレスでサインインします。自宅の回線は会社が契約・管理しているものではないので、アドレスを会社が把握し続けることはできません。当社は、自宅の IP アドレスを会社の IP の場所に登録しないことをお勧めします。使う国の場所に日本を入れておけば、国のブロックでは止まりません。「会社の回線からだけ」にするのは、社外で使わない操作やアプリに限ります。在宅で使うパソコンそのものを会社の基準で絞りたいときは、場所ではなく端末の条件を使います。端末を管理する Intune でできることはIntune の記事に書いています。

海外出張：出張する人だけを、期間だけ外す

使う国以外を止めるポリシーでは、海外へ出張した人は止まります。扱い方は3つあり、どれを選ぶかで、誰に開くかが変わります。

当社は、「海外出張」のような名前のグループを作ってポリシーの対象外に入れ、出張する人を出発の前に入れて、帰ったら外す運用をお勧めします。国を足すと、その国から入ってくる人は社員でなくても国のブロックでは止まらなくなります。グループで外せば、開くのは出張する人だけです。外した人にも、全員の多要素認証などほかのポリシーは当たります。ただし、グループから外し忘れると、その人は国のブロックの外に残り続けます。グループに入れた日・外した日と、だれが入れたかを、出張の申請と一緒に記録しておきます。同じ国に何度も行く会社なら、その国を使う国の場所に足すほうが手間は少なくなります。どちらにするかは、その国から全員に開いてよいかで決めます。

作った後に覚えておくこと

場所やポリシーを消しても、30日以内なら戻せます（Microsoft Learn「条件付きアクセス: ネットワーク割り当て」）。事務所の回線を替えたときや、回線の契約先がアドレスを変えたときは、会社の IP の場所を直さないと、会社の回線からだけにした操作ができなくなります。回線の工事の予定に、場所を直す作業を入れておきます。

条件付きアクセスに要るライセンスが切れても、ポリシーは自動では無効にも削除にもなりません。ただ、表示と削除しかできなくなり、直せなくなります（Microsoft Learn「条件付きアクセスとは」）。

次にすること

まず、サインイン ログで、社員がいまどの国・どの IP アドレスから入っているかを見てください。海外からのサインインが出ていれば、それが出張か、心当たりの無いものかを確かめます。そのうえで、使う国の場所と「海外出張」のグループを作り、使う国以外を止めるポリシーをレポート専用で作ります。ポリシーの欄の全体と、締め出されないための決まりは条件付きアクセスの設定方法の記事に書いています。当社では、条件付きアクセスの設計とあわせた Microsoft 365 の導入支援も行っています。