【Entra ID】信頼済みIPなのに追加認証が出る時の場所情報とIPv6確認

会社のネットワークからMicrosoft 365にアクセスしているのに、多要素認証(MFA)や条件付きアクセスによる追加認証が求められる場合があります。信頼済みIPとして登録しているにもかかわらず、なぜか認証画面が表示されるという現象です。この問題の原因として、Entra ID(旧Azure AD)が認識する場所情報のズレや、IPv6アドレスの割り当てが関係しているケースが少なくありません。特に最近では、ネットワーク機器やOSが優先的にIPv6を使う設定になっていることが多く、想定外の認証を引き起こす要因になっています。この記事では、信頼済みIPが正しく認識されない原因を、場所情報とIPv6の観点から具体的に解説し、トラブルシューティングの手順を整理します。

信頼済みIPと追加認証の関係を理解する

条件付きアクセスポリシーでは、「すべての場所」や「信頼されていない場所」からのアクセスに対して多要素認証を要求する設定が一般的です。ここでいう「信頼済みIP」とは、管理者がEntra IDの管理画面で指定したIPアドレス範囲(IPv4のCIDR表記)を指します。会社の拠点など、あらかじめ定義したネットワークからのアクセスは「信頼された場所」とみなされ、追加認証が免除されます。しかし、この仕組みが期待通りに動作しない場合、ユーザーはオフィスにいながら毎回MFAを求められることになります。その原因として、主に以下の3つが考えられます。

• 場所情報の解決誤差: Entra IDはサインイン元のIPアドレスを元に、GeoIPデータベースを使って物理的な場所を特定します。このデータベースの精度や更新頻度によって、実際の所在地と異なる地域として認識されることがあります。
• IPv6アドレスの未登録: 信頼済みIPとしてIPv4の範囲だけを登録している場合、端末がIPv6で通信するとどうなるでしょうか。そのIPv6アドレスは信頼済みとみなされず、条件付きアクセスでは「未知の場所」として扱われます。
• プロキシやVPN経由の影響: プロキシサーバーを経由している場合、Entra IDから見えるIPアドレスはプロキシのものになります。そのプロキシのIPが信頼済みリストに含まれていなければ、やはり追加認証が発生します。

場所情報の誤認識を確認する手順

まずはサインインログを確認して、Entra IDがどのように場所を認識しているかを調べます。

1. Microsoft Entra管理センターにアクセス: https://entra.microsoft.com にサインインし、「ID」→「監視とヘルス」→「サインインログ」を開きます。
2. 該当ユーザーのサインインをフィルター: 問題が発生しているユーザー名や日時でフィルターをかけます。「ユーザー」欄に名前を入力し、「適用」をクリックします。
3. サインインイベントを開く: 目的の行をクリックして詳細を表示します。上部の「場所」タブを選択します。
4. 確認する項目: 「場所」に表示されている国/地域と実際の所在地を比較します。また、「IPアドレス」欄に表示されている数値がIPv4かIPv6かを確認します。IPv6アドレスが表示されている場合、信頼済みIPリストに含まれていない可能性が高いです。
5. 追加認証の原因となったポリシーを特定: 詳細画面の「条件付きアクセス」タブで、どのポリシーが適用されたかがわかります。ポリシー名の横に「結果」が「成功」以外になっていれば、そのポリシーが原因です。

この手順で、場所が「日本」ではなく「Unknown」や別の国として認識されている場合、GeoIPデータベースの誤差が疑われます。その場合は、マイクロソフトのサポートに問い合わせてデータベースの修正を依頼する方法もありますが、時間がかかるため、別の対策(後述)を検討します。

IPv6アドレスが原因かどうかを切り分ける

最近のWindowsはIPv6を優先して使用する傾向があります。そのため、社内ネットワークがIPv6に対応している場合、端末はIPv6アドレスで通信を行い、Entra IDにそのアドレスが届きます。信頼済みIPリストにIPv6範囲が含まれていなければ、当然ながら条件付きアクセスはそのアドレスを信頼しません。

端末が実際に使っているIPアドレスを調べる

1. Windowsの場合は、コマンドプロンプトを開き ipconfig と入力します。表示された「IPv6アドレス」が「優先IPv6アドレス」として存在するか確認します。
2. PowerShellで Get-NetIPAddress -AddressFamily IPv6 | Where-Object {$_.PrefixOrigin -ne 'WellKnown'} を実行すると、現在使用可能なIPv6アドレスが一覧表示されます。
3. ブラウザから https://www.cman.jp/network/support/go_access.cgi などのサイトにアクセスし、表示されるIPアドレスがIPv6かどうか確認します。これにより、実際に外部に対して使われているアドレスがわかります。

信頼済みIPリストにIPv6が設定されているか確認する

Entra ID管理センターで「条件付きアクセス」→「名前付きの場所」を開き、会社の信頼済みIPとして登録されている範囲を確認します。ここにIPv6のCIDR(例:2001:db8::/32)が含まれていない場合、IPv6アドレスのアクセスは信頼されません。なお、現在のEntra IDでは、名前付きの場所にIPv6範囲を追加すること自体は可能ですが、すべての場所タイプでサポートされているわけではありません。「IP範囲の場所」の場合はIPv4とIPv6の両方を登録できます。ただし、場所の解決がIPv6アドレスに対して行われるかどうかは、マイクロソフトのGeoIPデータベースに依存するため、IPv6アドレスが正確な場所にマッピングされない場合があります。

トラブルシューティング:状況別の比較表

状況	サインインログのIP	場所の表示	考えられる原因	推奨対応
社内Wi-Fi接続中にMFA要求	IPv4:会社の範囲内	正しい国(例:日本)	条件付きアクセスポリシーの設定ミス、または信頼済みIPリストに誤り	管理者にポリシーとリストの再確認を依頼
社内ネットワークだが場所が「Unknown」	IPv4:会社の範囲内	Unknown	GeoIPデータベースに未登録のIP範囲	管理者がマイクロソフトにIP範囲の修正を依頼するか、別の場所ベースの条件(例:MFAなし)を検討
社内ネットワークでIPv6アドレスが表示される	IPv6:会社の範囲外または未登録	不明または他国	信頼済みIPリストにIPv6範囲未登録	管理者がIPv6範囲をリストに追加する。または端末側でIPv6を無効化(但し影響評価が必要)
VPN接続時にMFA要求	VPN終端のIP(会社の範囲内)	正しい国	条件付きアクセスの場所条件に「VPN経由」の除外設定が必要	管理者が場所条件を「すべての信頼済み場所」に変更、またはVPN IPを信頼済みに追加

よくある質問(FAQ)

Q1. 信頼済みIPにIPv6範囲を追加すれば必ず解決しますか?

必ずしも解決しません。Entra IDの場所解決はGeoIPデータベースに依存しており、IPv6アドレスの地理情報が正確でない場合があります。また、条件付きアクセスの場所条件が「すべての信頼済み場所」ではなく「特定のIP範囲」を指定している場合、IPv6範囲を追加しても期待通り動作しないことがあります。まずはサインインログで場所が正しく「日本」などになっているかを確認してください。

Q2. 端末側でIPv6を無効にしても問題ありませんか?

会社PCでIPv6を無効にすることは、一般的に推奨されません。多くのアプリケーションやネットワーク機能はIPv6を前提としていない場合もありますが、一部の社内システムがIPv6に依存している可能性があります。また、Windowsのネットワーク設定を変更すると、セキュリティポリシーに違反するおそれがあります。必ず管理者の指示を仰いでください。

Q3. 場所が「不明」と表示される場合の根本的な解決方法は?

管理者がマイクロソフトに問い合わせて、GeoIPデータベースの更新を依頼する方法があります。ただし、反映までに数週間かかることもあります。応急処置として、条件付きアクセスの場所条件を「信頼済みIP」ではなく「特定のIP範囲」に変更し、直接IPアドレスで判断するように設定することも可能です。

管理者に確認すべき情報とよくある失敗パターン

トラブルが発生した場合、ユーザーができることは限られています。以下の情報を管理者に伝えることで、迅速な解決につながります。

• サインインログのスクリーンショット: 場所、IPアドレス、適用された条件付きアクセスポリシーの情報をキャプチャして共有します。
• 問題発生日時: 正確な日時(UTC)を伝えます。複数回発生している場合は、そのパターンも。
• ネットワーク環境: 有線か無線か、VPNを使用しているか、プロキシ設定があるかなど。
• 端末のIPアドレス情報: ipconfig の出力や、https://www.cman.jp/network/support/go_access.cgi の結果を添付します。

よくある失敗パターンとして、信頼済みIPリストにIPv4の範囲だけを登録し、IPv6を忘れているケースが非常に多いです。また、場所情報の更新を待たずに「場所が信頼済みでない」と誤認し、無関係なポリシーをいじってしまうこともあります。管理者は、まずサインインログの生データを確認し、IPアドレスの種類と場所を特定する必要があります。

まとめ

信頼済みIPを設定しているのに追加認証が出る場合、場所情報の誤認識とIPv6アドレスの未登録が主な原因です。最初にサインインログでIPアドレスと場所を確認し、IPv6が使われている場合は管理者にIPv6範囲の追加を依頼しましょう。ただし、IPv6範囲を追加しても場所解決が不確かな場合は、条件付きアクセスのポリシー設計そのものを見直す必要があるかもしれません。また、端末側の設定変更は管理者の許可なしに行わないでください。これらの切り分けを着実に行うことで、余計な認証に悩まされる時間を減らすことができるはずです。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。