【Microsoft 365】社内LANから社外回線に変えた後に会社アカウントが通らない時の条件付きアクセスと信頼済み場所の見直し

社内LANから自宅や外出先の社外回線に接続を変えた途端、Microsoft 365の会社アカウントでログインできなくなった経験はありませんか。多くの企業ではセキュリティ強化のために条件付きアクセスが設定されており、その中の「信頼済み場所」が原因でアクセスがブロックされている可能性があります。本記事では、ネットワーク変更後に起こるアカウント接続障害の原因を整理し、条件付きアクセスの信頼済み場所を正しく見直す方法を解説します。

ネットワーク変更後にアカウントが通らない原因

会社のネットワークから社外ネットワークに切り替えた際にMicrosoft 365アカウントで認証エラーが発生する場合、原因はいくつか考えられます。もっとも一般的なのは、条件付きアクセスによるアクセス制御です。条件付きアクセスは、ユーザーがどの場所からアクセスしているか、どのデバイスを使っているか、どのようなリスクがあるかなどの条件に基づいてアクセスを許可またはブロックする仕組みです。多くの企業では、社内LAN(オフィスのIPアドレス範囲)を「信頼済み場所」として登録し、それ以外の場所からのアクセスには多要素認証を要求したり、アクセス自体を禁止するポリシーを設定しています。

そのため、社内LANから社外回線に変わると、そのIPアドレスが信頼済み場所とみなされず、ポリシーによってアクセスがブロックされるのです。また、社内で利用していた特定のIPアドレスが条件付きアクセスの「場所」条件にハードコードされている場合も同様です。さらに、VPN接続を使用していない場合や、社内プロキシ経由でない場合は、より厳しい制限がかかることもあります。

この問題を解決するには、まず現在の条件付きアクセスポリシーの内容を把握し、信頼済み場所の定義を適切に更新する必要があります。ただし、変更作業は管理者権限が必要なため、自分で対応できない場合はIT管理者に連絡して依頼することになります。

まずは問題の切り分け:端末・アカウント・管理設定

原因を特定するために、以下の3つの観点でチェックしてみてください。これにより、対処すべき対象が明確になります。

観点	確認項目	判断基準
端末側	VPN接続の有無、社内プロキシ設定、会社支給PCか個人PCか	VPN接続なしならIPが社外扱いになる。プロキシ経由でないとブロックされる設定がある。
アカウント側	ライセンスの種類、多要素認証が有効か、パスワード期限切れ	多要素認証が未登録だとブロックされる場合がある。
管理設定側	条件付きアクセスポリシーの「場所」条件、信頼済み場所のIP範囲	社内LANのIP範囲のみ許可 or 企業ネットワーク以外からはブロック

端末側の確認手順

1. まず、現在のIPアドレスを確認します。コマンドプロンプトで「ipconfig」またはPowerShellで「Get-NetIPAddress」を実行し、IPアドレスをメモします。
2. そのIPアドレスが社内LANの範囲(例:10.0.0.0/8、172.16.0.0/12、192.168.0.0/16など)に含まれているか確認します。自宅や外部ネットワークであれば、通常はこれらの範囲外になります。
3. VPNクライアントが接続されているか確認します。VPN接続が確立されていれば、仮想的に社内IPが割り当てられるため、信頼済み場所として認識される可能性があります。
4. 会社支給PCの場合、プロキシ設定が自動構成スクリプト(PACファイル)で指定されていることがあります。プロキシが正しく機能しているか確認してください。

アカウント側の確認手順

1. 別のネットワーク(例:スマホのテザリング)で同じアカウントでログインを試みます。同様にブロックされるなら、端末や場所の問題ではなくアカウント自体に問題がある可能性があります。
2. 多要素認証の登録状況を確認します。Microsoft Authenticatorアプリや電話番号が登録されているか、ブラウザのセッションでMFAが求められたことがあるか思い出してください。
3. ライセンスが有効かどうかは、IT管理者に問い合わせるか、Microsoft 365管理センター(アクセスできる場合)で確認します。

条件付きアクセスの信頼済み場所とは

条件付きアクセスにおける「場所」条件は、ユーザーのIPアドレスや地理位置情報に基づいてアクセスを制御するための設定です。管理者は「信頼済み場所」として、自社のオフィスIPアドレス範囲やVPNの送信元IPを登録できます。これにより、社内からのアクセスは通常の認証のみで許可し、社外からのアクセスには多要素認証を要求する、といったポリシーが組めます。

問題が発生するのは、社内LANのIP範囲だけを信頼済み場所として登録している場合です。自宅やカフェなど社外のIPアドレスでは「信頼済みでない場所」と判断され、ポリシーによってアクセスがブロックされたり、MFAが強制されたりします。特に「すべての場所」からのアクセスを許可し、信頼済み場所ではMFA不要、信頼済みでない場所ではMFA要求、というポリシーがよく使われます。

信頼済み場所の種類

Microsoft Entra IDでは、以下の2種類の場所を定義できます。

• IPアドレス範囲による場所:CIDR表記でIPアドレスの集合を指定します。例:203.0.113.0/24
• 国/地域による場所:地理位置情報に基づいて国や地域を指定します。企業が特定の国にしか拠点がない場合は、その国を信頼済みとすることも可能です。

通常はIPアドレス範囲が使われます。ただし、UWP(ユニバーサルWindowsプラットフォーム)アプリやモバイルデバイスではIPアドレスが正確に取得されない場合があるため、注意が必要です。

信頼済み場所を見直す手順(管理者向け)

ここでは、管理者がMicrosoft Entra管理センターで条件付きアクセスの場所設定を変更する手順を説明します。通常はIT部門が実施しますが、知識として理解しておくとトラブルシューティングに役立ちます。

1. [Microsoft Entra管理センター](https://entra.microsoft.com)にグローバル管理者または条件付きアクセス管理者でサインインします。
2. 左メニューから「保護」→「条件付きアクセス」を選択します。
3. 「ポリシー」タブで、該当するポリシー(例:「社外アクセス時のMFA要求」)をクリックします。
4. 「場所」条件の設定を確認します。「構成」で「はい」が選択され、「含む」に「すべての場所」または特定の場所が指定されている場合、「除外」に信頼済み場所が含まれていないか確認します。
5. 信頼済み場所を編集するには、左メニュー「保護」→「条件付きアクセス」→「名前付きの場所」を選択します。
6. 既存の場所をクリックし、IPアドレス範囲を追加・削除します。例えば、社内LANの範囲に加えて、テレワーク用のVPNの送信元IP範囲も含めるように更新します。
7. 変更を保存し、ポリシーに戻って「除外」の場所が正しく参照されているか確認します。

注意点として、IPアドレス範囲を広げすぎるとセキュリティが低下するため、必要最小限に留めてください。また、変更後は必ずテストユーザーで動作確認を行い、問題がないことを確認してから全社に適用します。

よくある失敗パターン

実際の現場でよく見られる失敗とその対策を紹介します。

失敗1: VPNの送信元IPを信頼済み場所に追加していない

VPN経由で社内リソースにアクセスする場合、VPNクライアントに割り当てられるIPは社内LANのIPと異なることが多いです。VPNの出口IPも信頼済み場所に含めないと、VPN接続中でも社外とみなされてブロックされることがあります。対策としては、VPNのIPアドレスプールを管理者に確認し、信頼済み場所に追加してください。

失敗2: 動的IPアドレスを固定で許可しようとする

自宅のインターネット回線は多くの場合、動的IPアドレスです。そのため、個別の自宅IPを信頼済み場所に追加しても、翌日には変わってしまう可能性があります。こうした場合は、国/地域による場所指定や、VPN経由での接続を推奨するほうが現実的です。

失敗3: 条件付きアクセスのポリシー適用順序を誤る

複数のポリシーが存在する場合、すべての条件を満たすとブロックされるポリシーが優先されることがあります。例えば、「すべての場所からのアクセスをブロック」するポリシーと「信頼済み場所からのアクセスを許可」するポリシーが両方有効だと、後者が適用されずにブロックされるケースがあります。ポリシーの優先順位を確認し、必要に応じて「ブロック」ポリシーを無効にしてください。

管理者に確認すべき情報

自分で条件付きアクセスを変更できない場合、IT管理者に依頼する必要があります。その際、次の情報を伝えるとスムーズです。

• 現在のネットワーク環境(自宅のIPアドレス、VPNの有無など)
• どのMicrosoft 365サービスにアクセスできないか(Outlook、Teams、SharePointなど)
• エラーメッセージのスクリーンショット(例:「アクセスがブロックされました」「追加の確認が必要です」など)
• いつから問題が発生したか(ネットワーク変更のタイミング)
• 多要素認証が設定されているかどうか

よくある質問(FAQ)

Q1. 信頼済み場所を自分で変更できますか?
いいえ、条件付きアクセスの設定はグローバル管理者または条件付きアクセス管理者の権限が必要です。一般ユーザーは変更できません。

Q2. VPNを使えばすべて解決しますか?
必ずしもそうとは限りません。VPNの送信元IPが信頼済み場所に登録されていなければ、同じようにブロックされます。VPNを導入する際は、そのIP範囲を管理者に伝える必要があります。

Q3. 信頼済み場所を社外からもアクセスできるようにするリスクは?
信頼済み場所の範囲を広げると、そのIP範囲からのアクセスは条件付きアクセスの制限が緩和されます。例えば、共有のコワーキングスペースのIPを許可すると、その場所にいる他の利用者も制限なくアクセスできる可能性があるため、セキュリティリスクが高まります。

Q4. エラーメッセージに「このアプリケーションへのアクセスがブロックされました。詳細についてはIT管理者にお問い合わせください」と表示されました。どうすればよいですか?
これは条件付きアクセスによってブロックされたことを示します。上記の情報を収集してIT管理者に連絡してください。

まとめ

社内LANから社外回線に変更した後にMicrosoft 365アカウントが使えなくなる問題は、条件付きアクセスの信頼済み場所設定が原因であることが大半です。まずは端末、アカウント、管理設定の3つの観点で問題を切り分け、特にIPアドレスが信頼済み場所に含まれているかを確認してください。自分で設定を変更できない場合は、IT管理者に正確な情報を伝えて対処を依頼しましょう。信頼済み場所の見直しはセキュリティと利便性のバランスが重要です。適切な設定により、安全かつ快適なリモートワーク環境を維持できます。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。