【Salesforce】IP制限が想定と違う時の監査ログと履歴で追う方法

SalesforceのIP制限は、組織のセキュリティを守るために重要な機能ですが、設定したはずの制限が想定通りに動作しない、あるいは一部のユーザーだけ制限がかからないといった問題が発生することがあります。そのような場合、監査ログや各種履歴を確認することで、原因を特定し適切な対処が可能です。本記事では、IP制限に関連する監査ログの種類と、それらを使って問題を追跡する具体的な手順を解説します。特に、会社のIT管理者やセキュリティ担当者が実際に遭遇しやすいパターンに絞って説明します。

1. SalesforceのIP制限の種類と仕組み

Salesforceには、IPアドレスに基づくアクセス制御として主に「信頼済みIP範囲」と「プロファイルのIP制限」の2種類があります。前者は組織全体のログインを許可するIP範囲を指定するもので、後者は特定のプロファイルに所属するユーザーのログイン元IPを制限します。また、ユーザー単位でも「IP制限を無効化」できる設定が存在します。これらの設定が複合的に作用するため、想定と異なる動作が発生するケースがあります。

例えば、信頼済みIP範囲に会社のグローバルIPを登録していても、プロファイルで別の範囲が設定されていれば、そのプロファイルのユーザーは両方の条件を満たす必要があります。また、ユーザーレコードの「IP制限を無効化」チェックボックスがオンになっていると、プロファイルや組織の制限が適用されません。こうした設定の階層を理解しておくことが、トラブルシューティングの第一歩です。

2. 監査ログの種類と確認すべき項目

IP制限に関する問題を調査する際には、以下のログが役立ちます。それぞれのログで確認できる情報と用途を表にまとめました。

ログの種類	確認できる情報	用途
ログインヒストリ(Login History)	ユーザーがログインした日時、IPアドレス、ブラウザ、ログイン成功/失敗、失敗理由	実際にどのIPからアクセスがあったか、制限に引っかかったかを確認
セットアップ監査証跡(Setup Audit Trail)	管理者がいつ、誰が、IP制限設定を変更したかの履歴	設定変更の有無や変更内容の追跡
イベント監視(Event Monitoring)	詳細なログインイベント、APIアクセス、セッション情報	より詳細な分析や大量のアクセス解析
プロファイル/ユーザー監査	プロファイルやユーザーに対するIP制限設定の変更履歴	ユーザー単位の設定変更の確認

これらのログは、Salesforceの設定画面から「監査」関連のメニューで参照できます。特にログインヒストリは、直近のログイン失敗理由に「IP制限違反」と表示されるため、最初に確認すべき情報源です。

3. 想定と違う動作が発生した場合の調査手順

ここでは、IP制限が期待通りに動作していない場合に、監査ログを利用して原因を特定する手順を説明します。以下の手順を順番に実行することで、多くの問題を切り分けられます。

1. 現在のIP制限設定をすべて確認する:設定 > 管理者 > セキュリティ > ネットワークアクセスで信頼済みIP範囲を確認します。また、各プロファイルの「ログインIP範囲」と、ユーザーレコードの「IP制限を無効化」チェックボックスも確認します。これらを一覧にまとめると全体像が把握できます。
2. ログインヒストリで該当ユーザーのログイン履歴を調べる:設定 > 管理者 > ユーザー > ログインヒストリに移動し、問題のユーザーでフィルタリングします。日時、IPアドレス、ステータス(成功/失敗)、失敗理由の列に注目します。失敗理由が「IP制限違反」であれば、そのIPが許可されていないことがわかります。
3. イベント監視を使用して詳細を取得する:必要に応じて、イベント監視ログ(有効な場合)から「LoginEvent」や「LoginAsEvent」を検索します。APIコールを含むアクセスも追跡できるため、システム間連携でのIP制限問題を調査する際に有効です。
4. セットアップ監査証跡で設定変更履歴を確認する:設定 > 管理者 > セキュリティ > セットアップ監査証跡で、IP制限関連の設定変更(例:ProfilesLoginIpRange、NetworkAccess)を検索します。予期せぬ変更が行われていないかを確認します。
5. ユーザー単位のIP制限無効化設定を確認する:問題のユーザーレコードを開き、「IP制限を無効化」フィールドがチェックされている場合は、それが原因で制限が適用されていない可能性があります。また、プロファイルレベルでIP制限が設定されていても、ユーザー単位の無効化が優先されることを理解しておきます。

これらの手順を実施することで、設定ミスや変更漏れ、またはVPNによるIPアドレス変動など、典型的な原因を特定できるはずです。

4. よくある失敗パターンとその対処法

4.1 信頼済みIP範囲とプロファイルIP範囲の二重制限

組織全体の信頼済みIP範囲に加えて、プロファイルにもIP範囲が設定されている場合、ユーザーは両方の範囲に含まれるIPからのログインが必要です。例えば、信頼済み範囲が「192.168.0.0/24」で、プロファイル範囲が「10.0.0.0/8」の場合、ユーザーは「192.168.0.x」かつ「10.x.x.x」の両方を満たさなければならず、現実的には不可能な条件になることがあります。このような場合は、どちらか一方に統一するか、範囲を広げる必要があります。

4.2 ユーザー単位の「IP制限を無効化」がオンになっている

管理者が意図せず、特定ユーザーの「IP制限を無効化」チェックボックスをオンにしてしまうケースがあります。これは、ユーザー詳細画面の「ログイン情報」セクションにあります。もしこのチェックが入っていると、プロファイルや組織のIP制限がすべて無視されます。定期的に監査ログでこの設定が変更されていないかを確認することを推奨します。

4.3 VPNやプロキシ経由で想定外のIPになる

会社のグローバルIPを許可していても、ユーザーが自宅からVPN接続した場合、VPNサーバーのIPアドレスがログイン元として記録される場合があります。VPNのIPが固定でない場合、許可範囲に含まれずログインできないことがあります。解決策としては、VPNのIP範囲を許可するか、会社ネットワーク経由のみに制限するポリシーを見直す必要があります。

5. 管理者に伝えるべき情報と準備

• 問題発生日時とユーザーID:ログインヒストリやイベント監視から正確な日時とユーザーを特定しておきます。
• 実際に使用したIPアドレス:ユーザーに確認するか、ログインヒストリから取得します。VPN利用時はVPNのIPも考慮します。
• 現在のIP制限設定のスクリーンショット:ネットワークアクセス、プロファイル、ユーザーの設定をキャプチャして共有します。
• ログインエラーメッセージ:ユーザーが実際に表示されたエラー内容を報告してもらいます。

これらの情報を事前に整理しておくことで、管理者は迅速に調査を開始できます。

6. よくある質問(FAQ)

Q. ログインヒストリに「IP制限違反」と表示されるのに、なぜ同じIPで別のユーザーはログインできるのですか?

A. プロファイルごとにIP制限が異なる可能性があります。ログインできたユーザーは、別のプロファイルに所属しており、そのプロファイルではそのIPが許可されているか、または「IP制限を無効化」がオンになっている可能性があります。プロファイル設定を比較してください。

Q. セットアップ監査証跡でIP制限関連の変更を検索するには、どのような文字列で検索すればよいですか?

A. 検索ボックスに「IP」や「NetworkAccess」、「ProfilesLoginIpRange」などのキーワードを入力すると、関連する変更が表示されます。また、「変更された項目」列に「IP範囲」や「ネットワークアクセス」と表示されることもあります。

Q. イベント監視ログは標準で利用できますか?

A. イベント監視は有料のアドオン(Salesforce Shield または Event Monitoring ライセンス)が必要です。無料のログインヒストリやセットアップ監査証跡で十分な場合が多いですが、詳細な分析が必要な場合は有効化を検討します。

まとめ

SalesforceのIP制限が想定通りに動作しない場合、まずは現在の設定を包括的に確認し、ログインヒストリや監査証跡を活用して原因を特定します。よくある失敗パターンとして、二重制限やユーザー単位の無効化、VPNによるIP変動などが挙げられます。設定変更を行う際は、必ずSandbox環境でテストし、変更履歴を監査ログに残すようにしましょう。適切なログ分析により、問題解決の時間を大幅に短縮できます。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。