【Salesforce】IP制限で権限不足になる場合の管理者が見るべき原因

社内システムとしてSalesforceを利用している企業では、セキュリティ強化のためにIPアドレスによるアクセス制限を設定しているケースが多くあります。しかし、このIP制限が原因で、本来アクセスできるはずのユーザーが「権限不足」や「アクセスできない」というエラーに遭遇することがあります。そのようなとき、管理者はどこを確認すればよいのでしょうか。本記事では、IP制限が原因で権限不足が発生するメカニズムを整理し、管理者が具体的に確認すべき設定項目とトラブルシューティングの手順を解説します。

1. IP制限に関する基本的な概念の整理

SalesforceにおけるIP制限は、主に「信頼済みIP範囲」と「ログインIP範囲」の2種類があります。これらの役割と違いを理解しておかないと、権限不足の原因を特定できません。

信頼済みIP範囲

信頼済みIP範囲は、組織全体に適用される設定です。設定されたIP範囲からのアクセスを信頼し、その範囲からのログインではパスワードの期限切れによる再設定や、一部の多要素認証をスキップできます。ただし、信頼済みIP範囲だけではログインそのものをブロックするわけではありません。ログインは許可されますが、プロファイルや権限セットでさらに細かい制限がかかることがあります。

ログインIP範囲

ログインIP範囲は、プロファイルまたは権限セットに設定できるアクセス制限です。この範囲外のIPからのログインを完全に拒否します。ユーザーが「権限不足」と表示される場合、多くの原因はこのログインIP範囲に抵触していることです。

プロファイルと権限セットのIP制限の優先順位

プロファイルに設定されたログインIP範囲は、そのプロファイルに割り当てられたすべてのユーザーに適用されます。権限セットにも同様の設定が可能で、権限セットのログインIP範囲はプロファイルの設定を上書き(より制限的に)することができます。つまり、プロファイルでは許可されているIPでも、権限セットでさらに厳しい制限がかかっていると、アクセスできない場合があります。

2. 権限不足が発生する代表的な原因パターン

実際に問い合わせが多いパターンを3つ紹介します。管理者はまず、これらの原因を疑って確認すると効率的です。

原因1: プロファイルのログインIP範囲が未設定、または範囲が狭すぎる

プロファイルにログインIP範囲が設定されていない場合、デフォルトではすべてのIPからのアクセスが許可されます。しかし、組織のセキュリティポリシーによっては、プロファイル単位でIP制限をかける必要があります。例えば、リモートワークを許可しているのに、プロファイルのログインIP範囲がオフィスのIPレンジだけに設定されていると、自宅や出先からアクセスしたユーザーが権限不足となります。この場合、エラーメッセージは「権限がありません」や「アクセスが拒否されました」など、具体的な理由が表示されないこともあります。

原因2: 信頼済みIP範囲とログインIP範囲の混同

信頼済みIP範囲はあくまで「信頼する」範囲であり、ログインそのものを制限するものではありません。そのため、組織の信頼済みIP範囲を設定しただけでは、ログインIP範囲を設定していないプロファイルのユーザーはどこからでもアクセス可能です。逆に、ログインIP範囲を設定しているプロファイルのユーザーは、信頼済みIP範囲に含まれていなくても、ログインIP範囲内のIPからアクセスすればログインできます。ただし、パスワード変更などの制限は受ける可能性があります。管理者が「信頼済みIP範囲を設定したのにアクセスできない」と誤認するケースが多いので注意が必要です。

原因3: 権限セットによる上書き制限

ユーザーに複数の権限セットが割り当てられている場合、そのうちの1つでもログインIP範囲が設定されていて、現在のIPがその範囲外だとアクセスできません。特に、システム管理者権限を持つユーザーが、通常業務用の権限セットと管理用の権限セットを併用している場合に発生しやすいです。例えば、管理用権限セットにのみログインIP範囲が設定されていて、一般用のプロファイルには設定がない場合、管理用権限セットのIP範囲外からのアクセスでは管理機能が使えなくなります。ユーザーから「一部の項目だけ権限がない」という報告があったら、権限セットのIP制限を疑いましょう。

3. 管理者が確認すべき設定項目と手順

具体的なトラブルシューティング手順を、順を追って説明します。以下の手順はSalesforceの設定画面(Lightning Experience)を想定しています。

1. ユーザーの現在のIPアドレスを確認する – ユーザーに、アクセス時に使用しているIPアドレスを報告してもらいます。社内ネットワークの場合は固定IP、VPN利用時はVPN接続先から割り当てられたIPです。出張先などでは変わるため、その都度確認が必要です。
2. 該当ユーザーのプロファイルを開く – [設定] > [ユーザー] > [ユーザー] から該当ユーザーを選択し、プロファイル名を確認します。
3. プロファイルのログインIP範囲を確認する – [設定] > [プロファイル] から該当プロファイルを開き、「ログインIP範囲」セクションを表示します。ここにIP範囲が設定されている場合、現在のユーザーIPがその範囲に含まれているか確認します。複数範囲が設定されている場合、どれか1つに含まれていれば通過できます。
4. 権限セットのログインIP範囲を確認する – 該当ユーザーに割り当てられている権限セットを確認します。[設定] > [ユーザー] > [権限セットの割り当て] から割り当て一覧を表示します。各権限セットの詳細を開き、「ログインIP範囲」が設定されていないか確認します。設定されている場合、その範囲にユーザーIPが含まれているかチェックします。複数の権限セットがある場合、いずれか1つでも範囲外だとアクセス拒否になります。
5. 組織の信頼済みIP範囲を確認する – [設定] > [セキュリティ] > [信頼済みIP範囲] を開き、設定されたIPレンジを一覧表示します。こちらは直接的なアクセス制限ではありませんが、パスワードポリシーや多要素認証の動作に影響します。また、後述する「ログイン履歴」を見る際の参考にもなります。
6. ログイン履歴を確認する – [設定] > [セキュリティ] > [ログイン履歴] から、該当ユーザーの最近のログイン試行を確認します。ここには、アクセス元IP、結果(成功/失敗)、理由(IP範囲外など)が記録されます。「ログインIP範囲外」や「ログインが拒否されました」といった理由が表示されていれば、IP制限が原因と断定できます。
7. ネットワーク環境を確認する – 社内ネットワークであればプロキシサーバーを経由している場合、プロキシのIPがSalesforceに送信されることがあります。VPN利用時も同様です。ユーザーに「VPN接続中か」「プロキシ設定があるか」を確認し、必要に応じてネットワーク管理者に問い合わせます。

以上の手順で原因を特定したら、適切に対処します。例えば、ログインIP範囲を拡大する、新しい範囲を追加する、権限セットの制限を緩和するなどです。変更の際はセキュリティリスクを評価し、承認プロセスを経ることを推奨します。

4. 失敗パターンとその対処法

実際の現場でよくある失敗例を表にまとめました。管理者はこれらのパターンを参考に、設定の見直しを行ってください。

失敗パターン	症状	管理者の対処
プロファイルにログインIP範囲を設定したが、範囲に含まれないIPからアクセス	「権限不足」エラー、またはログインそのものが拒否される	プロファイルのログインIP範囲を確認し、必要なIPレンジを追加する。または、範囲を広げる。
権限セットでログインIP範囲を設定したが、別の権限セットの範囲と競合	一部の機能だけ権限がない、または断続的にアクセス不可	ユーザーに割り当てられた全権限セットのログインIP範囲を確認し、矛盾を解消する。不要な権限セットを外すか、統一した範囲に調整する。
組織の信頼済みIP範囲だけを設定し、プロファイルのログインIP範囲を設定していない	リモートからのアクセスは許可されるが、パスワード変更が必要など制限が発生	必要に応じてプロファイルにログインIP範囲を追加設定する。ただし、信頼済みIP範囲の役割を理解した上で判断する。
VPN経由時のIPがプロファイルのログインIP範囲に含まれていない	VPN接続中のみアクセスできない	VPNの出口IPアドレスをネットワーク管理者に確認し、プロファイルまたは権限セットのログインIP範囲に追加する。

5. 管理者へ伝える情報:よくある質問(FAQ)

管理者がユーザーや他部門からよく受ける質問とその回答をまとめました。問い合わせ対応の参考にしてください。

Q1. ユーザーが自宅からアクセスできません。IP制限の設定を教えてください。
まず、ユーザーの現在のIPアドレスを確認してください。そのIPがプロファイルまたは権限セットのログインIP範囲内かを調べます。VPNを使用している場合、VPNのIPも確認が必要です。範囲外であれば、適切なIPレンジを追加することで解決します。ただし、セキュリティポリシーに反しないか事前に確認してください。

Q2. スマートフォンからアクセスできないのですが、IP制限が原因ですか?
はい、可能性があります。スマートフォンがモバイルネットワーク(4G/5G)を使用している場合、IPアドレスが変動します。固定IPが割り当てられていない限り、プロファイルのログインIP範囲に現在のIPが含まれないことがあります。モバイルアクセスが必要な場合は、範囲を広げるか、別の認証方式(多要素認証など)を検討してください。

Q3. ログイン履歴に「IP範囲外」と表示されるが、プロファイルにはログインIP範囲が設定されていません。なぜですか?
権限セットにログインIP範囲が設定されている可能性があります。ユーザーに割り当てられた権限セットをすべて確認してください。また、プロファイルにログインIP範囲が設定されていなくても、組織全体のセキュリティ設定で制限がかかっている場合もあります(例:[セッション設定] の「IP制限」)。設定画面の「セッション設定」も確認してください。

Q4. IP制限を緩和するとセキュリティリスクが高まりませんか?
その通りです。IP制限は重要なセキュリティ対策の一つです。緩和する場合は、以下の代替対策を組み合わせることを推奨します。
・多要素認証の必須化
・ログイン通知の有効化
・アクセス時間帯の制限(プロファイルの「ログイン時間帯」設定)
・信頼済みIP範囲の外部からのアクセスには多要素認証を強制する
これらの対策を施した上で、必要な範囲のみIP制限を緩和してください。

6. まとめ

SalesforceのIP制限に起因する権限不足の問題は、プロファイル、権限セット、組織設定の3階層を確認することで原因を特定できます。特に、ログインIP範囲と信頼済みIP範囲の違いを正しく理解し、ユーザーの現在のIPがすべての制限を通過しているかを検証することが重要です。

トラブル発生時は、まずユーザーのIPアドレスを取得し、ログイン履歴から拒否理由を確認してください。その上で、プロファイルと権限セットの設定を順にチェックする習慣をつけると、迅速な解決が可能です。

最後に、IP制限の変更はセキュリティに直結するため、必ず社内のセキュリティポリシーに従い、変更履歴を記録するようにしましょう。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。