Salesforce ログイン IP 制限の徹底解説：コンサルタントが教えるセキュリティ強化術

背景と応用シナリオ

Salesforce は、企業の最も重要な資産である顧客データを管理するための中心的なプラットフォームです。そのため、不正アクセスから組織を保護することは最優先事項となります。企業のセキュリティポリシーはますます厳格化しており、特に金融、医療、公共部門など、機密性の高い情報を扱う業界では、コンプライアンス要件を満たすために多層的なセキュリティ対策が求められます。

ここで重要な役割を果たすのが Login IP Restrictions (ログイン IP アドレスの制限) です。この機能は、Salesforce へのアクセスを、指定された信頼できる IP アドレス範囲からのみに限定するものです。これにより、セキュリティ体制を大幅に強化することができます。

Salesforce 相談顧問として、私がお客様にこの機能の導入を推奨する主なシナリオは以下の通りです。

シナリオ1：社内ネットワークからのアクセスに限定

多くの企業では、従業員が会社のオフィスや VPN (Virtual Private Network) 経由でのみ Salesforce にアクセスすることを義務付けています。Login IP Restrictions を使用して、会社のネットワークの静的 IP アドレス範囲をホワイトリストに登録することで、公共の Wi-Fi や自宅のネットワークなど、安全性が確認できない場所からの不正なログイン試行を物理的にブロックできます。

シナリオ2：特定の役割に対するアクセス制御の強化

すべてのユーザーに同じレベルのアクセス制限を適用する必要はありません。例えば、システム管理者や財務部門のユーザーなど、特に機密性の高いデータにアクセスする権限を持つプロファイルに対してのみ、より厳格な IP 制限を適用することが可能です。これにより、柔軟性を保ちながら、リスクの高い領域を重点的に保護できます。

シナリオ3：コンプライアンス要件への対応

GDPR (一般データ保護規則) や SOX (サーベンス・オクスリー法) などの規制では、データへのアクセスを厳格に管理し、追跡することが求められます。Login IP Restrictions は、データアクセスを物理的な場所に紐付けることで、監査証跡を強化し、規制当局に対して堅牢なセキュリティ対策を実施していることを証明するのに役立ちます。

原理の説明

Salesforce の Login IP Restrictions は、主にプロファイル (Profile) レベルで設定されます。この設定は、ユーザーが Salesforce にログインしようとする際のソース IP アドレスを検証する仕組みです。

ユーザーがログインを試みると、Salesforce は以下のプロセスを実行します。

ユーザーの認証情報（ユーザー名とパスワード）を検証します。
認証が成功した場合、次にユーザーのソース IP アドレスを取得します。
そのユーザーに割り当てられているプロファイルに設定された「ログイン IP アドレスの制限」を確認します。
ユーザーのソース IP アドレスが、プロファイルで許可されている IP アドレス範囲のいずれかに含まれているかを検証します。
IP アドレスが範囲内にあれば、ログインは成功し、ユーザーは Salesforce 組織にアクセスできます。IP アドレスが範囲外であれば、ログインは拒否され、エラーメッセージが表示されます。

この制限は、Salesforce のユーザーインターフェース (UI) へのログインだけでなく、API (Application Programming Interface) を介したすべてのアクセス（Data Loader, REST API, SOAP API など）にも適用される点が非常に重要です。インテグレーション用のユーザープロファイルに IP 制限を設定する場合、連携元システムのサーバー IP アドレスを許可リストに追加しなければ、インテグレーションが失敗する原因となります。

信頼できる IP 範囲との違い

Login IP Restrictions (プロファイルレベル): アクセスを「制限・ブロック」するための機能です。指定された範囲外からのログインは一切許可されません。
Trusted IP Ranges (組織レベル): ログイン時の「ID 検証をスキップ」するための機能です。ユーザーがこの範囲内の IP アドレスからログインした場合、通常求められる確認コードの入力などが不要になり、ログインプロセスがスムーズになります。この範囲外からのログインをブロックするものではありません。

これら二つの機能は組み合わせて使用することが可能です。例えば、会社の VPN ネットワーク全体をプロファイルの Login IP Restrictions に設定し、その中でも特に安全な本社オフィスのネットワークを組織の Trusted IP Ranges に設定するといった運用が考えられます。

設定方法とコード例

コンサルタントとして、私はお客様の運用スタイルに合わせて、UI を使った手動設定と、メタデータ API を使った自動デプロイの両方のアプローチを提案します。

UIでの設定方法

最も基本的な設定方法は、Salesforce の設定メニューから直接行うものです。

[設定] から、[クイック検索] ボックスに「プロファイル」と入力し、[プロファイル] を選択します。
IP 制限を設定したいプロファイル（例：「システム管理者」）の名前をクリックします。
プロファイルの詳細ページで、[ログイン IP アドレスの制限] 関連リストを見つけ、[新規] をクリックします。
[IP 開示アドレス] と [IP 終了アドレス] を入力します。単一の IP アドレスを許可する場合は、両方の項目に同じアドレスを入力します。例えば、202.123.45.67 からのアクセスのみを許可します。
（任意）[説明] 欄に、この IP 範囲が何であるか（例：「本社オフィスネットワーク」）を記述します。
[保存] をクリックします。

複数の範囲を追加することも可能です。これにより、本社、支社、VPN ネットワークなど、複数の場所からのアクセスを許可できます。

メタデータ API を使用したデプロイ

DevOps のプロセスを導入している組織では、設定変更をコードとして管理し、環境間で一貫性を保つことが重要です。Login IP Restrictions はプロファイルのメタデータの一部として定義されており、XML ファイルで管理できます。

以下は、`System Administrator` プロファイルのメタデータファイル (`System Administrator.profile-meta.xml`) の一部です。

<?xml version="1.0" encoding="UTF-8"?>
<Profile xmlns="http://soap.sforce.com/2006/04/metadata">
    ...
    <loginIpRanges>
        <description>Corporate HQ Network</description>
        <endAddress>203.0.113.255</endAddress>
        <startAddress>203.0.113.0</startAddress>
    </loginIpRanges>
    <loginIpRanges>
        <description>VPN Access Point</description>
        <endAddress>198.51.100.10</endAddress>
        <startAddress>198.51.100.10</startAddress>
    </loginIpRanges>
    ...
</Profile>

この XML ファイルをバージョン管理システム (Git など) で管理し、Salesforce DX や Ant 移行ツールを使用して本番組織や Sandbox にデプロイすることで、設定作業の自動化と履歴管理が実現できます。

Apex を使用した動的な確認

Login IP Restrictions の設定自体を Apex で直接変更することはできませんが、Apex を使用してユーザーの現在のセッション情報を取得し、ソース IP に基づいてカスタムロジックを実行することは可能です。例えば、特定の Visualforce ページや Lightning コンポーネントへのアクセスを、ログイン IP とは別の基準でさらに制限したい場合に有効です。

`Auth.SessionManagement` クラスを使用すると、現在のユーザーセッションからソース IP を含む様々な情報を取得できます。

// ユーザーの現在のセッション情報を取得します。
// この情報は Map<String, String> 形式で返されます。
Map<String, String> sessionAttributes = Auth.SessionManagement.getCurrentSession();

// セッションマップから SourceIp (ソースIP) を取得します。
String sourceIp = sessionAttributes.get('SourceIp');

// 取得したIPアドレスをデバッグログに出力します。
System.debug('Current User Source IP: ' + sourceIp);

// IPアドレスに基づいてカスタムロジックを実装します。
// 例えば、特定のIPからのアクセスの場合にのみ処理を実行する、など。
if (sourceIp != null && sourceIp.startsWith('192.168.')) {
    // 内部ネットワークからのアクセスと判断し、特別な処理を実行
    System.debug('Access from internal network detected.');
} else {
    // 外部からのアクセスと判断
    System.debug('Access from external network detected.');
}

（注釈）このコードは Salesforce 公式の `Auth.SessionManagement` クラスドキュメントに基づいています。`getCurrentSession()` メソッドは、現在のユーザーセッションに関連する属性のマップを返します。`'SourceIp'` キーを使用することで、ユーザーがログインしているセッションの IP アドレスを取得できます。これにより、例えば特定の処理を実行する前に、ユーザーが信頼できるネットワークからアクセスしているかを動的にチェックする、といった高度なセキュリティ制御を実装できます。

注意事項

管理者のロックアウト: 最も注意すべきリスクは、設定ミスによりすべてのシステム管理者が組織からロックアウトされることです。特にシステム管理者プロファイルに IP 制限を設定する際は、必ず正しい IP 範囲が入力されていることをダブルチェックし、可能であれば、IP 制限が適用されていないバックアップ用の管理者アカウントを一時的に用意しておくことを検討してください。
権限セットでは設定不可: 2023年現在、Login IP Restrictions はプロファイルでのみ設定可能であり、権限セット (Permission Set) には設定できません。Salesforce は権限セットベースのセキュリティモデルへの移行を推奨していますが、この機能に関しては依然としてプロファイルへの依存が残っています。この制約を理解した上で、セキュリティモデルを設計する必要があります。
動的 IP アドレスの問題: リモートワークの従業員や小規模オフィスでは、インターネットサービスプロバイダから動的 IP アドレスが割り当てられている場合があります。IP アドレスが頻繁に変わる環境では、この機能の運用は非常に困難になります。このような場合は、全従業員が静的な IP アドレスを持つ VPN を経由してアクセスする、という運用ルールを徹底する必要があります。
インテグレーションへの影響: 前述の通り、この制限は API アクセスにも適用されます。外部システム（ERP, マーケティングオートメーションツールなど）との連携がある場合、それらのシステムのサーバー IP アドレスを許可リストに追加し忘れると、データ連携がすべて停止してしまいます。導入前には、すべてのインテグレーションの接続元 IP を洗い出す必要があります。

まとめとベストプラクティス

Salesforce 相談顧問として推奨するベストプラクティスは以下の通りです。

階層的なセキュリティアプローチ: Login IP Restrictions を単独の解決策として捉えるのではなく、多要素認証 (MFA)、強力なパスワードポリシー、セッション設定など、他のセキュリティ機能と組み合わせた多層防御の一部として実装してください。
段階的な導入: 全社的に一斉導入するのではなく、まずはシステム管理者など、権限の強いプロファイルから試験的に導入を開始します。その後、機密データにアクセスする特定の部門のプロファイルへと段階的に範囲を広げていくことをお勧めします。
VPN の活用: リモートワーカーや複数の拠点を持つ組織では、全社的な VPN を導入し、その VPN の出口 IP アドレスをホワイトリストに登録することが、最も現実的で管理しやすいアプローチです。
定期的な監査とレビュー: 会社のネットワーク構成は変化する可能性があります。設定した IP 範囲が現在も有効であるか、四半期に一度など定期的にレビューするプロセスを確立してください。また、Salesforce のログイン履歴レポートを活用し、ブロックされたログイン試行を監視することで、潜在的な脅威を早期に発見できます。
徹底したドキュメンテーション: どのプロファイルに、どのような理由で、どの IP 範囲が設定されているのかを文書化しておくことは、将来の管理者や監査のために不可欠です。

これらのベストプラクティスに従うことで、Login IP Restrictions のメリットを最大限に引き出し、安全で信頼性の高い Salesforce 環境を維持することが可能になります。

にゃんこのSalesforce日記

このブログを検索