「どこからでも管理画面に入れるのは怖い。せめて特権管理者だけでも、会社の IP アドレスからしか入れないようにしたい」。
ある会社（約90名、Google Workspace Business Standard）で、こう頼まれた。前任の担当者は「Google 単体ではできないが、SSO の IdP（この会社では JumpCloud）を経由すればできる」と調べていた。公式ヘルプを一つずつ確かめると、結論は違った。今のプランのままでは、特権管理者を IP で絞る方法はない。IdP 経由でも効かない。この記事では、その根拠と、代わりに選んだ手を書く。
この記事でわかること
- ▶ Business プランで「コンテキストアウェア アクセス」が使えない理由
- ▶ IdP（SSO）で IP を絞っても、特権管理者には効かない理由
- ▶ お金をかけるなら：Cloud Identity Premium を管理者の分だけ買う選択肢と、その注意点
- ▶ IP 制限より効く、乗っ取られにくくする3つの手
▼方法は3つ考えられる。結果はこうだった
| 方法 | 結果 |
|---|---|
| Google Workspace 単体（コンテキストアウェア アクセス） | 不可。対象のエディションに Business 系が入っていない |
| IdP を SSO にして、IdP の条件付きアクセスで IP を絞る | 特権管理者には効かない。一般ユーザーには効く |
| 費用をかける（上位プランか Cloud Identity Premium） | 選択肢としてはある。ただし特権管理者本人に効くかは未確認 |
Google 単体：Business プランは対象外
Google Workspace で IP アドレスや端末の状態を条件にアクセスを絞る機能は「コンテキストアウェア アクセス」だ。公式ヘルプに載っている対象エディションは Enterprise・Frontline・Education・Enterprise Essentials Plus・Cloud Identity Premium で、Business Starter / Standard / Plus は入っていない。Business プランのままでは、この機能そのものが使えない。
IdP 経由：特権管理者は SSO を通らない
次に考えるのが、「Google のログインを IdP（JumpCloud・Okta・Entra ID など）の SSO にして、IdP 側の条件付きアクセスで IP を絞る」方法だ。一般ユーザーには、これで効く。
だが、Google の公式ヘルプには、特権管理者が admin.google.com からログインする場合、SSO にリダイレクトされないと書かれている。特権管理者は Google のパスワードでそのまま入れる。SSO を設定すると、IdP が落ちたときに管理者まで締め出されてしまう。それを防ぐための仕様だ。
つまり、IdP で IP を絞っても、いちばん守りたい特権管理者が抜け道になる。前任の担当者の「IdP 経由ならできる」は、一般ユーザーについては正しかった。特権管理者には当てはまらなかった。
「できる」と聞いたら、誰に対してできるのかを確かめる
セキュリティの設定は、一般ユーザーと管理者で挙動が違うことが多い。管理者は、締め出しを防ぐために例外扱いされやすい。「IP 制限ができる」と聞いたら、それが特権管理者にも効くのかを、公式ヘルプで一文ずつ確かめる。
▼お金をかけるなら：Cloud Identity Premium を管理者の分だけ
プラン全体を Enterprise に上げなくても、Cloud Identity Premium を特定のユーザーの分だけ買う方法がある。
- ▶ 料金の目安：1ユーザー月6米ドル（年契約）／7.20米ドル（フレキシブル）。管理者2〜3名なら月20米ドル前後（2026年10月時点の公式ページ）
- ▶ 買った数だけ、手動で割り当てる。ユーザー・CSV・部門単位で割り当てられる。自動割り当ては切っておく
- ▶ コンテキストアウェア アクセスは、ライセンスを持つユーザーにだけかかる。同じ部門でも、ライセンスのない人にはかからない
- ▶ 対象のアプリに「管理コンソール」も選べる
未確認の点と、締め出しのリスク
公式ヘルプは「他の管理者の管理コンソールへのアクセスを制限する」という書き方で、特権管理者本人に効くかは書かれていない（未確認）。また、設定を誤って自分を締め出すと、Google サポートに外してもらうしかない。買う前に、この2点をサポートか販売代理店に確認する。
▼IP 制限より効く、乗っ取られにくくする3つの手
今回は、プランを変えずに次の3つで進めることにした。考えてみると、IP 制限が守ってくれるのは「会社の外から入られること」だけだ。パスワードが盗まれても乗っ取られない状態を作る方が、効き目は大きい。
| 手 | ねらい |
|---|---|
| 特権管理者を6名から2〜3名に減らす | 狙われる入口そのものを減らす。日常の作業は権限を絞った管理者ロールで行う |
| 管理者はセキュリティキー／パスキーを必須にする | フィッシングでパスワードと確認コードを抜かれても、ログインさせない |
| 管理者のログインをアラートで通知する | 万一入られても、すぐ気づける |
どれも Business Standard のままでできる。費用ゼロで、IP 制限より守れる範囲が広い。IP 制限は、この3つを済ませたうえで、なお必要なら費用をかけて検討する順番にした。
▼まとめ
- ▶ Business プランでは、コンテキストアウェア アクセス（IP 制限）は使えない
- ▶ IdP の SSO で IP を絞っても、admin.google.com から入る特権管理者には効かない
- ▶ 費用をかけるなら Cloud Identity Premium を管理者の分だけ。本人に効くかは事前に確認
- ▶ 先にやるのは、管理者を減らす・パスキー必須・ログイン通知
📅 30分無料相談、受け付けています
「Google Workspace のセキュリティ設定が昔のままで、どこから見直せばいいかわからない」——そういった段階からお気軽にどうぞ。設定の点検から、管理者まわりの守り方の設計まで対応しています。
📅 30分無料相談を予約する →