Claude Platform Docs
管理認証

IP許可リスト

信頼できる特定のIPアドレスにアクセスを限定することで、組織を保護します。

「IP allowlisting」（IP許可リスト）は、対象リクエストを特定のIP範囲からのみ許可することで、組織を保護します。これにより、APIキーが漏洩した場合でも、攻撃者がそのキーを使用することがはるかに難しくなります。データ漏洩を防ぎ、不正利用による課金の可能性を減らすことができます。

許可リストはキーが機能する場所を制限しますが、有効期間は制限しません。短いキーの有効期限も設定するか、Workload Identity Federationに移行して静的キーの使用をやめることをお勧めします。これは許可リスト単体よりも安全です。

仕組み

組織の管理者またはオーナーが、設定でIP範囲のリストを作成します。この範囲のリストは組織全体に適用されます。対象となる各リクエストについて、Anthropicはリクエストのパブリック IPアドレスをリストと照合し、許可されていない場合はそのリクエストを拒否します。

  • APIリクエスト：リスト外のアドレスから対象エンドポイントへのリクエストは拒否されます。たとえば、Messages APIは403 permission_errorを、メッセージYour IP address isn't in this organization's allowed range.とともに返します。
  • ユーザー：許可されていないアドレスから接続したユーザーには、Your current network can’t access this organizationというタイトルのページが表示されます。組織の管理者もブロックされますが、締め出しを回避するために、オプションで管理者に復帰手段を与えることができます。その場合、管理者は許可リストの設定にのみアクセスできます。

Claude Platformの組織

許可リストが適用される範囲

制限事項も参照してください。

Claude Enterpriseの組織

Claude Enterpriseの組織には独自のIP許可リストがあり、特定のIP範囲からのみ、対象となるアプリへのアクセスを許可します。これにより、ユーザーのサインイン情報が盗まれた場合でも、攻撃者がそれを使用することがはるかに難しくなります。このリストは、オーナーを含む組織全体に適用されます。オーナーとプライマリオーナーが設定できます。許可リストを有効にする前に、締め出しを回避するをお読みください。

許可リストが適用されるアプリ

リスト外のユーザーは、次のアプリで組織にアクセスできなくなります。

  • ブラウザ版のClaude、デスクトップアプリ、モバイルアプリ
  • Claude Code（ユーザーがClaudeアカウントでサインインする場合）
  • Claude in Chrome、Officeアドイン、Cowork、Remote Tools

これには、これらのアプリ内のコネクタとアーティファクトも含まれます。ただし、ユーザーが組織外に共有したアーティファクトは除きます。Claude Scienceについては、Claude Science管理コントロールのIdentity and accessを参照してください。

許可リストは、この組織のみを対象とするキーを使用する場合、Admin APIとCompliance APIにも適用されます。

制限事項も参照してください。

ユーザーへの影響

Webおよびデスクトップアプリでは、ブロックされたユーザーにYour current network can’t access this organizationというタイトルのページが表示されます。オーナーもブロックされますが、締め出しを回避するために、オプションでオーナーに復帰手段を与えることができます。その場合、オーナーは許可リストの設定にのみアクセスできます。Claude Codeでは、ブロックされたユーザーに、メッセージYour IP address isn't in this organization's allowed range.とともに403 APIエラーが表示されます。

  • 他のアカウント： ブロックされたユーザーも、他の組織や個人アカウントには引き続きサインインして使用できます。
  • リモートのユーザー： モバイルデータ通信中のスマートフォン、自宅のWi-Fi、VPNに接続していないノートパソコンは、リストにあるネットワーク経由で接続するまでブロックされます。
  • プロキシ： 一部の機能はbridge.claudeusercontent.com経由で接続します：Claude in Chrome、Cowork、Remote Tools、およびOfficeアドインのアプリ間での作業。プロキシがこのホストへのトラフィックをclaude.aiおよびapi.anthropic.comとは異なるアドレスから送出する場合は、そのアドレスもリストに追加してください。

制限事項

  • Claude Platform： 許可リストはClaude Managed Agentsエンドポイントへのリクエストを対象とするものであり、エージェント自体は対象としません。Claude Managed Agentsランタイム内のネットワーク通信には一切適用されません。許可リストは、Claude in Amazon Bedrock、Claude Platform on AWS、Claude Models on Google Cloud、またはClaude in Microsoft Foundryには適用されません。
  • Claude Enterprise： Claude Design、Claude in Slack、Claude Academyは対象外です。ユーザーがブロックされた時点でClaudeがチャット内のタスクを処理している場合、そのタスクは最大24時間継続できます。ユーザーはリスト外からそのチャットを開いたり操作したりすることはできません。

許可リストを有効にする

  1. トグルを有効にする

    組織の設定ページに移動します：

    IP allowlistトグルを有効にします。保存するまで何も変更されません。

  2. 範囲を追加して保存する

    Add entry（Claude Console）またはAdd IP range（claude.ai）をクリックし、1つ以上のアドレスまたは範囲をカンマ区切りで入力して、Enterキーを押します。現在接続しているネットワークを含め、サーバー、CI、ユーザーの接続元となる各ネットワークをリストに追加してください。Anthropicでは、締め出しを回避するために、Allow admins to access this settings page from any IP address（Claude Console）またはAllow owners to access this settings page from any IP address（claude.ai）チェックボックスが選択されていることを確認することをお勧めします。その後、Saveをクリックして確定します。

  3. トラフィックを確認する

    変更が適用されるまで最大15分かかる場合があります。毎日または毎週のみ実行されるジョブを含め、アプリケーションで403 permission_errorレスポンスが発生していないか監視し、漏れているアドレスがあれば追加してください。Claude Enterpriseの組織では、各ネットワークのユーザーに、引き続きClaudeを開けることを確認してもらってください。Claude Enterpriseの組織では、すでに開いている接続、Officeアドイン、Remote Toolsに変更が反映されるまで、さらに時間がかかる場合があります。

エントリの形式

  • 形式： IPv4またはIPv6のアドレスを許可リストに追加できます。各エントリは、単一のアドレス（203.0.113.5）またはCIDR範囲（203.0.113.0/24、2001:db8::/32）で指定でき、範囲はIPv4では/8、IPv6では/32より広くすることはできません。リストには最大1,000件のエントリを保持できます。
  • パブリックアドレスのみ： 10.0.0.0/8のようなプライベート範囲ではなく、トラフィックがネットワークから出ていくアドレスをリストに追加してください。共有プロキシのアドレスを追加する場合、漏洩したキーや盗まれたサインイン情報を持つ攻撃者が、そのプロキシ経由でそれを使用できる可能性がある点に注意してください。

締め出しを回避する

保存時、設定ページは現在のアドレスをリストと照合し、あなた自身が締め出されないことを確認します。ただし、サーバー、チームメンバー、または明日接続する可能性のあるアドレスはチェックしません。

  • まずすべてのネットワークをリストに追加する： データセンター、CIシステム、オフィス、VPN、プロキシ、およびセルフホスト型サンドボックスのワーカーを、それぞれのパブリックIPv4アドレスとIPv6アドレスとともに含めてください。自宅やモバイルのアドレスは予告なく変わることが多い点に注意してください。
  • 復帰手段を残しておく： Anthropicでは、Allow admins to access this settings page from any IP address（Claude Console）またはAllow owners to access this settings page from any IP address（claude.ai）チェックボックスを選択することをお勧めします。そうすれば、管理者（claude.aiではオーナー）がどこからでもリストを修正できます。欠点は、管理者またはオーナーのセッションを侵害した攻撃者が、リモートの場所から許可リストを更新できる可能性があることです。組織でCompliance APIを設定している場合、そのActivity Feedに許可リストへの変更が記録されるため、変更を監査できます。

締め出された場合

Claude Enterpriseの組織では、管理者はリストを変更できないため、以下の手順における「管理者またはオーナー」は、オーナーまたはプライマリオーナーを意味します。

  1. リストにあるネットワークから再接続する： オフィスのネットワークまたはVPNに接続してから、Try againをクリックします。Try againボタンがない場合は、ページを再読み込みしてください。
  2. 別の管理者またはオーナーに依頼する： リストにあるネットワーク上の管理者またはオーナーが、あなたのアドレスを追加できます。
  3. 現在の場所からリストを修正する： 管理者またはオーナーであり、復帰手段を残しておくで説明したチェックボックスが選択されている場合は、Claude ConsoleまたはブラウザでClaudeを開いてOpen IP allowlistをクリックするか、Identity and accessページ（claude.aiではOrganization and access）に移動します。Add itをクリックして現在のアドレスを追加するか、許可リストを無効にしてから、Saveをクリックして確定します。アクセスが回復するまで最大15分かかる場合があります。
  4. Anthropicに連絡する： ページにアクセスできる管理者またはオーナーがいない場合は、Anthropicサポートに許可リストの無効化を依頼してください。

このページは役に立ちましたか？