Claude Enteprise で組織設定に追加された IP 許可リストについて試してみた

こんにちは、クラスメソッドの長澤です。

Claude Enterprise の組織設定に「IP 許可リスト」が追加されました。
以前は Anthropic の担当者に IP 範囲を伝えて設定してもらう必要がありましたが、オーナーが自分で設定できるようになっています（現在はベータ）。

そこで、IP 許可リストを設定すると、どこからのアクセスがどうブロックされるのか検証してみました。

結論

先に結論ですが、許可していない IP からは、ブラウザ、デスクトップアプリ、モバイルアプリ、IDE、CLI のどれも使えなくなりました。
オーナーやプライマリオーナーも例外ではありません。

「オーナーが任意の IP アドレスからこの設定ページにアクセスすることを許可」にチェックを入れておくと、オーナーは IP 許可リストの設定ページだけは開けます。
チェックを外すと、オーナーも含めてページ全体がブロックされます。

IP 許可リストとは

組織に設定した IP 範囲からのリクエストだけを許可する機能です。
公式ドキュメントによると、対象は次のとおりです。

• ブラウザ、デスクトップアプリ、モバイルアプリの Claude
• Claude アカウントでログインした Claude Code
• Claude in Chrome、Office アドイン、Cowork、Remote Tools

Claude Design、Claude in Slack、Claude Academy は対象外です。

設定できるのはオーナーとプライマリオーナーで、IP 範囲は IPv4・IPv6 のアドレスか CIDR 形式で最大1,000件まで登録できます。
変更が反映されるまで、最大15分かかります。

• IP 許可リストで Claude へのアクセスを制限する
• IP allowlisting

IP 許可リストを設定する

組織設定の「IP 許可リスト」をオンにして、IP 範囲を追加します。
現在の接続元 IP がリストにない場合は警告が出て、「追加」からそのまま登録できます。

今回は自宅の固定回線の IP を1つだけ登録しました。

保存すると、確認のダイアログが表示されます。
範囲外の IP から接続しているメンバーは、15分以内にデスクトップアプリやモバイルアプリ、Claude Code を含めアクセスできなくなる、という注意書きです。

自分の IP が範囲内か、オーナーがどの IP からでも設定ページを使えるかも、このダイアログで確認できます。

なお、許可リストをオンにしたまま IP 範囲をすべて削除しようとすると、「許可リストをオンにする前に、少なくとも1つの IP 範囲を追加してください。」と表示されて保存できません。

検証の内容

許可した IP からは、ブラウザ、デスクトップアプリとも普通に使えることを確認しました。

次に、Cloudflare WARP をオンにして、許可していない IP から次の使い方を試します。
モバイルアプリは Wi-Fi を切って、モバイル回線から試しました。

まずは「オーナーが任意の IP アドレスからこの設定ページにアクセスすることを許可」にチェックを入れたまま試します。

許可していない IP からアクセスする

ブラウザ

claude.ai を開くと、画面自体は表示されました。
ただし、右下に「お使いの IP アドレスは、この組織の IP 許可リストに含まれていません」と表示され、サイドバーのチャット一覧も「チャットを読み込めませんでした」となっています。

「Hello」と送ってみると、右下に次のエラーが出て送信できませんでした。

Your IP address isn't in this organization's allowed range.

オーナー、プライマリオーナー、ユーザーのどの役割でも同じ結果でした。

デスクトップ

デスクトップアプリも同じく画面は表示されますが、「Hello」と送ると「送信に失敗しました」となりました。

モバイル

モバイルアプリでも、送信すると同じエラーが表示されました。

IDE

VS Code の Claude Code 拡張機能でログインすると、ブラウザの認証画面で「OAuth リクエストに失敗しました」と表示されました。

公式ドキュメントに IDE の記載はありませんが、CLI と同じく Claude アカウントでログインするため、対象になっています。

CLI

CLI でも /login すると、IDE と同じ「OAuth リクエストに失敗しました」の画面になりました。

許可した IP でログインしておいたセッションでも試してみました。
WARP をオンにしてから「Hello」と送ると、次のエラーになりました。

Please run /login · API Error: 403 Your IP address isn't in this organization's allowed range.

ログイン済みでも、許可していない IP からは使えません。

結果

オーナーの設定ページへのアクセス

チェックを入れている場合

許可していない IP からでも、オーナーは IP 許可リストの設定ページを開けました。

ただし、開けるのは IP 許可リストの設定ページだけです。
メンバーなどの他の設定ページは「メンバーの読み込みに失敗しました」となり、表示できませんでした。

チェックを外した場合

次に、「オーナーが任意の IP アドレスからこの設定ページにアクセスすることを許可」のチェックを外して保存します。

保存しようとすると、確認のダイアログが表示されました。

範囲外のアドレスから接続しているオーナーは15分以内に設定ページへのアクセスを失うこと、あとで自分のアドレスが変わった場合は、別のオーナーが追加するか Anthropic サポートが対応するまでアクセスできなくなることが書かれています。

ダイアログには、現在の接続元 IP が許可リストの範囲内かどうかも表示されます。
自分の IP が許可リストにない状態でチェックを外そうとすると、「アクセスを制限」が押せず、保存できませんでした。

自分が締め出される設定はそもそも保存できないようになっています。
今回は許可した IP からチェックを外して保存し、そのあと WARP をオンにして試しました。

チェックを外したあと、許可していない IP からアクセスすると、ページ全体が「現在のネットワークではこの組織にアクセスできません」になりました。

チャット画面も組織設定も見られず、オーナー、プライマリオーナー、ユーザーのどの役割でも同じでした。

チェックを入れているときは画面自体は表示されていたので、チェックの有無でブロックのされ方が変わるようです。
オーナー以外のユーザーも同じ変わり方をしていたので、チェックはオーナーだけでなく、組織全体の画面の出方に影響しているようです。

まとめ

IP 許可リストを使うと、許可していない IP からはブラウザ、デスクトップアプリ、モバイルアプリ、IDE、CLI のどれからも Claude を使えなくなりました。
オーナーも例外ではなく、チェックを入れておけば IP 許可リストの設定ページだけは開ける、という作りです。

設定するときは、オフィスや VPN の出口 IP など、メンバーが使う回線を漏れなく登録しておく必要があります。
また、自分が締め出されないように、「オーナーが任意の IP アドレスからこの設定ページにアクセスすることを許可」はチェックを入れたままにしておくのが安全です。

Claude Enterprise で利用できる場所を社内ネットワークに絞りたい方は参考にしてみてください。