「会社のネットワークからだけ、会員アカウントを利用できるようにしたい」。BtoB-ECでは、こうした要件が出ることがあります。サンクユーでは、EC-CUBEベースのサイトに、会員別のIPアドレス制限を追加実装しました。
本記事では、顧客情報を伏せ、導入時に整理した条件を紹介します。対象は購入者側の会員アカウントで、管理画面へのアクセス制限とは異なります。
この記事でわかること
- 管理画面のIP制限と、会員アカウントのIP制限の違い
- 複数拠点・社外利用の整理
- 設定時に自分を締め出さないための考え方
- 運営側での変更と、導入前のチェック項目
管理画面のIP制限と、会員アカウントのIP制限は別の対策
本記事では、会員別IP制限の基本的な仕組みに加えて、導入後に困りやすい複数拠点での利用、設定変更、利用できなくなった場合の対応に重点を置きます。
対象は、購入者側の会員アカウントです。サイト運営者が使う管理画面へのアクセス制限とは異なります。管理画面側のIP制限は、EC-CUBEの多層防御（WAF・IP制限・2段階認証）で扱っています。本記事は、EC-CUBE標準の設定手順ではなく、サイトの要件に合わせた追加実装の例です。
IP制限は、接続元を確認する仕組み
許可するIPアドレスを登録し、接続元がその一覧に含まれる場合に利用できるようにする仕組みです。今回は、会員ごとに制限の有効・無効と許可一覧を設定できる設計にしました。
IPアドレスは、個人そのものを識別する情報ではありません。同じ会社のネットワークを複数人が使う場合もあるため、ログインの本人確認とは役割を分けて考えます。IP制限と認証を併用する場合は、それぞれの確認が必要になることを利用者に案内します。
複数拠点と、社外からの利用を先に整理する
本社だけでなく、支店・倉庫・営業所から利用する場合は、必要な接続元をそろえます。今回の機能では、複数のIPアドレスを登録できます。
一方、未登録の自宅回線やモバイル回線からは利用できません。外出先での操作が日常的に必要な場合は、利用できる接続方法を、会社のネットワーク管理者と相談して決めます。
登録するのは、サイトから見える接続元のIP
パソコンのネットワーク設定に表示される番号を、そのまま登録すればよいわけではありません。社内で割り当てられたアドレスと、インターネット側からサイトが確認する接続元は、異なることがあります。
登録する値は、サイトが実際に確認する接続元と一致している必要があります。IPv4とIPv6の違いも確認が必要です。固定IPv4を登録していても、IPv6で接続した場合は値が一致しません。この事例は、Cloudflare利用環境で固定IP制限が使えない問題に対応｜EC-CUBEのアクセス制御事例で紹介しています。
ログイン後のアクセスも確認する
ログイン時だけ接続元を確認する方式では、ログイン後に利用するネットワークが変わる場面を考慮する必要があります。保護対象の画面やデータへのアクセスについても、どこで接続元を確認するかを設計します。
どの画面・データを対象にするかは、要件として整理します。ログイン画面だけを変更して完了とせず、保護したい情報に実際に届く経路を確認します。
自分自身を締め出さないための設定
許可一覧の変更では、保存後に正規の利用者がアクセスできなくなる状況を避ける設計が必要です。変更内容の確認や案内、問題が起きた場合の連絡先を用意します。
設定の保存時には本人確認を求め、変更後の既存ログイン状態をどう扱うかも決めておきます。
ただし、設定時に利用できても、将来の回線変更までは解決できません。拠点の移転や契約回線の変更の前に、許可一覧を見直す運用も必要です。
運営側での変更と復旧
会員が利用できなくなった場合に備え、運営側で許可IPを修正できる仕組みも用意しました。ここで操作するのはサイト運営担当者です。
運営側が設定を変更する場合は、対象会員のログイン状態に影響することがあります。対象の会社・会員を確認し、事前に案内してから操作する運用にします。
CDNやプロキシを経由する場合
サイトの前段にCloudflareなどがある場合は、サイトが接続元をどの情報から取得するかも確認が必要です。会社で把握している固定IPと、サイトが取得する値が一致しない場合があります。
特定の環境での結果を、そのまますべての環境に当てはめることはできません。利用回線とサイト側の構成を確認して判断します。
導入前に整理するチェック項目
- 対象の会員と、保護する画面・データ
- 本社・支店など、必要な接続元の一覧
- 固定IPの契約状況と、IPv4・IPv6の接続状況
- 社外からの利用が必要な場合の接続方法
- 回線変更時の連絡と、許可一覧を更新する担当者
- 利用できなくなった場合の確認・復旧の窓口
IP制限は、対象会員の利用場所を絞るための仕組みです。2段階認証など本人確認の対策と合わせた考え方は、BtoB-ECの会員ログインをどう守る？2段階認証・IP制限・ログイン期限の設計で整理しています。
よくある質問
IP制限を設ければ、2段階認証は不要ですか？
役割が異なります。IP制限は接続元の確認、2段階認証は本人の確認です。同じ会社のネットワークを複数人が使う場合もあるため、守りたい情報と運用に合わせて組み合わせを判断します。
登録するIPアドレスは、パソコンのネットワーク設定に表示される番号でよいですか？
そのまま使えるとは限りません。社内で割り当てられたアドレスと、サイトがインターネット側から確認する接続元は、異なることがあります。サイトが実際に確認する値と合っているかを確認します。
固定IPを登録したのに、会社からログインできない場合は何を確認しますか？
登録している値と、サイトが実際のアクセスで取得した値を分けて確認します。IPv4とIPv6の違い、CDNやプロキシの経由、拠点や回線の違いなどが切り分けの対象です。
在宅勤務や外出先から利用できますか？
登録していない自宅回線やモバイル回線からは、IP制限の対象になる会員は利用できません。社外から利用する必要がある場合は、利用できる接続方法を、ネットワーク管理者と相談して決めます。
EC-CUBEの会員ログインの保護について相談する
サンクユーでは、EC-CUBEの機能追加を、実際の運用条件と合わせて検討します。現在の利用環境と、保護したい情報・困っていることをお知らせください。
あわせて読まれています
投稿者プロフィール
- サンクユーのEC-CUBE担当。15年以上にわたりEC-CUBE開発に従事し、2系・3系・4系すべてに精通。難易度の高いカスタマイズや、他社構築サイトの改修・再設計も多数対応しています。
Javaでの業務システム開発を起点に、PHP・Perl・フロントエンド・CMSまで横断的に対応。基幹システム連携や業務フローを踏まえた設計を得意とし、複雑な要件にも柔軟に対応可能です。
ChatGPT CODEXを活用し、開発スピードと品質の両立を実現しています。
