Office 365には会社所有のデバイスを使わなくても構わないというメリットがある。特別な設定を行う必要はない。インターネット接続があれば、「Microsoft Outlook」のインストールや電子メールのダウンロードなど、Office 365のサービスにどこからでもアクセスできる。このように任意のデバイスからサービスにアクセスできるため、コンプライアンスや会社の経営方針に違反する可能性が生じる。特に財務情報や個人情報を扱う場合はその可能性が高いだろう。

　Office 365の実用性を向上させるには、電子メールにアクセスできるユーザーと、アクセス場所を制限できることが条件となる。それ以外にも制限は必要だろう。だが、このような規制は、Office 365と統合された「Active Directoryフェデレーションサービス」（以下、AD FS）サーバを使えばより容易だ。

　Outlookを使うには、Office 365にユーザー名とパスワードを送信する。Office 365は資格情報を受け取ると、エンドユーザーの代わりに認証を行う。OWAや「Microsoft SharePoint」などのブラウザベースのサービスを除き、Office 365のアドレスからAD FSへのアクセスを提供する必要がある。適切な資格情報を持っているOutlookクライアントは、AD FSサーバがインターネットに公開されているかどうかに関係なく認証を行うことが可能だ。この仕様は「クライアントアクセスポリシー」という機能によって実現されている。

利用可能な機能と主な要件

　クライアントアクセスポリシーは、MicrosoftがOffice 365へのアクセスを制限する手段としてサポートしている多数ある基本的なポリシーの1つだ。例えば、次のようなポリシーが用意されている。

• 外部からOffice 365サービスへの全アクセスをブロックする
• 外部からOffice 365サービスへの全アクセスをブロックする（ただし、ActiveSyncデバイスからのアクセスは除く）
• 外部からOffice 365サービスへの全アクセスをブロックする（ただし、ブラウザベースのOWAやSharePoint Onlineなどパッシブクライアントからのアクセスは除く）
• 特定のActive Directoryグループのメンバーによる外部からOffice 365サービスへの全アクセスをブロックする
• 外部Outlookクライアントのみをブロックする

　「外部からの全アクセスをブロックする」基準となるのは、指定したIPアドレスの範囲だ。VPNクライアントでOffice 365にアクセスした場合は、内部アクセスと見なされる。

　サーバ側で満たす必要がある最小要件は次の2つだ。

• AD FS 2.0 Update Rollup 2、AD FS 2.1またはAD FS 2012 R2
• AD FSプロキシ、Webアプリケーションプロキシまたはリバースプロキシ（本稿記載の要件を満たすもの）

　AD FSとOffice 365のテナントでは稼働状態が適切に維持されていなければならない。具体的には、1～2個のテスト用メールボックスを構成して、クライアントの認証テストを実施している必要がある。

　また、要件に最適なシナリオを選ぶ必要がある。加えて、内部クライアントがアクセスに使用する外部IPアドレス／外部IPアドレスの範囲を網羅したリストを作成する必要もある。

クライアントアクセスポリシーを実装する

　「TechNet」で公開されているクライアントアクセスポリシーに関する資料は複雑に見えるかもしれない。だが、これらを簡単に設定できる方法はある。

　Microsoftが提供している「Client Access Policy Builder」を使用すると、便利なウィザードを使用して変更を実装できる。これはGUIが用意された「Windows PowerShell」スクリプトだ。最初にプライマリAD FSサーバにスクリプトをダウンロードする。「Windows Server 2012 R2」を使用している場合は、スクリプトを実行する前に少し調整が必要になる。この調整はAD FSモジュールにスクリプトが適切に読み込まれるようにするためのものだ。