はじめに
ハイブリッド環境で「Exchange Onlineの受信者にメールアドレスを追加したいけど、オンプレADの同期ユーザーだから管理センターから編集できない」という場面、意外とよくあると思います。
このとき、ADSI Editなどでオンプレミス Active Directory の proxyAddresses や msExch* 系属性を直接書き換えてしまうと、実は思わぬ障害につながることがあります。なぜダメなのか、技術的な背景を整理してみました。安全な変更手順やトラブル時の初動対応は元記事に詳しくまとめています。
元記事: [【Microsoft365参考書】オンプレミス AD で Exchange 属性を直接変更してはいけない理由とは？]
なぜ直接編集がNGなのか
① Exchange属性は相互依存している
proxyAddresses・legacyExchangeDN・mailNickname・msExchRecipientTypeDetailsといった属性は、単体で完結するものではなく、組み合わさって初めて正しく機能する設計になっています。オンプレADは標準のADスキーマがベースで、Exchange専用の管理ロジックは持っていないため、Exchange管理ツール(EAC/Exchange Management Shell)を経由しない変更は、この整合性を簡単に崩してしまいます。
② ADSI Editには安全装置がない
Exchangeの管理ツールはアドレス形式のチェックや重複確認といったガードレールを持っていますが、ADSI Editは低レベルな編集ツールであるため、そうしたチェックは一切働きません。メールアドレスの形式不正、proxyAddressesの重複、legacyExchangeDNの破損などが起きても、ツール側は何も警告してくれません。
③ 裏側の後処理が走らない
Exchange管理ツール経由の変更では、アドレスポリシーの適用やオフラインアドレス帳(OAB)・GALへの反映といった後処理が自動的に実行されます。直接編集ではこれらがスキップされるため、その場では問題なく見えても、時間差で障害として顕在化するという厄介なパターンが起こり得ます。
ハイブリッド環境ではリスクが増幅する
Azure AD Connect(Entra Connect)でオンプレADとMicrosoft 365を同期している場合、AD側の不正な値がそのままクラウド側に同期されてしまいます。結果として、Exchange Online側での同期エラー、メールアドレス重複による配信障害、ディレクトリ同期の停止など、影響範囲がオンプレだけに留まらなくなる点は特に注意が必要です。
Microsoftのサポート方針
Microsoftのサポートポリシーでは、スキーマにない属性の手動編集は非推奨とされており、AD属性の直接編集が原因の障害はサポート対象外という扱いになっています。ケースによってはExchangeの再構築が必要になることもあるため、「動いているから大丈夫」では済まないリスクがある点は覚えておきたいところです。
安全に変更するための基本方針
推奨されるのは、常にExchange管理ツール(Exchange Management ShellやEAC)経由で変更を行うことです。例えばメールアドレスを追加する場合は、以下のようにPowerShellで実施します。
# 例: user1 に alias@example.com を追加
Set-Mailbox -Identity "user1" -EmailAddresses @{add="smtp:alias@example.com"}
ハイブリッド環境では、オンプレのExchange管理用サーバーを残しておき、そちらから変更するのが基本です。proxyAddressesやprimarySMTPの大文字小文字を含めた表記を安易に直接編集しないこと、変更前にADのバックアップ(システム状態バックアップ)を取得しておくことも重要なポイントです。
おわりに
「ADSI Editで直接触れば早い」という誘惑はあるかもしれませんが、Exchange属性は見た目以上に相互依存が強く、裏側の後処理を省略するリスクが大きい領域です。障害発生時の初動対応の具体的な手順や、より詳しい技術的背景は元記事で解説していますので、ハイブリッド環境を運用されている方はぜひ参考にしてください。