はじめに
複合機やオンプレの業務システムから、Exchange Online経由で外部にメールを送りたい。いわゆるSMTPリレーを構成する際、「ライセンスが必要なケースと不要なケースがある」という点で迷ったことがある方も多いのではないでしょうか。
構成要件や受信コネクタの優先順位まわりを自分なりに整理してみたので共有します。受信コネクタの具体的な作成手順(Exchange管理センターでの画面操作)は元記事にまとめています。
元記事: [【Microsoft365参考書】SMTPリレーとは？]
SMTPリレーとは
SMTPリレーは、社内のメールサーバーや複合機から、Microsoft365内のメールボックスを経由せずに、直接 Exchange Online Protection(EOP)に接続して外部へメールを配信する方法です。送信元のシステムやMTA側にSMTP送信機能があることが前提になります。
ライセンスが必要になるかどうかの分かれ目
ここが一番迷いやすいポイントだと思います。判断基準はシンプルで、送信元アドレス(エンベロープFrom)がMicrosoft365に登録済みで、Exchange Onlineなどのライセンスを持つアカウントのものかどうかです。
- 送信元アドレスがテナント内のライセンス付きアカウントのもの → 追加ライセンス不要
- 送信元アドレスがMicrosoft365に存在しないユーザーのもの → 送信ユーザー数と同数のEOPまたはExchange Onlineライセンスが必要
これは、Microsoft365外部のシステムやメールボックスからの送信もEOPの保護機能を経由するため、テナント内メールボックス以外の保護に対しても契約上の費用が発生する、という考え方によるものです。複合機や監視システムなど、個別アカウントを持たない送信元を多数抱えている場合は、ここでコストが膨らみがちなので注意が必要です。
構成要件
SMTPリレーを構成するための主な要件は次の通りです。
- 25番ポートが利用できる環境
- TLS(1.2または1.3)による暗号化
- グローバルIPアドレス(証明書ベースのコネクタの場合は必須ではない)
- 接続先はMicrosoft365テナントのドメインのMXレコード(
*.mail.protection.outlook.com形式) - Exchange管理センターで受信コネクタ(組織のメールサーバー種別)を作成する
受信コネクタは「証明書ベース」と「IPアドレスベース」の2種類
送信元アドレスのドメインが、利用テナントの承認済みドメインかどうかで、選ぶべき受信コネクタの種類が変わります。
- 送信元ドメインが承認済みドメインの場合 → IPアドレスベースの受信コネクタでOK
- 送信元ドメインが承認済みドメインでない場合 → 公的証明書ベースの受信コネクタが必須(第三者の信頼できる認証局(CA)発行の証明書が必要。プライベートCAやAD CSの証明書は対象外)
さらに、複数テナントに同じMXレコード宛の配信が来た場合の優先順位も押さえておきたいポイントです。まず証明書ベースのコネクタで、送信側証明書のサブジェクトまたは送信者ドメインが承認済みドメインと一致するテナントがないか確認され、一致しなければIPアドレスベースのコネクタで送信元IPが一致するテナントに配信される、という順序になっています。IPアドレスベースのコネクタは、エンベロープFromのドメインがテナントの承認済みドメインでない場合、中継そのものを拒否する点も覚えておくと良さそうです。
うまく動作しない場合のチェックポイント
- 構成要件(ポート・TLS・IP・MXレコード)を満たしているか
- 受信コネクタの設定(証明書ベース/IPベースの選択)は正しいか
- スマートホストの接続先にExchange OnlineのMXレコードを指定しているか
- 送信元のSMTPログでスマートホストへの配信エラーが出ていないか
おわりに
SMTPリレーは「ライセンスの要否」と「受信コネクタの種類の選び方」を最初に整理しておくと、設計時の迷いがかなり減ります。受信コネクタの作成手順のスクリーンショット付き解説は元記事にまとめていますので、これから構成する方はあわせてご覧ください。
- 元記事: 社畜の所業「SMTPリレーとは？」
- ブログ全体: 社畜の所業(Microsoft365解説ブログ)