SecurityGateway for Email Servers 12.5

受信メッセージの不明なローカル受信者および送信メッセージの不明なローカル差出人を確認するためにSMTPを使用する場合、このタイプを選択します。コールバック検証と同様に、SecurityGatewayはSMTPプロトコルを通してユーザーを確認することを試みます。認証を試みる不明なローカル差出人については、SecurityGatewayが認証のためにSMTP検証ソースへユーザーの認証情報を渡します。認証が成功すると、メッセージはSecurityGatewayによって配信のために受け取られ、ユーザーのためのアカウントが作成されます。既に存在するアカウントについては、SecurityGatewayはまずローカルユーザーデータベースに対してユーザーのログイン認証情報をチェックします。一致が見つからない場合、SMTP検証ソースがチェックされます。

説明:

検証ソースの説明（例えば、"Server X at example.com"）のために、このテキストボックスを使用します。ユーザ検証ソースページの説明カラムに対応します。

ホスト名またはIP:

これは、検証ソースのホスト名またはIPアドレス用です。このソースを問い合わせる際、SecurityGatewayはこのロケーションに接続します。このオプションは、ユーザー検証ソースページのホストカラムに対応します。

ポート:

これは検証ソースへ接続する際にSecurityGatewayが使用するポートで、ユーザー検証ソースページのPortカラムに対応します。

認証が必要

SMTP検証ソースが認証を必要とする場合、このチェックボックスをクリックします。その上で、下記にユーザー名とパスワードを入力します。

ﾕｰｻﾞ名:

SMTP検証ソースが認証を必要とする場合、ユーザー名をここに指定します。

パスワード:

SMTP検証ソースのパスワードを、ここに入力します。

不明なローカルユーザーを確認するためにActive DirectoryまたはExchangeサーバーを使用する場合、このタイプを選択します。前述のSMTP検証と同様に、この検証タイプはダイナミック認証をサポートします。認証を試みる不明なローカル差出人については、SecurityGatewayが認証のためにActive Directory/Exchangeサーバーへユーザーの認証情報を渡します。認証が成功すると、メッセージはSecurityGatewayによって配信のために受け取られ、ユーザーのためのアカウントが作成されます。既に存在するアカウントについては、SecurityGatewayはまずローカルユーザーデータベースに対してユーザーのログイン認証情報をチェックします。一致が見つからない場合、SMTP検証ソースがチェックされます。

説明:

検証ソースの説明（例えば、"Server X at example.com"）のために、このテキストボックスを使用します。ユーザ検証ソースページの説明カラムに対応します。

ホスト名またはIP:

これは、検証ソースのホスト名またはIPアドレス用です。このソースを問い合わせる際、SecurityGatewayはこのロケーションに接続します。このオプションは、ユーザー検証ソースページのホストカラムに対応します。

ポート:

これは検証ソースへ接続する際にSecurityGatewayが使用するポートで、ユーザー検証ソースページのPortカラムに対応します。

ﾕｰｻﾞ名:

この欄には、検証ソースへログインするために必要なActive Directory/Exchange/Windowsのユーザー名を入力します。

パスワード:

上記で指定したActive Directory/Exchangeのユーザー名に対応するパスワードを入力するために、この欄を使用します。

検索フィルタ:

これは、ユーザーについてActive Directory/Exchangeサーバーへ問い合わせる際に使用される検索フィルタです。ほとんどの場合、デフォルトの検索フィルタで十分です。

ユーザー検証ソースとしてMingerを使用しているMDaemonサーバーを使用する場合、この検証タイプを選択します。これはMingerプロトコルの拡張バージョンであり、MDaemonサーバー専用です。従って、このオプションは他のタイプのサーバーでは使用できません。この検証タイプは、前述の2つの検証タイプと同様にダイナミック認証をサポートします。つまり、ユーザーは自分のメールサーバーのログイン認証情報を使用して、SecurityGatewayアカウントの認証またはログインを行うことができます。

説明:

検証ソースの説明（例えば、"Server X at example.com"）のために、このテキストボックスを使用します。ユーザ検証ソースページの説明カラムに対応します。

ホスト名またはIP:

これは、検証ソースのホスト名またはIPアドレス用です。このソースを問い合わせる際、SecurityGatewayはこのロケーションに接続します。このオプションは、ユーザー検証ソースページのホストカラムに対応します。

ポート:

これは検証ソースへ接続する際にSecurityGatewayが使用するポートで、ユーザー検証ソースページのPortカラムに対応します。

認証が必要

MDaemonサーバーがMingerの使用に認証を必要とする場合、このチェックボックスをクリックします。

パスワード:

MDaemonサーバーのMingerパスワードを、ここに入力します。

ユーザー検証ソースタイプとしてMDaemon XML-APIを使用するには、このオプションを選択します。MDaemonのXML APIは、MDaemonが可逆暗号化を使用してパスワードのコピーを保存していないアカウントも認証できるため、Mingerよりも優れた代替手段を提供します。また、単一の呼び出しでアカウントのすべてのエイリアスを返すこともできます。注意: このオプションには、MDaemonバージョン23.0.2以降が必要です。

説明:

検証ソースの説明（例えば、"Server X at example.com"）のために、このテキストボックスを使用します。ユーザ検証ソースページの説明カラムに対応します。

MDaemon XML API URL:

MDaemonのインストール時のデフォルトXML-API URLは、"http://servername:RemoteAdminPort/MdMgmtWS/"です。ただし、MDaemonでHTTPSオプションを設定し、安全なHTTP（すなわち、https://servername:RemoteAdminPort/MdMgmtWS/）を使用することを強く推奨します。

MDaemon XML APIサービスアカウントの作成

このボタンをクリックすると、権限が制限されたMDaemon XML APIサービスアカウントを作成します。SecurityGatewayが永続的に使用する管理者の完全な認証情報を提供する代わりに、この機能はAPIを使用して、ユーザーアカウントの確認と認証に使用される単一の"XMINGER"操作のみに権限が制限された別のアカウントを作成します。

ユーザーを確認するためにLDAPサーバーを使用する場合、この検証タイプを選択します。しかし、他の検証タイプとは異なり、ユーザーのログイン認証情報を認証するためにLDAPを使用することはできません。そのため、ダイナミック認証、すなわち「オンザフライ」での認証はサポートされません。従って、ユーザーに認証を必須としている場合、LDAP検証ソースで確認されたユーザーは、自分のSecurityGatewayアカウントのパスワードを使用しない限り、SecurityGatewayを通じてログインやメッセージの送信を行うことができません。

説明:

検証ソースの説明（例えば、"Server X at example.com"）のために、このテキストボックスを使用します。ユーザ検証ソースページの説明カラムに対応します。

ホスト名またはIP:

これは、検証ソースのホスト名またはIPアドレス用です。このソースを問い合わせる際、SecurityGatewayはこのロケーションに接続します。このオプションは、ユーザー検証ソースページのホストカラムに対応します。

ポート:

これは検証ソースへ接続する際にSecurityGatewayが使用するポートで、ユーザー検証ソースページのPortカラムに対応します。

Bind DN:

SecurityGatewayがユーザー名を問い合わせできるように、LDAPサーバーへのアクセス権を持つ識別名（DN）を入力します。これは、バインド操作での認証に使用されるDNです。

パスワード:

このパスワードは、認証のためにBind DNの値とともにLDAPサーバーへ渡されます。

ベースエントリDN:

これは、SecurityGatewayがユーザーについてActive Directoryを検索する、ディレクトリ情報ツリー（DIT）内のルートDNまたは開始位置です。

検索フィルタ:

これは、ユーザーについてLDAPサーバーへ問い合わせる際に使用されるLDAP検索フィルタです。ほとんどの場合、デフォルトの検索フィルタで十分です。

検索範囲:

これはLDAP検索の対象範囲です。

ベースDNのみ

検索を、上記で指定したBase entry DNのみに限定したい場合は、このオプションを選択します。検索は、ツリー（DIT）内のその地点より下へは進みません。

ベースDNの1レベル下

DIT内のBase entry DNの1レベル下まで検索を拡張したい場合は、このオプションを使用します。

ベースDNと全チャイルド

このオプションは、検索範囲をBase entry DNからそのすべての子要素、すなわちDIT内の最下位の子エントリまで拡張します。これはデフォルトで選択されているオプションです。

Microsoft 365をユーザー検証ソースとして使用する場合、SecurityGatewayはMicrosoft 365テナントへのアクセス権を持つサービスプリンシパルを必要とします。また、Microsoft 365はAzure Active Directoryをディレクトリサービスとして使用します。以下の手順で、Microsoft 365をSecurityGatewayのユーザー検証ソースとして設定する方法を説明します。

Microsoft Identity platform にアプリケーションを登録する：

1.Microsoft Entra 管理センターにログインします。

複数のテナントを持つアカウントの場合は、設定アイコンをクリックし、必要なテナントを選択します。

2.管理センターメニューで、識別 > アプリケーション > アプリの登録を選択します。

3.新規登録を選択します。

4.名前のフィールドへアプリケーション名を入力します。

5.登録を選択します。

6.アプリケーションIDを確認します。

7.APIアクセス権を選択します。

8.＋を選択し、アクセス権を追加します。

9.Microsoft Graphを選択します。

10.アプリケーションのアクセス権を選択します。

11.Group.Read.AllとUser.Read.Allを選択します。

12.アクセス権の追加を選択します。

13.Grant admin consent for... ボタンをクリックします。

14.はい、をクリックします。

15.証明書と秘密鍵を選択します。

16.＋新しいクライアント シークレットをクリックします。

17.説明欄に説明を記入します。

18.ラジオボタンでパスワードの有効期間を選択します。

19.このパスワードは二度と見ることができないので、Valueフィールドに生成されたパスワードを控えておいてください。

SecurityGatewayにて:

1.グローバル管理者としてSecurityGatewayにログインします。

2.設定 / ユーザを選択します。

3.アカウントを選択します。

4.ユーザ検証ソースを選択します。

5.新規をクリックします。

6.Microsoft 365を選択します。

7.説明を入力します。

8.Microsoft 365のドメイン名をドメイン名:フィールドへ入力します。

9.タイプ:を選択します。

ほとんどの構成では、このオプションは「全体」になります。

10.Azure ADのアプリケーションIDをサービス区分:フィールドへ入力します。

これは、Azure ADのアプリケーション登録の概要ページで確認できます。

11.上記でAzure ADにより生成されたパスワードをパスワード:フィールドへ入力します。

12.保存して閉じるをクリックします。

Google Workspaceの確認では、ドメイン全体の委任が設定されたサービスアカウントを使用してGoogle Admin SDK Directory APIに問い合わせを行い、SecurityGatewayはこれを使用して不明なローカルアドレスを検索・確認します。オプションで、OAuthクライアントを設定することで、Google Workspaceのユーザーが、上記で説明したMicrosoft 365のサインイン体験と同様に、Googleアカウントを使用して直接SecurityGatewayにサインインできるようにすることもできます。

Google Workspaceをユーザー検証ソースとして使用するには、SecurityGatewayはWorkspaceディレクトリを読み取るためのドメイン全体の委任が許可されたGoogle Cloudサービスアカウントを必要とします。以下の手順に従って、Google WorkspaceをSecurityGatewayのユーザー検証ソースとして設定してください。

Google Cloud Consoleにて:

Google Cloud Consoleでプロジェクトを作成し、Admin SDK APIを有効化する

1.Google Cloud Consoleにサインインし、サービスアカウントを所有するプロジェクトを作成するか、既存のプロジェクトを選択します。

2.APIとサービス > ライブラリに移動し、Admin SDK APIを検索して開き、有効にするをクリックします。

サービスアカウントとJSONキーを作成する

1.IAMと管理 > サービスアカウントに移動し、サービスアカウントを作成をクリックします。名前を入力します（例："securitygateway-uvs"）。Google Cloud IAMロールを割り当てる必要はありません。このアカウントに必要なアクセス権は、IAMではなく次の手順のドメイン全体の委任によって付与されます。

2.新規作成したサービスアカウントを開き、「キー」タブに移動して、キーを追加 > 新しい鍵を作成をクリックし、JSONを選択します。これによりJSONキーファイルがダウンロードされます。このファイルは安全に保管してください。ダイアログを閉じると、Googleは再度このファイルをダウンロードすることを許可しません。その場合は、新しいキーを再生成する必要があります。

3.サービスアカウントの詳細画面にいる間に、その数値のクライアントID（"一意のID"と表示されています）を控えておいてください。次の手順で必要になります。これは、Google CloudプロジェクトID、サービスアカウントのメールアドレス、表示名、または後でWebログイン用に作成する別のOAuthクライアントIDと混同しないよう注意してください。これらはすべて異なる値です。

Google Workspace 管理コンソールでドメイン全体の委任を承認する

1.特権管理者としてGoogle Workspace管理コンソールにサインインします。

2.セキュリティ > アクセスとデータ管理 > APIの管理 > ドメイン全体の委任に移動し、新しく追加をクリックします。

3.クライアントIDには、上記手順3で確認したサービスアカウントの数値のクライアントIDを入力します。

4.OAuthスコープには、次のスコープを入力してから承認をクリックします：

https://www.googleapis.com/auth/admin.directory.user.readonly

（オプション）SecurityGateway Webインターフェースで、Googleサインインを有効にする

Google Workspaceのユーザーが、SecurityGatewayパスワードの代わりにGoogleアカウントでSecurityGatewayにサインインできるようにしたい場合は、別途OAuthクライアントを作成してください：

1.Google Cloud ConsoleでAPIとサービス > 認証情報に移動し、認証情報を作成 > OAuthクライアントIDをクリックして、ウェブアプリケーションを選択します。

2.SecurityGatewayのログインURLの末尾に/authを追加した値と完全に一致する、承認済みのリダイレクトURIを追加します（例：https://sg.example.com/auth）。

3.生成されたクライアントIDとクライアントシークレットを控えておいてください。

このOAuthクライアントは、上記のサービスアカウントとは別のものです。サービスアカウントはディレクトリの参照にのみ使用され、OAuthクライアントは対話的なサインインにのみ使用されます。

偽装する管理者アカウントを選択する：

ドメイン全体の委任は、常に特定のWorkspaceユーザーとして動作し、ディレクトリユーザーの参照にはGoogle Workspaceの管理者権限が必要です。特権管理者アカウント、または"Users > Read"権限を含むカスタム管理者ロールを持つアカウントを選択してください。このアドレスは、以下のSecurityGatewayの管理者メールアドレス: フィールドに入力します。

SecurityGatewayにて:

1.グローバル管理者としてSecurityGatewayにログインします。

2.設定 / ユーザをクリックします。

3.アカウントを選択します。

4.ユーザ検証ソースを選択します。

5.新規をクリックします。

6.タイプ:としてGoogle Workspaceを選択します。

7.説明を入力します。

8.Google Workspaceのプライマリドメインをドメイン名:フィールドへ入力します。

9.管理者メールアドレス: フィールドに、偽装対象として選択したGoogle Workspace管理者のメールアドレスを入力します。

10.サービスアカウントのJSONキーファイルの内容全体をサービスアカウントキー（JSON）:フィールドへ貼り付けます。

11.上記でGoogleサインインを設定した場合は、OAuth クライアント ID:とOAuth クライアント秘密鍵:を入力します。設定していない場合は、これらの項目は空欄のままにしてください。

12.保存して閉じるをクリックします。

説明:

検証ソースの説明（例えば、"Server X at example.com"）のために、このテキストボックスを使用します。ユーザ検証ソースページの説明カラムに対応します。

ドメイン名:

組織のGoogle Workspaceプライマリドメイン名を入力します（例：example.com）。ホスト名やポートは不要です。SecurityGatewayはGoogle Workspaceの参照時に、常にGoogle自身のAPIエンドポイントに接続します。Googleサインインも設定している場合、このドメインはさらに、サインインしようとしているユーザーがそのWorkspaceに所属していることを確認するためにも使用され、それ以外のGoogleアカウントからのサインイン試行は拒否されます。

管理者メールアドレス:

サービスアカウントが偽装するGoogle Workspace管理者アカウントのメールアドレスを入力します。GoogleのDirectory APIでは、ドメイン全体の委任を通じて実在する管理者ユーザーの代理として参照を行う必要があるため、これはサービスアカウント自体ではなく、ディレクトリを読み取る管理権限を持つWorkspaceディレクトリ内の既存アカウント（特権管理者、または"Users > Read"を含むカスタムロールを持つアカウント）でなければなりません。注: 管理者用メールアドレスに入力したGoogle Workspaceアカウントが停止・削除された場合、または管理者ロールが解除された場合、SecurityGateway側で何も変更していなくても、このソースを使用しているすべてのドメインでGoogle Workspaceの確認が失敗し始めます。

サービスアカウントキー（JSON）:

Google Cloud Consoleでサービスアカウント用にダウンロードしたJSONキーファイルの内容全体を貼り付けます。SecurityGatewayはこのキーを使用して、上記の管理者用メールアドレスのアカウントの代理としてDirectory APIへのリクエストに署名します。このキーを無効化して置き換える必要が生じた場合は、Google Cloud Consoleで新しいキーを生成し、その内容をここに貼り付けて古い値を置き換えてください。

OAuth クライアント ID:（オプション）

Google Cloud OAuthクライアント（種類は"ウェブアプリケーション"）のクライアントIDです。これは、このドメインのユーザーが、SecurityGatewayパスワードの代わりにGoogle WorkspaceアカウントでSecurityGateway Webインターフェースにサインインできるようにする場合にのみ使用します。Googleサインインを提供せず、Google Workspaceをアドレスの確認のみに使用したい場合は、このフィールドは空欄のままにしてください。

OAuth クライアント秘密鍵:（オプション）

上記のOAuth クライアント ID:に対応するクライアントシークレットです。このドメインのユーザーにGoogleサインインを提供するには、クライアントIDとクライアントシークレットの両方を設定する必要があります。いずれかが空欄の場合、ユーザーは引き続きSecurityGatewayパスワードでサインインすることになります。