Microsoft 365 または Office 365 organization のExchange Onlineは Exchange Server に基づいており、オンプレミスの組織と同様に、役割ベースのAccess Control (RBAC) を使用してアクセス許可を制御します。 管理者には管理役割グループを使用してアクセス許可が付与され、エンド ユーザーには管理役割の割り当てポリシーを使用してアクセス許可が付与されます。
Exchange Online およびオンプレミスの Exchange のアクセス許可の詳細については、「Exchange Online の Exchange Server のアクセス許可と機能のアクセス許可」を参照してください。
管理者のアクセス許可
既定では、Office 365 organizationの作成に使用されたユーザーは、Exchange Online organizationの Organization Management 役割グループのメンバーになります。 このユーザーは、organizationレベルの設定の構成やExchange Onlineの受信者の管理など、Exchange Online organization全体を管理できます。
実行する必要がある管理に応じて、Exchange Online organizationに管理者を追加できます。 たとえば、他のorganization管理者や受信者管理者を追加したり、専門家ユーザーが検出などのコンプライアンスタスクを実行したり、カスタム権限を構成したりできます。 Microsoft 365 および Office 365 管理者のすべてのExchange Onlineアクセス許可管理は、Exchange 管理センター (EAC) または Exchange Online PowerShell を使用してExchange Online organizationで実行する必要があります。
重要
オンプレミス organizationと Microsoft 365 または Office 365 organization の間でアクセス許可が転送されることはありません。 オンプレミス organizationで定義したアクセス許可は、Microsoft 365 または Office 365 organization で再作成する必要があります。
詳細については、「Manage Role Groups」および「Manage Role Group Members」を参照してください。
メールボックスのアクセス許可の委任
オンプレミスの Exchange 展開では、ユーザーに他のユーザーのメールボックスへのさまざまなアクセス許可が付与されます。 これは代理メールボックス アクセス許可と呼ばれ、管理アシスタントが別のユーザーのメールボックスの一部を管理する必要がある場合 (たとえば、役員の予定表の管理など) に役立ちます。 Exchange ハイブリッド展開では、オンプレミスの Exchange organization にあるメールボックスと、Microsoft 365 または Office 365 にあるメールボックスとの間で、一部 (すべてではない) メールボックスのアクセス許可の使用がサポートされています。 次のセクションでは、サポートされているアクセス許可とサポートされていないアクセス許可について詳しく説明します。ハイブリッド メールボックスのアクセス許可をサポートするために必要なその他の構成。on-premises organizationと Microsoft 365 または Office 365 の間でメールボックスのアクセス許可がどのように同期されるかについても説明します。
ハイブリッド環境でのメールボックスのアクセス許可
Exchange ハイブリッド環境では、すべてのメールボックスのアクセス許可が完全にサポートされているわけではありません。
ハイブリッド環境でサポートされるメールボックスのアクセス許可
フル アクセス: オンプレミスの Exchange サーバー上のメールボックスに Microsoft 365 または Office 365 メールボックスへのフル アクセスのアクセス許可を付与することができ、その逆も同様です。 たとえば、Microsoft 365 または Office 365 のメールボックスに、オンプレミスの共有メールボックスへのフル アクセスのアクセス許可を付与できます。 ユーザーは、Outlook デスクトップ クライアントを使用してメールボックスを開く必要があります。 クロスプレミス メールボックスのアクセス許可は、Outlook on the web では完全にはサポートされていません。 ユーザーは、Outlook on the web の [別のメールボックスを開く] を使用して、フル アクセス許可を持つ他のメールボックスを開くことができます。 ただし、これにより、ユーザーがメールボックスにアクセスする前に、リダイレクト リンクと資格情報のプロンプトが表示されます。
注:
ユーザーが他の organization にあるメールボックスに初めてアクセスし、それを Outlook プロファイルに追加したときに、追加の資格情報プロンプトが表示される場合があります。
代理送信: オンプレミスの Exchange サーバー上のメールボックスに、Microsoft 365 または Office 365 メールボックスへの代理送信アクセス許可を付与し、その逆も同様です。 たとえば、Microsoft 365 または Office 365 のメールボックスには、オンプレミスの共有メールボックスへの代理送信アクセス許可を付与できます。 クロスプレミスのメールボックス アクセス許可は、Outlook on the web ではサポートされていません。
オンプレミスの Exchange サーバーと Exchange Online の間で同期するには、代理送信アクセス許可について、Microsoft Entra Connect サーバーでいくつかの変更が必要です。 詳細については、この記事で後述する「Microsoft Entra Connect でのハイブリッド メールボックスのアクセス許可のサポートの有効化」セクションを参照してください。
プライベート アイテム: メールボックスに フル アクセス 許可を付与するときに、代理人がメールボックス内のプライベート アイテム (プライベート会議、予定、連絡先、またはタスク) を表示できるようにするかどうかを決定できます。
代理人とプライベート アイテムを共有するには、Outlook で次の手順を使用します。
[ファイル]>[アカウント設定]>[アクセスの代理人] に移動します。
次のウィンドウで、[ 追加] をクリックします。 新しいメニューが表示され、organization 内のユーザーが一覧表示されます。 代理人を選択し、[ OK] をクリックします。
次の画像が表示されます。ここで、関連するチェック ボックスをオンにして、代理人とプライベート アイテムを共有できます。
詳細については、「Office 365 ハイブリッド環境での委任の概要」を参照してください。
メールボックスのアクセス許可と機能はハイブリッド環境ではサポートされていません
[送信者]: ユーザーが、別のユーザーのメールボックスから送信されているかのようにメールを送信できるようにします。 Microsoft Entra Connect は、オンプレミスの Exchange と Microsoft 365 または Office 365 の間で送信者アクセス許可を自動的に同期しません。 ただし、オンプレミスの Exchange 管理シェルと Microsoft 365 または Office 365 用の Exchange Online PowerShell を使用して、両方の環境で送信者アクセス許可を手動で追加すると、ほとんどのシナリオで送信形式が機能します。
たとえば、ONPREM1 という名前のオンプレミス メールボックスに対する送信者アクセス許可を、EXO1 という名前のクラウド メールボックスに付与する場合などです。
オンプレミス Exchange サーバーの Exchange 管理シェルで次のコマンドを実行します。
Add-ADPermission -Identity EXO1 -User ONPREM1 -AccessRights ExtendedRight -ExtendedRights "Send As"
構文とパラメーターの詳細については、「 Add-ADPermission」を参照してください。
次に、Exchange Online PowerShell で対応するコマンドを実行します。
Add-RecipientPermission -Identity EXO1 -Trustee ONPREM1 -AccessRights SendAs
構文とパラメーターの詳細については、「 Add-RecipientPermission」を参照してください。
注:
次の 2 つのセクションのオンプレミスの Exchange サーバーと Microsoft Entra Connect の要件に準拠するには、送信者アクセス許可も必要です。
自動マッピング: Outlook が起動時に フル アクセス を付与されているメールボックスを自動的に開くことを可能にします。 (自動マッピングは、適切なアクセス許可を付与された個々のユーザーに対してのみ機能し、どの種類のグループに対しても機能しないことに注意してください。)
フォルダーのアクセス許可: 特定のフォルダーの内容へのアクセス権を付与します。
これらのアクセス許可を別のメールボックスから受け取るすべてのメールボックスは、付与する側のメールボックスと同時に移動する必要があります。 1 つのメールボックスが複数のメールボックスからアクセス許可を受け取る場合、そのメールボックスと、そのメールボックスにアクセス許可を付与するすべてのメールボックスは、同時に移動する必要があります。 詳細については、「 https://support.microsoft.com/help/3064053」を参照してください。
オンプレミスの Exchange サーバーを構成して、ハイブリッド メールボックス アクセス許可をサポートする
ハイブリッド展開でフル アクセスと代理送信のアクセス許可を有効にするには、インストールした Exchange のバージョンによっては、さらに構成の変更が必要になる場合があります。 次の表は、Microsoft 365 または Office 365 とのハイブリッド展開で委任されたメールボックスのアクセス許可をサポートする Exchange のバージョンと、必要な追加構成を示しています。 ACL をサポートするよう Exchange 2013 および 2010 のサーバーとメールボックスを構成する手順については、「Configure Exchange to support delegated mailbox permissions in a hybrid deployment」を参照してください。
| Exchange のバージョン | 前提条件 |
|---|---|
| Exchange 2016 | organization レベルで ACLable オブジェクト同期を有効にします。 ACL 可能なオブジェクト同期が組織レベルで有効になる前に、Microsoft 365 または Office 365 に移行された各メールボックスの ACL を手動で有効にする organization レベル。 ACL 可能なオブジェクト同期がorganizationレベルで有効になった後に、Microsoft 365 または Office 365 に移動されたメールボックスに追加の構成は必要ありません。 |
| Exchange 2013 | Exchange 2013 サーバーには以下が必要です。
|
| Exchange 2010 | サポートされなくなりました。 以前は、Microsoft 365 または Office 365 メールボックスに関連付けられたオンプレミスのリモート メールボックスを、ACL をサポートするように構成する必要がありました。 これは、Microsoft 365 または Office 365 メールボックスに関連付けられているオンプレミスのリモート メールボックスごとに行う必要がありました。 |
| Exchange 2007 以前 | サポートされていません。 |
Microsoft Entra Connect でのハイブリッド メールボックスアクセス許可のサポートの有効化
オンプレミスの Exchange サーバーを構成するだけでなく、ハイブリッド メールボックスのアクセス許可を同期するように Microsoft Entra Connect (Microsoft Entra Connect) サーバーが設定されていることも確認する必要があります。 Microsoft Entra Connect サーバーがこれらのアクセス許可をサポートする準備ができていることを確認するには、次の手順を実行します。
Microsoft Entra Connect のアップグレード: Microsoft Entra Connect は、バージョン 1.1.553.0 以上にアップグレードする必要があります。 Microsoft Entra Connect から Microsoft Entra Connect の最新バージョンをダウンロードできます。
Microsoft Entra Connect で Exchange ハイブリッドを有効にする: ハイブリッド メールボックスのアクセス許可を有効にする属性 (特に代理送信アクセス許可) を同期するには、Microsoft Entra Connect で Exchange ハイブリッド展開構成オプションが有効になっていることを確認する必要があります。 Microsoft Entra Connect インストール ウィザードを再度実行して構成を更新する方法については、「Microsoft Entra Connect 同期」をチェックしてください: インストール ウィザードを 2 回実行する
エンド ユーザーのアクセス許可
管理者アクセス許可と同様に、Exchange Online のエンド ユーザーにアクセス許可を付与できます。 既定では、既定の役割の割り当てポリシーに従ってエンド ユーザーにアクセス許可が付与されます。 このポリシーは、Exchange Online organization内のすべてのメールボックスに適用されます。 既定で付与されているアクセス許可で十分な場合、何も変更する必要はありません。
エンド ユーザー権限をカスタマイズする場合は、既存の既定の役割割り当てポリシーを変更するか、新しい割り当てポリシーを作成できます。 複数の割り当てポリシーを作成する場合、メールボックスの異なるグループに異なるポリシーを割り当て、それぞれの要件に応じて各グループに付与するアクセス許可を制御できます。 Exchange Online エンド ユーザーのすべてのアクセス許可管理は、EAC または Exchange Online PowerShell を使用してExchange Online organizationで実行する必要があります。
管理者アクセス許可と同様に、エンド ユーザー アクセス許可はオンプレミス organizationとExchange Online organizationの間で転送されません。 オンプレミスのorganizationで定義したアクセス許可はすべて、Exchange Online organizationで再作成する必要があります。
詳細については、「Manage Role Assignment Policies」および「Change the Assignment Policy on a Mailbox」を参照してください。
次の表に、Exchange Online organizationの既定の役割割り当てポリシーによって付与されるアクセス許可を示します。
| 管理役割 | 説明 |
|---|---|
| MyTeamMailboxes |
MyTeamMailboxes管理ロールを使用すると、個々のユーザーがサイト メールボックスを作成し、Microsoft SharePoint サイトに接続できます。 |
| マイ マーケットプレース アプリ |
My Marketplace Apps管理ロールを使用すると、個々のユーザーは Microsoft Office Marketplace アプリを表示および変更できます。 |
| MyBaseOptions |
MyBaseOptions管理ロールを使用すると、個々のユーザーは自分のメールボックスの基本構成と関連する設定を表示および変更できます。 |
| MyContactInformation |
MyContactInformation管理ロールを使用すると、個々のユーザーは住所や電話番号などの連絡先情報を変更できます。 |
| MyDistributionGroupMembership |
MyDistributionGroupMembership管理ロールを使用すると、個々のユーザーは、organization内の配布グループのメンバーシップを表示および変更できます (配布グループがグループ メンバーシップの操作を許可する場合)。 |
| MyDistributionGroups |
MyDistributionGroups管理ロールを使用すると、個々のユーザーは配布グループを作成、変更、表示したり、所有する配布グループのメンバーを変更、表示、削除、追加したりできます。 |
| MyMailSubscription |
MyMailSubscription ロールを使用すると、個々のユーザーは、メッセージ形式やプロトコルの既定値などの電子メール サブスクリプション設定を表示および変更できます。 |
| MyProfileInformation |
MyProfileInformation管理ロールを使用すると、個々のユーザーは自分の名前を変更できます。 |
| MyRetentionPolicies |
MyRetentionPolicies管理ロールを使用すると、個々のユーザーは保持タグを表示したり、保持タグの設定と既定値を表示および変更したりできます。 |
| MyTextMessaging |
MyTextMessaging管理ロールを使用すると、個々のユーザーはテキスト メッセージングの設定を作成、表示、および変更できます。 |
| MyVoiceMail |
MyVoiceMail管理ロールを使用すると、個々のユーザーはボイス メールの設定を表示および変更できます。 |
| 自分の ReadWriteMailbox アプリ |
My ReadWriteMailbox Apps管理ロールを使用すると、ユーザーは ReadWriteMailbox アクセス許可を持つアプリをインストールできます。 |
| 自分のカスタム アプリ |
My Custom Apps管理ロールを使用すると、ユーザーはカスタム アプリを表示および変更できます。 |