ハイブリッド展開には、オンプレミスの Exchange organization と Exchange Online organization のメールボックスが含まれます。 ハイブリッドの詳細については、「Exchange Server ハイブリッド展開」を参照してください。
これら 2 つの別々の組織を 1 つに見せるための重要な要素は、ハイブリッド トランスポートです。 いずれかのorganizationの受信者間で送信されたメッセージは、トランスポート層セキュリティ(TLS)を使用して認証、暗号化、転送されます。 これらのメッセージは、Exchange コンポーネントに対して "内部" として表示されます (トランスポート ルール、ジャーナリング、スパム対策ポリシーなど)。 ハイブリッド構成ウィザードは、Exchange 2013 のハイブリッド トランスポートを自動的に構成します。
ハイブリッド トランスポートをハイブリッド構成ウィザードと連携させるには、Exchange Online からの接続を受け入れるオンプレミスの SMTP エンドポイントが次のいずれかの Exchange サーバーである必要があります。
- Exchange 2016 累積更新プログラム 8 (CU8) 以降:
- メールボックス サーバー
- エッジ トランスポート サーバー。
- Exchange 2013 累積更新プログラム 15 (CU15) 以降:
- クライアント アクセス サーバー。
- エッジ トランスポート サーバー。
- Exchange 2010 Service Pack 3 (SP3) と更新プログラム ロールアップ 11 (RU11) 以降:
- ハブ トランスポート サーバー。
- エッジ トランスポート サーバー。
重要
SMTP ホストやサービスを Microsoft 365 とオンプレミスの Exchange organization エンドポイントの間に配置しないでください。 ハイブリッド トランスポートにとって重要な情報は、サポートされていないバージョンの Exchange または汎用 SMTP ホストを実行しているエンドポイントを通過するメッセージから削除されます。
ハイブリッド ルーティング オプション
ハイブリッド展開を計画および構成するときは、受信メールと送信メールのルーティング方法を選択する必要があります。
外部のインターネット送信者からの受信メールを、Microsoft 365 またはオンプレミスの Exchange organization を介してオンプレミスおよびクラウドの受信者にルーティングしますか? 構成はさまざまな要因によって異なります。
- ほとんどのメールボックスがクラウドまたはオンプレミスの Exchange にありますか?
- オンプレミスのメールボックスに組み込みのセキュリティ アドオンを使用して、オンプレミスの Exchange organization を保護しますか?
- コンプライアンス インフラストラクチャはどこで構成されていますか?
両方の組織への受信メッセージのルーティングは、ハイブリッド展開で一元化されたメール トランスポートを有効にするかどうかによって異なります。
送信者Exchange Onlineからの送信メールを、オンプレミス organization (一元化されたメール 転送) 経由で外部受信者にルーティングしますか、またはインターネットに直接ルーティングしますか?
一元化されたメール トランスポートでは、Exchange Online送信者からのすべてのメールがオンプレミス organizationを経由してからインターネットに配信されます。 この方法は、オンプレミス サーバーがインターネットとの間で送受信されるすべてのメールを処理する必要があるコンプライアンス シナリオでは重要です。 または、Exchange Online の送信者から外部受信者に宛てたメッセージをインターネットに直接送信することもできます。
注:
一元化されたメール トランスポートは、特定のコンプライアンス関連のトランスポート ニーズがある組織にのみお勧めします。 一般的な推奨事項は、オンプレミスのorganizationで帯域幅とメール処理のオーバーヘッドが増加するため、集中型メール トランスポートを使用しないことです。
社内組織にエッジ トランスポート サーバーを展開するか。
ドメインに参加している内部 Exchange サーバーをインターネットに直接公開したくない場合は、サポートされているエッジ トランスポート サーバーを境界ネットワークに展開できます。 詳細については、「ハイブリッド展開でのエッジ トランスポート サーバー」を参照してください。
どちらの選択かに関係なく、社内 Exchange organizationと Exchange Online organization の間で送信されるすべてのメッセージは、セキュリティで保護された転送を使用します。 詳細については、この記事で後述する 「信頼できる通信」 を参照してください。
これらのオプションが組織内でのメッセージのルーティングにどのように影響するかについては、「Exchange ハイブリッド展開でのトランスポート ルーティング」を参照してください。
ハイブリッド展開に組み込まれているクラウド セキュリティ機能
クラウド メールボックスを使用するすべての Microsoft クラウド組織には、ウイルス、スパム、フィッシング詐欺、ポリシー違反から受信者を保護するためのセキュリティ機能が組み込まれています。 これらの同じ組み込みセキュリティ機能は、 オンプレミスのメールボックス用の組み込みセキュリティ アドオンで、(Exchange だけでなく) オンプレミスのメール環境を保護するためにも使用できます。
すべてのクラウド メールボックスに組み込まれているセキュリティ機能は、Exchange Online organizationへの玄関です。 すべての受信メッセージ (送信元に関係なく) は、Cloud organization 内の受信者に到達する前に、これらの組み込みのセキュリティ機能を通過します。 Exchange Online organization から送信されたすべてのメッセージは、インターネットに到達する前にこれらの組み込みのセキュリティ機能を通過します。
信頼された通信
オンプレミス organizationと Exchange Online organization の間のメール フローは、強制 TLS を使用するように構成されています。 この構成は、組織間で送信されたメッセージが傍受されないようにするのに役立ちます。 セキュリティで保護されたメール トランスポートでは、信頼された商用証明機関 (CA) によって提供される TLS 証明書を使用します。
強制 TLS トランスポートでは、送信サーバーと受信サーバーは互いの証明書を調べます。 証明書の サブジェクト または サブジェクトの別名 (SAN) フィールドには、他のサーバーを識別する FQDN が含まれている必要があります。
たとえば、Exchange Online organizationは、FQDN mail.contoso.com から送信されたメッセージを受け入れてセキュリティで保護するように構成されています。 ソースオンプレミスのクライアント アクセス サーバーまたはエッジ トランスポート サーバー上の TLS 証明書の [ サブジェクト ] または [ サブジェクト別名 (SAN)] フィールドに TLS 証明書の mail.contoso.com が含まれている必要があります。 それ以外の場合、Microsoft 365 は接続を拒否します。
ヒント
FQDN は、受信者のメール ドメイン名と一致する必要はありません。 証明書の サブジェクト または サブジェクトの別名 (SAN) フィールドには、受信側または側のサーバーが受け入れるように構成されている FQDN が含まれている必要があります。
TLS の使用に加えて、オンプレミス組織とクラウド組織間のメッセージは "内部" として扱われます。この方法により、メッセージは一部の脅威に対する保護、フィルター処理、およびその他のサービスをバイパスできます。
詳細については、「 ハイブリッド展開の証明書要件 」および 「TLS 証明書について」を参照してください。