ActiveDirectory連携メールサーバ構築ガイドRev1.5

Size: px

Start display at page:

Download "ActiveDirectory連携メールサーバ構築ガイドRev1.5"

そうりんえんの
5 years ago
Views:

1 E-Post Mail Server E-Post SMTP Server Active Directory 連携メールサーバ構築ガイド - メールアカウントを AD のユーザー管理と連携させるメールサーバ構築入門 - 付録 LDAP Option を使った AD 連携方法 Rev.1.5 株式会社イーポスト

2 ii

3 Active Directory 連携メールサーバ構築ガイド目次 1. メールサーバの Active Directory 連携とは Active Directory 連携のメリットデメリットユーザー管理の一本化バーチャルドメインによる使用時の注意 Active Directory 連携とメールサーバ設定方法の手順 Active Directory ドメインコントローラの用意 E-Post Mail Server インストールマシンの用意 E-Post Mail Server インストールウィザード ( 簡単セットアップ ) の起動 Active Directory 連携を確認する運用ドメインを詳細で選び共通メールボックスで運用する設定アカウントマネージャのドメイン名を選択パスワードは複雑さの要件を満たす設定に影響されることに注意メールクライアントに設定情報を登録しメールの送受信テスト参考情報と応用 Active Directory 連携時のユーザー認証について同一サーバに Active Directory ドメインとメールサーバを設定する場合 E-Post Mail Server のドメイン名と AD のドメインの関係 Windows XP Pro でのインストール設定作業の注意 Active Directory への問い合わせリトライ間隔と時間を調整するには Active Directory 連携時にマルチドメイン設定を行うとセキュリティグループが参照されるしくみについてトラブルシューティング索引 iii

5 1. メールサーバの Active Directory 連携とは Active Directory 連携の機能 E-Post Mail Server E-Post SMTP Server シリーズはメールユーザー管理について Windows Server 2012 Windows Server 2008 Windows Server 2003 Windows 2000 Server の Active Directory ユーザーとの連携機能があります構成の基本的考え方 E-Post Mail Server E-Post SMTP Server シリーズのメールサーバが Active Directory 連携を行うシステムを構築するには Active Directoryのサーバであるドメインコントローラが別に必要になりますメールサーバをインストールするマシンは Windows ドメインのメンバーマシンとしてあらかじめ設定されていることが必要ですインターネット E-Post Mail Server ユーザー管理 POP 認証 Active Directory ドメインコントローラ test.jp DC クライアントクライアント - 5 -

6 2. Active Directory 連携のメリットデメリット Active Directory 連携のメールサーバを構築することによるメリットとデメリットを考えてみましょう 1 ユーザー管理の一本化 Active Directory 連携のメールサーバを構築することによる最大のメリットはユーザー管理の一本化があげられるでしょう Active Directory ユーザーとコンピュータで作成管理するユーザーをそのままメールユーザーとして登録すれば一元管理ができるようになり管理しやすくなりますなお Active Directory にログインするユーザー名として A001 のように社員番号のような氏名を含まない文字列で登録しているときはメールアカウントとして使うには無理がありますそのような場合は suzuki のような氏名を意味するエイリアスを作りそのエイリアスと実アドレスを関連づけて運用するようにすれば suzuki@domain 名を対外的なメールアドレスにしつつなおかつユーザー管理は Active Directoryで行うことができますただしエイリアスを最大限に利用するときは E-Post Mail Server E-Post SMTP Server 購入時に作成するエイリアスの分だけライセンス数をプラスして計画しておく必要があります仮にユーザー数が 100 人でも全員にエイリアスを用意しようとすればライセンス数にプラス 100 して合わせて 200 人分が必要になるという利用形態になっていますので気をつけましょうなおライセンス数についてはメールをしないユーザーを含む Active Directoryユーザー全員分が必要になることはありませんデフォルトで IMSUsers という MailGroup に入ったユーザーだけが連携され登録アカウントとしてカウントされるようになっています 2 バーチャルドメインによる使用時の注意 E-Post Mail Server シリーズ E-Post SMTP Serverシリーズ製品は独自アカウント管理方法を使っているときは完全なマルチドメインでの運用が可能になっていますそれに対して Active Directory 連携を行ったときは完全なマルチドメインでの運用はできなくなりバーチャルドメインでの運用形態となります具体的には Active Directory 連携時でも a_domain と b_domain というように複数のドメインを作成することもできますがそれぞれのドメインに同じアカウントが存在できない状態になりますつまり suzuki@a_domain と suzuki@b_domain とは区別できなくなります Active Directory 連携時に複数のドメインを運用するときはその点に十分注意を払ってユーザーアカウントが重複しないように管理する必要があります - 6 -

3. Active Directory 連携とメールサーバ設定方法の手順 3 Active Directory ドメインコントローラの用意 3-1 Active Directory のモードとドメイン名の確認メールサーバのユーザー管理を Active Directory 連携させるためには当然のことですがドメインコントローラ (Active Directory サーバ ) が必要です

7 3. Active Directory 連携とメールサーバ設定方法の手順 3 Active Directory ドメインコントローラの用意 3-1 Active Directory のモードとドメイン名の確認メールサーバのユーザー管理を Active Directory 連携させるためには当然のことですがドメインコントローラ (Active Directory サーバ ) が必要です同一ネットワーク内に Windows Server 2012 か Windows Server 2008 Windows Server 2003 マシンを用意し Active Directoryのドメインコントローラを用意してください実際のハードウェアを何台も用意することがむずかしいときは Hyper-V や Microsoft Virtual Serverなどの仮想マシンソフトウェアを使って試してもかまいません複数の仮想マシンをそれぞれドメインコントローラメンバーサーバにして動作を確認してくださいなお作成するドメインの機能レベルはネイティブモードでも混在モードでもどちらでもかまいませんその後ドメインコントローラを設定したマシンから Active Directoryユーザーとコンピュータを開き作成したドメインを確認しますメールサーバと連携する Active Directory ドメイン名は作成済みのドメイン名のうちドメイン名(Windows 2000 以前 ) 項目を確認してくださいちなみに Windows Server 2008 の Active Directory ドメインサービスインストールウィザード (dcpromo.exe) の画面ではウィザード内に出てくるドメイン NetBIOS 名項目がこの項目に該当します Windows Server 2003 で作成済みドメイン名を確認する - 7 -

8 Windows Server 2008 で作成済みドメイン名を確認する Windows Server 2012 で作成済みドメイン名を確認する Active Directoryユーザーとコンピュータを開いて確認した後引き続きドメインに参加するコンピュータの1つにメンバーサーバとなるメールサーバのインストールマシンを登録しておきますここでは Computers の中にメールサーバのコンピュータ名をあらかじめ登録しておきましょう - 8 -

ユーザーグループ IMSUsers が存在していなければ新たにドメインローカルセキュリティグループとして追加登録してください

9 3-2 IMSUsers グループの確認 Active Directory ユーザーとコンピュータからグループ IMSUsers が登録済みかどうかを確認します IMSUsers はメールサーバのユーザーグループでありドメインローカルセキュリティグループですユーザーグループ IMSUsers が存在していなければ新たにドメインローカルセキュリティグループとして追加登録してください Windows Server 2003 で IMSUsers を確認する Windows Server 2008 で IMSUsers を確認する - 9 -

Windows Server 2012 で IMSUsers を確認する IMSUsers 以外の手動で作成したメールグループ名を設定するときの注意 IMSUsers は初回起動するウィザード ( 簡易セットアップ ) でデフォルトで用意されているメールグループ名です IMSUsers 以外に手動で作成したメールグループ名を設定するときの注意点としてはセキュリティの設定などが煩雑です

10 Windows Server 2012 で IMSUsers を確認する IMSUsers 以外の手動で作成したメールグループ名を設定するときの注意 IMSUsers は初回起動するウィザード ( 簡易セットアップ ) でデフォルトで用意されているメールグループ名です IMSUsers 以外に手動で作成したメールグループ名を設定するときの注意点としてはセキュリティの設定などが煩雑です IMSUsersを選択しておけば設定が簡単に完了しますが任意のメールグループ名を作成したときはバッチジョブとしてのログオンを許可するなど Windows Server 側での設定がいくつか必要です 3-3 ドメインコントローラセキュリティポリシーの確認ユーザーグループ "IMSUsers" を追加登録したときはドメインコントローラセキュリティポリシーを開きバッチジョブとしてのログオンが可能になるよう設定します (Windows Server 2008 の場合はグループポリシー管理エディタを利用 ) Windows Server 2003 の場合 [ ドメインコントローラセキュリティポリシー ] を起動 [ セキュリティの設定 ] [ ローカルポリシー ] [ ユーザー権利の割り当て ] [ バッチジョブとしてのログオン ] メール用グループとして利用するドメインローカルグループを追加 ( 例 IMSUsers)

Windows Server 2008 / 2012 の場合グループポリシーの管理を起動 [ フォレスト ] [ ドメイン ] ドメイン名 [ グループポリシーオブジェクト ] [Default Domain Controllers Policy] 右クリックから編集を選択するとグループポリシー管理エディタが起動

11 Windows Server 2008 / 2012 の場合グループポリシーの管理を起動 [ フォレスト ] [ ドメイン ] ドメイン名 [ グループポリシーオブジェクト ] [Default Domain Controllers Policy] 右クリックから編集を選択するとグループポリシー管理エディタが起動グループポリシー管理エディタ [ コンピュータの構成 ] [ ポリシー ] [Windows の設定 ] [ セキュリティの設定 ] [ ローカルポリシー ] [ ユーザー権利の割り当て ] [ バッチジョブとしてのログオン ] メール用グループとして利用するドメインローカルグループを追加 ( 例 IMSUsers)

12 - 12 -

3-4 必要に応じてメールを行うアカウントの所属グループ追加メール送受信を行いたいアカウントが既にユーザーとして Active Directory に登録済みのときは Active Directory ユーザーとコンピュータからメール送受信を行う個々のユーザーについて "IMSUsers" を

で表示させると "Domain Users" と "IMSUsers" が所属するグループとして登録されていることが確認できます 3-5 必要に応じて OU( 組織単位 ) 別に登録するユーザーを OU( 組織単位 ) 別に登録する場合は Active Directoryユーザーとコンピュータで

13 3-4 必要に応じてメールを行うアカウントの所属グループ追加メール送受信を行いたいアカウントが既にユーザーとして Active Directory に登録済みのときは Active Directory ユーザーとコンピュータからメール送受信を行う個々のユーザーについて "IMSUsers" を所属するグループとして追加しますなおメール送受信を行うアカウントがユーザーとしてまだ Active Directory に登録されていないときは E-Post Mail Serverの Account Managerからアカウントを登録した後 Active Directory ユーザーとコンピュータで表示させると "Domain Users" と "IMSUsers" が所属するグループとして登録されていることが確認できます 3-5 必要に応じて OU( 組織単位 ) 別に登録するユーザーを OU( 組織単位 ) 別に登録する場合は Active Directoryユーザーとコンピュータで必要に応じて行ってください OU のどの階層内でもかまいませんが前項目でも述べたようにメールを行う予定のユーザーは "IMSUsers" グループに入っていることが必須条件です OU( 組織単位 ) に分かれていないときは特別に作る必要はありませんドメイン名直下にそのままユーザーを作成してください

4 E-Post Mail Server インストールマシンの用意 4-1 ドメインに参加させメンバーサーバにするメールサーバをインストールするマシンについて Active Directory ドメインに参加させておきあらかじめメンバーサーバに設定してください 4-2 再ログイン通常はドメインに参加させた後再起動ログインの手順になります Windows Server 2003 や

14 4 E-Post Mail Server インストールマシンの用意 4-1 ドメインに参加させメンバーサーバにするメールサーバをインストールするマシンについて Active Directory ドメインに参加させておきあらかじめメンバーサーバに設定してください 4-2 再ログイン通常はドメインに参加させた後再起動ログインの手順になります Windows Server 2003 や Windows Server 2008 / 2012 ではそのまま Administrator 権限でドメインにログインして設定を続行してください一方 Windows XPや Windows Vista などのクライアント系 OSで設定するときには再起動後に再ログイン時のユーザー名とログイン先としてそれぞれ Administrator このコンピュータでログインしてください 4-3 メンバーサーバ側のセキュリティポリシー設定を確認メンバーサーバ側のセキュリティポリシーの設定についてもメール用グループ "IMSUsers" について確認しておく必要があります Windows Server 2003 の場合 [ ローカルセキュリティポリシー ] [ セキュリティの設定 ] [ ローカルポリシー ] [ ユーザー権利の割り当て ] [ バッチジョブとしてのログオン ] Active Directory 側のドメインローカルグループ名を追加

15 Windows Server 2008 / 2012 の場合 [ ローカルセキュリティポリシー ] [ セキュリティの設定 ] [ ローカルポリシー ] [ ユーザー権利の割り当て ] [ バッチジョブとしてのログオン ] Active Directory 側のドメインローカルグループ名を追加

5 E-Post Mail Server インストールメンバーサーバとして Administrator で Windows ドメインへログイン後 E-Post Mail Server シリーズをインストールしますすでにインストールしてあるときは次の操作に進んでください 6 ウィザード ( 簡単セットアップ ) の起動 5でインストールした直後のときは E-Post Mail

16 5 E-Post Mail Server インストールメンバーサーバとして Administrator で Windows ドメインへログイン後 E-Post Mail Server シリーズをインストールしますすでにインストールしてあるときは次の操作に進んでください 6 ウィザード ( 簡単セットアップ ) の起動 5でインストールした直後のときは E-Post Mail Serverのアイコンを初めてダブルクリックすると自動的にウィザードが起動しますすでにウィザードを実行したことがあるときはウィザードは自動的に起動しませんので [ スタート ] メニューから E-Post Mail Server for JP - 簡単セットアップを選択します Active Directory 連携させる設定を行うとき手動でも設定できないことはありませんがウィザード ( 簡単セットアップ ) を使った方が設定がよりスムーズに行われ設定ミスを防ぐことができます 6-1 Active Directory アカウントとの連携を選択ウィザードの ( ステップ 1) では三番目の Windows の Active Directory アカウントと連携させたいを選択しますドメインコントローラとメンバーサーバが同一マシンとして設定するときつまり同居させるときは二番目の Windows のローカルアカウントと連携させたいを選択します

6-2 ドメイン名を入力メールグループには IMSUsers を指定 ( ステップ 1-2) では Active Directory のドメイン名を入力しメールグループ名としてボタンから IMSUsers を選択します Active Directory のドメイン名は 3-1 で確認したドメイン名 (Windows 2000 以前 ) ( ドメイン NetBIOS 名 )

17 6-2 ドメイン名を入力メールグループには IMSUsers を指定 ( ステップ 1-2) では Active Directory のドメイン名を入力しメールグループ名としてボタンから IMSUsers を選択します Active Directory のドメイン名は 3-1 で確認したドメイン名 (Windows 2000 以前 ) ( ドメイン NetBIOS 名 ) を入力します 6-3 DNS サーバには Active Directory のドメインコントローラを入力 ( ステップ 2) では E-Post Mail Server E-Post SMTP Serverが利用する DNS サーバを指定しますここで指定する DNS サーバには Active Directory のドメインコントローラを指定してくださいこの DNS サーバは同時にメールサーバが参照する DNS になり合わせてユーザーアカウント情報を参照する Active Directory のサーバともなりますなおここで指定する DNS サーバは SMTP 配送部サービスプログラムがメールを送信するときに名前解決のために参照されます万が一 Active Directory のドメインコントローラ内に設定される DNS サーバが外部

18 の DNS に対してフォワードしていないときは 2 番目か 3 番目の DNS サーバに外部を参照できる DNS サーバか DNS 中継機能のあるルータの IP アドレスをさらに指定してくださいメールサーバにおける DNS サーバ情報設定の重要性 DNS サーバの情報を間違ったり問い合わせできない DNS サーバの設定を行ったりすると外部のドメインへメールが送れるところと送れないところが発生します E-Post Mail Server/E-Post SMTP Server シリーズではメール送信時まず最初にウィザード画面及び Mail Control 画面内にある DNS サーバ設定項目を MX レコード参照に用います MX レコード参照がうまくいかないとき 2 回目以降に Windows のネットワーク設定にある DNSサーバ設定値を Aレコード参照するために用いる仕様になっていますつまり MXレコードの参照がまったくできないときでもメールがたまたま送れた前者のケースはドメイン名が DNS の Aレコードでアドレス解決できたために送れてしまうためでありメールが送れなかった後者のケースは DNS の Aレコードで参照した名前ではうまく接続できなかったためです外部に問い合わせが可能な DNS サーバが設定されていないと送り先のドメインの名前解決ができないことになりますので実際に運用可能なサーバを構築する際は十分な注意が必要です Active Directory 連携のメールサーバを練習用に構築するとき外部のドメインに配送する必要がなく動作を確認できればよいというレベルで十分ということでしたら Active Directory のドメインコントローラに設定する DNS サーバは外部を参照しない閉じたサーバであってもかまいません

19 6-4 ドメイン名やメール作業フォルダを設定 ( ステップ 3) では管理するドメイン名を設定します ( ステップ 4) は管理者メールアドレスを設定しますが決まっていないときは未入力のまま進めてかまいません

20 ( ステップ 5) はメール作業フォルダを設定しますシングルサーバにする通常の場合は C: mail D: mail などのローカルドライブを設定してください最後の ( ステップ 6) は設定情報を確認して [ 完了 ] してくださいなお 64bit 版では上の画面の前に下のような画面が表示されますが特に何も設定しないで次へ進んでください

7 Active Directory 連携を確認する自動的に Mail Controlが起動したらドメイン管理タブを選択しますドメイン管理タブ画面ではドメイン名が設定されていることメールユーザーとなるローカルグループ名として IMSUsers が設定されていることをそれぞれ確認しますドメイン管理タブ画面で (Active Directory 連携をしない )

21 7 Active Directory 連携を確認する自動的に Mail Controlが起動したらドメイン管理タブを選択しますドメイン管理タブ画面ではドメイン名が設定されていることメールユーザーとなるローカルグループ名として IMSUsers が設定されていることをそれぞれ確認しますドメイン管理タブ画面で (Active Directory 連携をしない ) 独自アカウント管理のときはアカウントフォルダと表示されていましたが Active Directory 連携をしているときは所属ドメインのアカウントを使用する表示に変わっています次に Account Managerに切り替え設定 - アカウント管理を選択します表示されるアカウントの管理方法ダイアログボックスでは Windows account が選択され PDC にはドメイン名ローカルグループには IMSUsers の MailGroup がそれぞれ設定されているのを確認します

表示される詳細ダイアログボックスでは共通ボックス ( 区別しない ) 設定になっていることを確認してください IP/ ドメイン別に区別する方式で運用しているときは共通ボックス方式に切り替える必要があります

22 最後に OK ボタンをクリックして閉じてくださいちなみにドメインが正常に読めないときやうまく見つからないときは PDCが見つかりませんというエラーメッセージが表示されますエラーメッセージが表示されたときは改めて一から設定を見直して確認してください 8 運用ドメインを詳細で選び共通メールボックスで運用する設定続いてドメイン管理タブに表示されている運用中のドメイン一覧からドメイン名を選択し詳細ボタンをクリックします表示される詳細ダイアログボックスでは共通ボックス ( 区別しない ) 設定になっていることを確認してください IP/ ドメイン別に区別する方式で運用しているときは共通ボックス方式に切り替える必要があります Active Directory から左のアカウント部分のみであるため万が一区別する方式のままのメールボックスフォルダの位置では来ているメールを POP 受信できないことになってしまいます

ちなみに Active Directory 連携時にはマルチドメイン設定は可能ですがバーチャルドメインでの対応になりますただしアカウント名が同一で異なるドメインを作り分けることができないので完全なマルチドメイン運用はできません言い換えると同じアカウント名がなければ複数のドメインを運用することは可能です共通ボックス設定で運用したときのメールボックスフォルダ構成は下図のようになり

23 ちなみに Active Directory 連携時にはマルチドメイン設定は可能ですがバーチャルドメインでの対応になりますただしアカウント名が同一で異なるドメインを作り分けることができないので完全なマルチドメイン運用はできません言い換えると同じアカウント名がなければ複数のドメインを運用することは可能です共通ボックス設定で運用したときのメールボックスフォルダ構成は下図のようになり [ メール作業フォルダ ]-inboxフォルダの下にアカウント名のメールボックスフォルダが作成されますなおメールクライアントからのログインユーザー名はアカウント名のみ ( 例 user1 ) です一方接続ドメイン /IP で区別する設定で運用したときのメールボックスフォルダ構成は下図の通りで [ メール作業フォルダ ]-inbox フォルダ-ドメイン名フォルダの下にアカウント名のメールボックスフォルダが作成されています Active Directory 連携設定の前に接続ドメイン /IPで区別する設定で運用していたときは共通ボックス設定に切り替える際メールデータや設定ファイルの手動での移動作業が必要になります

9 アカウントマネージャのドメイン名を選択 9-1 アカウントマネージャからドメインが選択されているか確認アカウントマネージャに切り替え Active Directoryで管理されているユーザーが読み込めるかどうかを確認します左側のツリーから Domain List - ドメイン名 - User を選択しますドメインを認識しているときでも MailGroup である IMSUsers

24 9 アカウントマネージャのドメイン名を選択 9-1 アカウントマネージャからドメインが選択されているか確認アカウントマネージャに切り替え Active Directoryで管理されているユーザーが読み込めるかどうかを確認します左側のツリーから Domain List - ドメイン名 - User を選択しますドメインを認識しているときでも MailGroup である IMSUsers に属するユーザーを作成しないときはユーザーは表示されませんすでにユーザーを作成しているときにはユーザーが表示されますドメインコントローラをうまく読み込めないときや PDCが見つかりませんと表示されたときはアカウントマネージャの設定 - アカウント管理を選択しますアカウントの管理方法ダイアログボックスで Windows account が選択されており PDC にドメイン名が入っていなければ再度入力しローカルグループに IMSUsers が入っていなければ再び入力最後に OK ボタンをクリックします

25 9-2 User リストを選択しユーザーを追加アカウントマネージャの左側ツリーから User リストを選択しユーザーを追加します右クリックメニューでユーザーを追加しアカウントパスワードを入力します

を起動します Active Directory ユーザーとコンピュータのユーザーとして正式に追加されていることを確認しますまた一方でドメインコントローラ側の Active Directory

26 9-3 Active Directory ユーザーとコンピュータで追加したユーザーを確認メールサーバ側のアカウントマネージャから追加したユーザーがドメインコントローラ側の Active Directoryユーザーとコンピュータに正常に表示されているかどうかを確認しますドメインコントローラの管理ツール - コンピュータの管理 - Active Directory ユーザーとコンピュータを起動します Active Directory ユーザーとコンピュータのユーザーとして正式に追加されていることを確認しますまた一方でドメインコントローラ側の Active Directory ユーザーとコンピュータからユーザーを追加し追加したユーザーを IMSUsers に所属させればアカウントマネージャ側のユーザー一覧にも追加したユーザーが表示されます結果的には両者が連動していることを確認することができます

10 パスワードは複雑さの要件を満たす設定に影響されることに注意 Active Directory で管理するアカウント認証パスワードの複雑さ度合いはドメインコントローラ側の管理ツール - ドメインセキュリティポリシーを開くと表示されるパスワードは複雑さの要件を満たす必要がある設定が有効か無効かによって影響されますドメインセキュリティポリシーでは [ セキュリティの設定

27 10 パスワードは複雑さの要件を満たす設定に影響されることに注意 Active Directory で管理するアカウント認証パスワードの複雑さ度合いはドメインコントローラ側の管理ツール - ドメインセキュリティポリシーを開くと表示されるパスワードは複雑さの要件を満たす必要がある設定が有効か無効かによって影響されますドメインセキュリティポリシーでは [ セキュリティの設定 ]- [ アカウントポリシー ]-[ パスワードのポリシー ] で設定しますなおドメインに参加したマシン全体に適用されるドメインセキュリティポリシーの設定内容がドメインコントローラマシンだけに適用されるドメインコントローラセキュリティポリシーの設定よりも適用範囲が広いので間違えないようにしましょうパスワードは複雑さの要件を満たす必要がある設定が有効の場合ルールに則っていないパスワードたとえばのような数字だけ pass1234 のような英小文字 + 数字だけのパスワードでアカウント登録しようとした場合下図のような警告メッセージが返されるようになり結果としてアカウント登録はできません

Windows Server 2012 ではドメインセキュリティポリシーではなくサーバーマネージャからグループポリシーの管理

[ ツール ]-[ グループポリシーの管理 ] を選択 [ グループポリシーの管理 ] を起動 3.

デフォルト値の確認も兼ねてこれを編集 4. 編集対象のグループポリシーを右クリックし [ 編集 ] を選択 5.

]-[Windows の設定 ]-[ セキュリティの設定 ]-[ アカウントポリシー ] の順に展開 6.

28 Windows Server 2012 ではドメインセキュリティポリシーではなくサーバーマネージャからグループポリシーの管理を呼び出して設定します 1. ドメインコントローラーで [ サーバーマネージャー ] を起動 2.[ ツール ]-[ グループポリシーの管理 ] を選択 [ グループポリシーの管理 ] を起動 3. デフォルトで Default Domain Policy というグループポリシーがドメインに関連付けられておりデフォルト値の確認も兼ねてこれを編集 4. 編集対象のグループポリシーを右クリックし [ 編集 ] を選択 5.[ グループポリシー管理エディター ] が起動しグループポリシーが編集可能な状態になるので [ コンピュータの構成 ]-[ ポリシー ]-[Windows の設定 ]-[ セキュリティの設定 ]-[ アカウントポリシー ] の順に展開 6. パスワードは複雑さの要件を満たす設定を行ったらウインドウの右上にある閉じるボタンをクリックしグループポリシー管理エディターを閉じる上記の設定がわかりにくければ他社サイトで恐縮ですが以下に手順がくわしく書かれていますので参照してください

29 パスワードが複雑さの要件を満たす条件 1. ユーザーのアカウント名の全部または一部を使用しない 2. 長さは 6 文字以上にする 3. 次の 4カテゴリのうち 3つから文字を使う英大文字 (A ~ Z) 英小文字 (a ~ z) 10 進数の数字 (0 ~ 9) アルファベット以外の文字 (! $ # % など ) もし上記の条件を満たすことができないパスワードを設定したいときにはパスワードは複雑さの要件を満たす必要がある設定を無効にしますさらに状況によってはパスワードの長さを任意の数字に下げるなどの必要があります自明のことですがこうした状況下ではセキュリティを下げる結果につながることも留意してください 11 メールクライアントに設定情報を登録しメールの送受信テストユーザー管理情報が Active Directory 連携できていることを確認した後は実際にメールクライアントに設定情報を登録しメールの送受信テストをしっかり行いましょう認証パスワードが使われるのは POP3 受信のときですのでパスワードが通るかどうかの確認はメールクライアントから POP3 受信できるかを試せば確認することができますメールの送受信テストが問題なく完了すれば Active Directory 連携のメールサーバ構築の基本設定が完了ですあとは通常の独自アカウント管理でおこなうメールサーバ設定と同様各種設定をおこなってください

30 4. 参考情報と応用 Active Directory 連携時のユーザー認証について Active Directory 連携時においてユーザー認証が使われるのは POP3 認証のみです SMTP 認証を使うようにするには SMTP 認証を後から有効にする必要がありますが SMTP 認証パスワードは AD 側のパスワードとは連動していませんただし SMTP 送信リクエスト時のアカウント名は ADのユーザー名とマッチングが行われます SMTP 認証パスワードの情報は認証ファイルとしてメールサーバ側で管理され認証時に照合されます参考までに SMTP 認証を有効にする手順を紹介します詳細は E-Post Mail Server 完全ガイドや関連ドキュメントを参考にしてくださいサービス制御タブから EPSTRS サービスを停止 Mail Control 画面のサービス制御タブの SMTP 認証方法を選択セキュリティレベルを認証ファイル適用ボタンをクリック Account Manager のユーザーのアカウント詳細画面から SMTP-AUTH & APOPを使用チェックボックスオンを確認するかオフのときはオンに設定する表示されるダイアログボックスで SMTP 認証パスワードを入力する最後にサービス制御タブから EPSTRS サービスを開始するアカウント関連の操作内容連携の有無 Active Directory 連携時の連動項目 Active Directory ユーザーとコンピュータ連動 E-Post Account Manager アカウント新規作成あり Window2000 以前のユーザーログオン名表示名アカウントフルネームアカウント名前変更あり Window2000 以前のユーザーログオン名表示名アカウントフルネーム POP3 パスワード変更 SMTP 認証パスワード変更ありパスワードパスワードなし -- SMTP 認証パスワードフルネームあり表示名フルネームホームディレクトリありホームフォルダ ( ローカルパス ) ホームドメイン名あり所属するグループドメイン

31 同一サーバに Active Directory ドメインとメールサーバを設定する場合 Active Directoryドメインを設定したマシン自体にメールサーバをインストールするときは Active Directory ドメインを使ったユーザー管理ではなく Windows ローカルアカウントを使ったユーザー管理になります簡単セットアップ ( 設定ウィザード ) のステップ1の画面で Windows のローカルアカウントと連携させたいを選択して設定するようにします E-Post Mail Server のドメイン名と AD のドメインの関係 E-Post Mail Server のドメイン名は Active Directoryのドメイン名とは無関係に設定できます気をつけたいのは Active Directoryに対してはアカウント情報およびそのパスワード情報しか参照していないということですまた Active Directoryのアカウント情報を参照しているためアカウントとパスワードの組み合わせは1 対しか作成はできません 1つのアカウントに複数のパスワードを設定したりすることはできませんので注意してくださいなお Active Directoryのドメイン名は 2000 以前の NTドメイン名として参照します Windows XP Pro でのインストール設定作業の注意 Active Directoryに参加している Windows XP Professionalマシンへ E-Post Mail Server をインストールする場合インストール時にはドメインにログインしない状態つまりこのコンピュータ ( ローカル ) へ Administrator またはその権限ユーザーにてログインを行ってインストール設定作業を行う必要があります Windows XPマシンではドメインにログインした状態でインストール設定作業を行うとうまく Active Directory 連携が行えないことが判明しています設定が終わると運用時にはドメインにログインしてメールサーバを利用できますくわしい原因は不明ですが設定ウィザードが IMSUsers グループをドメインコントローラに自動作成するときに生じている問題と考えられますなお Windows Server 2003 や 2008 などサーバ OSではこの問題は起きませんドメインに参加した状態でインストール設定作業を行うことができます

32 Active Directory への問い合わせリトライ間隔と時間を調整するには Active Directory 連携時にメールサーバから AD への問い合わせが大量に発生するケースで認証に時間がかかる現象のときには 2009 年 12 月以降にリリースされたモジュールで追加されたレジストリ項目によって ADへの問い合わせリトライ待ち時間を短く調整できるようになりましたさらに従来から用意されているレジストリ項目を組み合わせることで ADへの問い合わせリトライ総時間の調整が可能ですもともと E-Post Mail Server が AD 連携環境にてパスワード認証をする際メールサーバから AD に向けてユーザー検索のリクエストを数回行う仕様になっていますこのとき ADへの問い合わせリトライ間隔は従来バージョンではプログラム内部で 1 秒固定ですが新しいバージョンではこのリトライ間隔を調整できるようになっています 2009 年 12 月以降に公開されている最新差分を適用後レジストリのキー "ADRetryMSec" を DWORD で作成数値を設定することによってリトライ間隔を調整できるようになりますこのキーが有効なサービスプログラムのバージョンは以下の通りです EPSTRS 4.63 以降 EPSTDS 4.47 以降 EPSTPOP3S 4.26 以降 EPSTIMAP4S 4.30 以降 [AD 連携時のユーザー情報問い合わせリトライ間隔 ( リトライ待ち時間 ) 設定レジストリ ] HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet Services EPSTRS ADRetryMSec (DWORD) デフォルト 1000( ミリ秒 ) EPSTDS ADRetryMSec (DWORD) デフォルト 1000( ミリ秒 ) EPSTPOP3S ADRetryMSec (DWORD) デフォルト 1000( ミリ秒 ) EPSTIMAP4S ADRetryMSec (DWORD) デフォルト 1000( ミリ秒 ) ( 例 ) デフォルト 1000( ミリ秒 )=1 秒 300( ミリ秒 )=0.3 秒レジストリ設定値を変更したときは各サービスの再起動が必要ですちなみに上記バージョンからは AD 連携設定時にメールボックスの設定が環境変数 %USERNAME% を含む設定のときに限り AD への問い合わせ2 回目以降にホームフォルダの検索をしないようにしましたその結果 AD 連携時の処理速度の高速化がはかられています環境変数 %HOME% を含む設定のときは変わりません

33 なおリトライ回数を設定するための "ADRetryTime" キーについては従来バージョンでも有効です [AD 連携時のユーザー情報問い合わせリトライ回数設定レジストリ ] HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet Services EPSTRS ADRetryTime (DWORD) デフォルト 10( 回 ) EPSTDS ADRetryTime (DWORD) デフォルト 10( 回 ) EPSTPOP3S ADRetryTime (DWORD) デフォルト 10( 回 ) EPSTIMAP4S ADRetryTime (DWORD) デフォルト 10( 回 ) レジストリ設定値を変更したときは各サービスの再起動が必要ですこの新しい "ADRetryMSec" 値と従来バージョンから設けられている "ADRetryTime" 値との掛け算によって AD への問い合わせリトライ総時間が決まります言い換えると AD リトライ待ち時間 AD リトライ回数の調整で AD 問い合わせリトライ時間を調整します ADRetryMSec 値 ( ミリ秒 ) ADRetryTime 値 ( 回 )= 例 ) 1000 ミリ秒 (1 秒 ) 10 回 =10 秒 300 ミリ秒 (0.3 秒 ) 30 回 =9 秒 300 ミリ秒 (0.3 秒 ) 20 回 =6 秒 AD ユーザー情報問合せリトライ総時間調整のしかたによっては ADへの問い合わせが大量に発生するケースでリトライ待ち総時間が増えてしまったり認証できず接続エラーが増える状況も考えられますので設定値を変更するときはいたずらに速度を上げることだけを目的としないでより安全かつ確実に認証が通ることを確認しながら行ってください

Active Directory 連携時にマルチドメイン設定を行うとセキュリティグループが参照されるしくみについて ActiveDirectry 連携時のメールサーバを移行するためアカウント情報のエクスポートインポート作業を行うときインポートされたデータ内にはドメイン名があるにもかかわらずインポート後のアカウント情報を見てもドメイン名が空欄のままになっていることがあります

34 Active Directory 連携時にマルチドメイン設定を行うとセキュリティグループが参照されるしくみについて ActiveDirectry 連携時のメールサーバを移行するためアカウント情報のエクスポートインポート作業を行うときインポートされたデータ内にはドメイン名があるにもかかわらずインポート後のアカウント情報を見てもドメイン名が空欄のままになっていることがありますそのようなときは ActiveDirectryユーザーとコンピュータの Users の中にドメイン名のセキュリティグループができているはずですのでセキュリティグループのプロパティを開きメンバタブにユーザーを追加するとドメイン名が表示されるようになりますこれは AD 連携時にマルチドメイン設定を行うとドメイン名項目として Active Directory 側のセキュリティグループが参照されるしくみになっていることが理由です ( 解説 ) AD 連携時にも仮想的とはいえマルチドメイン対応が取れるようになっていますただし AD 連携時にはアカウント ( ユーザー名 ) が一意のものとして管理されますのでアカウントが重複しなければマルチドメインの設定が可能です単一ドメイン名での管理のときはドメイン名が空欄のままで特に問題はありませんが AD 連携時にマルチドメイン設定を行う場合所属ドメイン名の区別をつけるため Account Manager 内でのドメイン名項目は AD で管理されているセキュリティグループ名を参照するようにしていますので必ずセキュリティグループ内に加えてくださいたとえば次の設定のとき AD で管理されているセキュリティグループ内それぞれにユーザーが所属されていることになります

35 ( メールサーバ側の Account Manager) アカウントドメイン名 (domain) user1 abc.jp user2 abc.jp user3 def.jp user4 def.jp user5 ghi.jp user6 ghi.jp (Active Directory 側 ) セキュリティグループ所属ユーザー abc.jp user1,user2 def.jp user3,user4 ghi.jp user5,user6 つまり AD 連携時にメールサーバ側の Account Manager で表示したときにドメイン名項目 (domain) が空欄になっているものはセキュリティグループに所属していないことになりますアカウントデータをエクスポートする際は Account Manager で表示されている状態をそのまま出力しますつまりドメイン名項目 (domain) が空欄になっているものはそのまま空欄として出力します

36 5. トラブルシューティングサービス開始サービス終了ができない E-Post Mail Server インストールセットアップ時には Administrator 権限が必要なので Administrator そのものか Administrators グループに入っているユーザーでログインしてセットアップを行いますウィザードでドメインコントローラ名を指定して設定を完了した後 Administratorで再ログインし直して確認しましょうなお Active Directory 連携を行うときのサービス登録時の権限は Local System 権限で行っても Administrator 権限で行ってもどちらでもかまいませんまたデバッグモードでプログラムが正常に動作するものかどうか調べる必要があることもあります万が一プログラムファイルが破損してしまっているかどうかを調べることができますデバッグモードの使い方は下記の通りです Active Directory ユーザーが Account Manager に表示されないとき E-Post Mail Server 側でユーザーグループの指定を IMSUsers にしておきましょううまくいかないときは簡単セットアップをもう一度起動し指定しますまた Windows サーバ側の Active Directory ユーザーとコンピュータでユーザーを追加する際はユーザーグループ IMSUsers 内に追加するのを忘れないようにしますデバッグモードの使い方 1. 各サービスを停止する 2. コマンドプロンプトを開く 3. カレントフォルダについてプログラムインストールしたフォルダに移動 cd "C: Program files EPOST MS" Enter 4.EPSTDSサービスのデバッグモードを起動するには epstds debug と入力 epstds debug Enter ステータスやメッセージがたくさん表示されればプログラムファイルの破損はなく基本的に正しいプログラムファイルといえますこのデバッグモードの最中にクライアントからメールの送受信テストを行うことができ表示される画面で基本的な動作を確認することができますデバッグモードは Ctrl +[C] キーを押して停止します他のサービスのデバッグモードも同様にオプションをつけて起動します

37 6. 索引 Account Manager Administrator AD ユーザーとコンピュータ A レコード DNS サーバ , IMSUsers- 6 -, - 9 -, , , , , , , Mail Control MailGroup , , MX レコード NT ドメイン , Virtual Server アカウント情報アカウントフォルダアクティブ-スタンバイ方式エイリアス簡単セットアップサービス開始デバッグモード独自アカウント管理ドメインセキュリティ設定ドメインコントローラ , ドメインローカルグループバーチャルドメインパスワードの長さの複雑さバッチジョブとしてのログオンメール作業フォルダメールボックスフォルダメンバーマシンライセンス数

Microsoft PowerPoint - メールソフト設定方法マニュアル_ver.1.5.ppt

Microsoft PowerPoint - メールソフト設定方法マニュアル_ver.1.5.ppt メールソフト設定方法マニュアル Ver. 1.5 目次 Outlook Express 設定方法 P2~11 ケース 1: アカウントを新規に追加する場合ケース 2: 既存アカウントの設定を変更する場合 Office Outlook 設定方法 P12~20 ケース 1: アカウントを新規に追加する場合ケース 2: 既存アカウントの設定を変更する場合 Mozilla Thunderbird 3 設定方法