ハイブリッド展開では、デジタル証明書はオンプレミスの Exchange organization と Microsoft 365 または Office 365 間の通信を保護する上で重要な部分です。 証明書により、各 Exchange 組織が別の Exchange 組織の ID を信頼できるようになります。 証明書では、各 Exchange 組織が適切なソースと通信していることを確認することもできます。
ハイブリッド展開では、多くのサービスで証明書が使用されます。
Active Directory フェデレーション サービス (AD FS) (AD FS) を使用した Microsoft Entra Connect (Microsoft Entra Connect): Microsoft Entra Connect を展開する場合ハイブリッド展開の一部として AD FS を使用すると、信頼されたサード パーティ証明機関 (CA) が発行した証明書を使用して、Web クライアントとフェデレーション サーバー プロキシ間の信頼の確立、セキュリティ トークンの署名、およびセキュリティ トークンの暗号化解除を行います。
詳細については、「証明書」を参照してください。
Exchange フェデレーション: 自己署名証明書を使用して、オンプレミスの Exchange サーバーと Microsoft Entra 認証システムの間にセキュリティで保護された接続を作成します。
詳細については 、「共有」を参照してください。
Exchange サービス: 信頼できるサード パーティの CA によって発行された証明書は、Exchange サーバーとクライアント間の Secure Sockets Layer (SSL) 通信をセキュリティで保護するために使用されます。 証明書を使用するサービスには、Web 上の Outlook、Exchange ActiveSync、Outlook Anywhere、およびセキュリティ保護されたメッセージ トランスポートがあります。
既存の Exchange サーバー: 既存の Exchange サーバーでは、Outlook on the web 通信やメッセージ トランスポートなどをセキュリティで保護するために証明書を使用する場合があります。 Exchange サーバーでの証明書の使用方法に応じて、自己署名証明書、または信頼されている第三者 CA によって発行された証明書を使用できます。
ハイブリッド展開での証明書要件
ハイブリッド展開を構成するときは、信頼できる第三者 CA から購入した証明書を使用して構成する必要があります。 セキュリティ保護されたハイブリッド メール トランスポートに使用する証明書は、すべてのオンプレミスのメールボックス (Exchange 2016 以降)、およびメールボックス サーバーとクライアント アクセス サーバー (Exchange 2013 以前) にインストールする必要があります。
重要
複数の Active Directory フォレストで Exchange サーバーを展開している組織においてハイブリッド展開を構成している場合は、Active Directory フォレストごとに別個のサードパーティ製 CA 証明書を使用する必要があります。
Exchange エッジ トランスポート サーバーをオンプレミスの組織で展開するときは、この証明書をすべてのエッジ トランスポート サーバーにインストールする必要もあります。 ハイブリッド セキュア メールが正しく機能するには、各エッジ トランスポート サーバーで発行元の CA と同じサブジェクトを共有する証明書を使用する必要があります。
AD FS、Exchange フェデレーション、サービス、および Exchange などの複数のサービスは、それぞれが証明書を必要とします。 組織に応じて、次のいずれかの方針を選択できます。
複数のサーバーにわたって、すべてのサービスで使用される第三者証明書を使用する。
サービスを提供するサーバーごとに第三者証明書を使用する。
すべてのサービスで同じ証明書を使用するのか、または各サービス専用の証明書を使用するのかは、組織および実装するサービスによって異なります。 各オプションについて、いくつかの検討事項があります。
複数のサーバーにまたがるサードパーティ証明書: 複数のサーバーにまたがるサービスで使用されるサードパーティ証明書は、取得が若干安価になる場合がありますが、更新と交換が複雑になる可能性があります。 証明書の置換が必要な場合、証明書がインストールされた各サーバーの証明書を置換する必要があるため、煩雑となります。
サーバーごとのサード パーティ証明書: サービスをホストするサーバーごとに専用の証明書を使用することで、そのサーバー上のサービス専用の証明書を構成できます。 証明書を置換したり更新が必要な場合、証明書の置換が必要なのはサービスがインストールされたサーバーだけです。 他のサーバーは影響を受けません。
オプションの AD FS サーバーには専用のサードパーティ証明書を使用し、ハイブリッド展開の場合は Exchange サービスに別の証明書を使用し、その他の必要なサービスや機能には必要に応じて Exchange サーバー上の別の証明書を使用することをお勧めします。 ハイブリッド展開でフェデレーション共有の一部として構成されたオンプレミスのフェデレーション信頼では、既定で自己署名証明書が使用されます。 特定の要件がない限り、ハイブリッド展開の一部として構成されたフェデレーション信頼でサード パーティの証明書を使用する必要はありません。
単一サーバー上にインストールされたサービスにより、そのサーバーに複数の完全修飾ドメイン名 (FQDN) の構成が必要となる場合があります。 必要となる FQDN 数に対応した証明書を購入します。 証明書は、サブジェクト名 (プリンシパル名とも呼ばれます) および 1 つまたは複数のサブジェクトの別名 (SAN) から構成されます。 サブジェクト名は、オンプレミス組織と Exchange Online 組織の間で共有されるプライマリ SMTP ドメインです。 SAN は、サブジェクト名に加えて証明書に追加可能な追加 FQDN です。 5 個の FQDN をサポートする証明書が必要な場合、5 個のドメインを追加可能な証明書を購入する必要があります (1 つのサブジェクト名と 4 つの SAN)。
次の表は、ハイブリッド展開で使用するために構成する証明書に含める必要のある最低限推奨される FQDN の概要を示しています。
| サービス | FQDNの例 | フィールド |
|---|---|---|
| プライマリ共有 SMTP ドメイン | contoso.com | サブジェクト名 |
| 自動検出 | Exchange 2013 クライアント アクセス サーバーの外部 Autodiscover FQDN に一致するラベル (autodiscover.contoso.com など) | サブジェクト名の別名 |
| トランスポート | エッジ トランスポート サーバーの外部 FQDN に一致するラベル (edge.contoso.com など) | サブジェクト名の別名 |
Office 365 を介してインターネットに電子メール メッセージを中継する必要がない場合は、プライマリ共有 SMTP ドメインではなく、件名でトランスポート サービス名を使用できます。 詳細については、「Office 365 を介して電子メール メッセージを中継するように証明書ベースのコネクタを構成する」を参照してください。