Configuration de Microsoft 365 avec la messagerie sécurisée

Introduction

Ce document décrit les étapes de configuration pour intégrer Microsoft 365 avec Cisco Secure Email pour la remise des e-mails entrants et sortants.

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Passerelle Cisco Secure Email Cloud Gateway ou passerelle en nuage
• Accès par interface de ligne de commande (CLI) à votre environnement Cisco Secure Email Cloud Gateway :
  Cisco Secure Email Cloud Gateway > Accès à l'interface de ligne de commande (CLI)
• Microsoft 365
• Protocole SMTP (Simple Mail Transfer Protocol)
• Serveur de noms de domaine ou système de noms de domaine (DNS)

Composants utilisés

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

Ce document peut être utilisé pour les passerelles sur site ou les passerelles cloud Cisco.

Si vous êtes un administrateur de messagerie électronique sécurisée Cisco, votre lettre de bienvenue inclut vos adresses IP de passerelle cloud et d'autres informations pertinentes. En plus de la lettre que vous voyez ici, un e-mail chiffré vous est envoyé pour vous fournir des détails supplémentaires sur le nombre de Cloud Gateway (également appelé ESA) et Cloud Email and Web Manager (également appelé SMA) provisionnés pour votre allocation. Si vous n'avez pas reçu ou n'avez pas de copie de la lettre, communiquez avec :  ces-activations@cisco.com avec vos coordonnées et votre nom de domaine sous service.

     

     

Chaque client dispose d’adresses IP dédiées. Vous pouvez utiliser les adresses IP ou les noms d’hôte attribués lors de la configuration de Microsoft 365.

Remarque : il est vivement recommandé de tester avant toute mise en service planifiée des messages de production, car les configurations prennent du temps à se répliquer dans la console Microsoft 365 Exchange. Attendez au moins une heure pour que toutes les modifications soient prises en compte.

Remarque : les adresses IP de la capture d'écran sont proportionnelles au nombre de passerelles cloud provisionnées pour votre allocation. Exemple :  xxx.yy.140.105  est l'adresse IP de l'interface de données 1 pour la passerelle 1, et  xxx.yy.150.1143  est l'adresse IP de l'interface de données 1 pour la passerelle 2. L'adresse IP de l'interface Data 2 pour Gateway 1 est  xxx.yy.143.186 et l'adresse IP de l'interface de données 2 pour la passerelle 2 est xxx.yy.32.98. Si votre lettre de bienvenue ne contient pas d'informations sur Data 2 (IP d'interface sortante), contactez le TAC Cisco pour que l'interface Data 2 soit ajoutée à votre allocation.

Configuration de Microsoft 365 avec la messagerie sécurisée

Configurer les courriels entrants dans Microsoft 365 depuis Cisco Secure Email

Contourner la règle de filtrage des pourriels

1. Connectez-vous au Centre d'administration Microsoft 365 (https://portal.microsoft.com).
2. Dans le menu de gauche, développez Admin Centers.
3. Cliquer Exchange.
4. Dans le menu de gauche, accédez à Mail flow > Rules.
5. Cliquer [+] pour créer une nouvelle règle.
6. Choisir Bypass spam filtering... dans la liste déroulante.
7. Entrez un nom pour votre nouvelle règle : Bypass spam filtering - inbound email from Cisco CES.
8. Pour *Appliquer cette règle si..., choisissez The sender - IP address is in any of these ranges or exactly matches.
   1. Dans la fenêtre contextuelle Spécifier les plages d'adresses IP, ajoutez les adresses IP fournies dans votre lettre de bienvenue Cisco Secure Email.
   2. Cliquer OK.
9. Pour *Effectuez les opérations suivantes..., la nouvelle règle a été présélectionnée : Set the spam confidence level (SCL) to... - Bypass spam filtering.
10. Cliquer Save.

Voici un exemple de l'aspect de votre règle :

Connecteur de réception

1. Restez dans le Centre d'administration Exchange.
2. Dans le menu de gauche, accédez à Mail flow > Connectors.
3. Cliquer [+] pour créer un nouveau connecteur.
4. Dans la fenêtre contextuelle Sélectionner votre scénario de flux de messagerie, sélectionnez :
   1. From (de) : Partner organization
   2. Par : Office365
5. Cliquer Next.
6. Entrez un nom pour votre nouveau connecteur : Inbound from Cisco CES.
7. Saisissez une description, si vous le souhaitez.
8. Cliquer Next.
9. Cliquer Use the sender's IP address.
10. Cliquer Next.
11. Cliquer [+] et saisissez les adresses IP indiquées dans votre lettre de bienvenue Cisco Secure Email.
12. Cliquer Next.
13. Choisir Reject email messages if they aren't sent over Transport Layer Security (TLS).
14. Cliquer Next.
15. Cliquer Save.
    
    

Voici un exemple de la configuration de votre connecteur :

Configurer les courriels de Cisco Secure Email vers Microsoft 365

Contrôles de destination

Imposez une auto-limitation à un domaine de remise dans vos contrôles de destination. Bien sûr, vous pouvez supprimer l'accélérateur plus tard, mais ce sont de nouvelles IP à Microsoft 365, et vous ne voulez pas de limitation par Microsoft en raison de sa réputation inconnue.

1. Connectez-vous à votre modem routeur.
2. Naviguez jusqu'à Mail Policies > Destination Controls.
3. Cliquer Add Destination.
4. Utilisation:
   1. Destination : saisissez votre nom de domaine
   2. Concurrent Connections (connexions simultanées) : 10
   3. Maximum Messages Per Connection (nombre maximal de messages par connexion) : 20
   4. TLS Support (soutien TLS) : Preferred
5. Cliquer Submit.
6. Cliquer Commit Changes dans le coin supérieur droit de l'interface utilisateur pour enregistrer vos modifications de configuration.

Exemple de présentation de votre table de contrôle des destinations :

Tableau d’accès des destinataires

Ensuite, définissez le tableau d’accès des destinataires (RAT) pour qu’il accepte les courriels de vos domaines :

1. Naviguez jusqu'à Mail Policies > Recipient Access Table (RAT).

   Remarque : assurez-vous que l'écouteur est destiné à l'écouteur entrant, à IncomingMail ou à MailFlow, en fonction du nom réel de l'écouteur pour votre flux de messagerie principal.

2. Cliquer Add Recipient.
3. Ajoutez vos domaines dans le champ Adresse du destinataire.
4. Sélectionnez l'action par défaut de Accept.
5. Cliquer Submit.
6. Cliquer Commit Changes dans le coin supérieur droit de l'interface utilisateur pour enregistrer vos modifications de configuration.

Voici un exemple de l'apparence de votre entrée RAT :

     

Routes SMTP

Définissez le routage SMTP pour la remise du courrier électronique sécurisé Cisco à votre domaine Microsoft 365 :

1. Naviguez jusqu'à Network > SMTP Routes.
2. Cliquer Add Route...
3. Receiving Domain : saisissez votre nom de domaine.
4. Hôtes de destination : ajoutez votre enregistrement Microsoft 365 MX d'origine.
5. Cliquer Submit.
6. Cliquer Commit Changes dans le coin supérieur droit de l'interface utilisateur pour enregistrer vos modifications de configuration.

Exemple de l'apparence de vos paramètres de routage SMTP :

Configuration DNS (enregistrement MX)

Vous êtes prêt à couper le domaine via une modification d'enregistrement MX (Mail Exchange). Travaillez avec votre administrateur DNS pour résoudre vos enregistrements MX en adresses IP pour votre instance Cisco Secure Email Cloud, comme indiqué dans votre lettre de bienvenue Cisco Secure Email.

Vérifiez également la modification apportée à l'enregistrement MX à partir de votre console Microsoft 365 :

1. Connectez-vous à la console Admin de Microsoft 365 (https://admin.microsoft.com).
2. Naviguez jusqu'à Home > Settings > Domains.
3. Choisissez votre nom de domaine par défaut.
4. CliquerCheck Health.

Cette section fournit les enregistrements MX actuels de la façon dont Microsoft 365 recherche vos enregistrements DNS et MX associés à votre domaine :

Remarque : dans cet exemple, le DNS est hébergé et géré par Amazon Web Services (AWS). En tant qu'administrateur, attendez-vous à voir un avertissement si votre DNS est hébergé n'importe où en dehors du compte Microsoft 365. Vous pouvez ignorer des avertissements comme : "Nous n'avons pas détecté que vous avez ajouté de nouveaux enregistrements à your_domain_here.com. Assurez-vous que les enregistrements que vous avez créés sur votre hôte correspondent à ceux affichés ici..."  Les instructions détaillées réinitialisent les enregistrements MX à ce qui a été initialement configuré pour la redirection vers votre compte Microsoft 365. La passerelle de messagerie sécurisée Cisco est ainsi supprimée du flux de trafic entrant.

Tester le courrier entrant

Testez le courrier entrant vers votre adresse de messagerie Microsoft 365. Vérifiez ensuite qu'il arrive dans votre boîte de réception de messagerie Microsoft 365.

Validez les journaux de messagerie dans Message Tracking sur votre Cisco Secure Email and Web Manager (également appelé SMA) fourni avec votre instance.

Pour afficher les journaux de messagerie sur votre SMA :

1. Connectez-vous à votre SMA (https://sma.iphmx.com/ng-login)
2. Cliquer Tracking.
3. Saisissez les critères de recherche requis et cliquez sur Search; et s'attendent à voir de tels résultats :

Pour afficher les journaux de messagerie dans Microsoft 365 :

1. Connectez-vous au Centre d'administration Microsoft 365 (https://admin.microsoft.com).
2. Accroissement Admin Centers.
3. Cliquer Exchange.
4. Naviguez jusqu'à Mail flow > Message trace.
5. Microsoft fournit des critères de recherche par défaut. Par exemple, choisissez Messages received by my primary domain in the last day pour lancer votre requête de recherche.
6. Entrez les critères de recherche requis pour les destinataires et cliquez sur Search et s'attendent à obtenir des résultats similaires à :

Configurer les courriels sortants de Microsoft 365 vers Cisco Secure Email

Configurer RELAYLIST sur la passerelle Cisco Secure Email Gateway

Reportez-vous à votre lettre de bienvenue Cisco Secure Email. En outre, une interface secondaire est spécifiée pour les messages sortants via votre modem routeur.

1. Connectez-vous à votre modem routeur.
2. Naviguez jusqu'à Mail Policies > HAT Overview.



   Remarque : assurez-vous que l'écouteur est pour Outgoing Listener, OutgoingMail ou MailFlow-Ext, en fonction du nom réel de votre écouteur pour votre flux de courrier externe/sortant.

3. Cliquer Add Sender Group...
4. Configurez le groupe d’expéditeurs comme suit :
   1. Nom : RELAY_O365
   2. Comment (commentaire) :  <<enter a comment if you wish to notate your sender group>>
   3. Stratégie : RELAYÉE
   4. Cliquer Submit and Add Senders.
   5. Expéditeur : .protection.outlook.com
      

      Remarque : la . (point) au début du nom de domaine de l'expéditeur est obligatoire.

   6. Cliquer Submit.
   7. Cliquer Commit Changes dans le coin supérieur droit de l'interface utilisateur pour enregistrer vos modifications de configuration.

Voici un exemple de l'apparence de vos paramètres de groupe d'expéditeurs :

Activer TLS

1. Cliquer < .
2. Cliquez sur la politique de flux de messagerie nommée : RELAYED.
3. Faites défiler la page vers le bas et regardez Security Features section pour Encryption and Authentication.
4. Pour TLS, sélectionnez : Preferred.
5. Cliquer Submit.
6. Cliquer Commit Changes dans le coin supérieur droit de l'interface utilisateur pour enregistrer vos modifications de configuration.

Exemple de configuration de votre stratégie de flux de messagerie :

Configurer la messagerie de Microsoft 365 vers CES

1. Connectez-vous au Centre d'administration Microsoft 365 (https://admin.microsoft.com).
2. Accroissement Admin Centers.
3. Cliquer Exchange.
4. Naviguez jusqu'à Mail flow > Connectors.
5. Cliquer [+] pour créer un nouveau connecteur.
6. Dans la fenêtre contextuelle Sélectionner votre scénario de flux de messagerie, sélectionnez :
   1. From (de) : Office365
   2. Par :Partner organization
7. Cliquer Next.
8. Entrez un nom pour votre nouveau connecteur : Outbound to Cisco CES.
9. Saisissez une description, si vous le souhaitez.
10. Cliquer Next.
11. Pour Quand voulez-vous utiliser ce connecteur ? :
    1. Choisissez : Only when I have a transport rule set up that redirects messages to this connector.
    2. Cliquer Next. 
12. Cliquer Route email through these smart hosts.
13. Cliquer [+] et saisissez les adresses IP sortantes ou les noms d'hôte fournis dans votre lettre de bienvenue CES.
14. Cliquer Save.
15. Cliquer Next.
16. Pour savoir comment Office 365 doit-il se connecter au serveur de messagerie de votre organisation partenaire ?
    1. Choisissez : Always use TLS to secure the connection (recommended).
    2. ChoisirAny digital certificate, including self-signed certificates.
    3. Cliquer Next.
17. L'écran de confirmation s'affiche.
18. Cliquer Next.
19. Utilisation [+] pour saisir une adresse e-mail valide, cliquez sur OK.
20. Cliquer Validate et autoriser l'exécution de la validation.
21. Une fois terminé, ccoup de langue Close.
22. CliquerSave.

Voici un exemple de l'apparence de votre connecteur sortant :

Créer une règle de flux de messagerie

1. Connectez-vous à votre centre d'administration Exchange (https://outlook.office365.com).
2. Cliquer mail flow; assurez-vous de dans l'onglet règles.
3. Cliquer [+] pour ajouter une nouvelle règle.
4. Choisir Create a new rule.
5. Entrez un nom pour votre nouvelle règle : Outbound to Cisco CES.
6. Pour *Appliquer cette règle si..., choisissez : The sender is located...
   1. Pour la fenêtre contextuelle Sélectionner l'emplacement de l'expéditeur, sélectionnez : Inside the organization.
   2. Cliquer OK.
7. Cliquer More options...
8. Cliquer add condition et insérez une deuxième condition :
   1. Choisir The recipient...
   2. Choisissez : Is external/internal.
   3. Pour la fenêtre contextuelle Sélectionner l'emplacement de l'expéditeur, sélectionnez : Outside the organization .
   4. Cliquer OK.
9. Pour *Effectuez les opérations suivantes..., choisissez : Redirect the message to...
   1. Sélectionnez : le connecteur suivant.
   2. Et sélectionnez votre connecteur Outbound to Cisco CES.
   3. Click OK.
10. Revenez à "*Effectuez les opérations suivantes..." et insérez une deuxième action :
    1. Choisissez : Modify the message properties...
    2. Choisissez : set the message header
    3. Définissez l’en-tête du message : X-OUTBOUND-AUTH.
    4. Cliquer OK.
    5. Définissez la valeur : mysecretkey.
    6. Cliquer OK.
11. Cliquer Save.

Remarque : pour empêcher les messages non autorisés de Microsoft, un en-tête x secret peut être estampillé lorsque les messages quittent votre domaine Microsoft 365 ; cet en-tête est évalué et supprimé avant d'être remis sur Internet.

Exemple de configuration du routage Microsoft 365 :

Enfin, accédez à la CLI de votre passerelle Cisco Secure Email Gateway.

Remarque : Cisco Secure Email Cloud Gateway > Command Line Interface (CLI) Access.

Créez un filtre de message pour vérifier la présence et la valeur de l'en-tête x et supprimez l'en-tête s'il existe. En l’absence d’en-tête, supprimez le message.

1. Connectez-vous à votre modem routeur via l'interface de ligne de commande.
2. Exécutez la commande Filters erasecat4000_flash:.
3. Si votre modem routeur est en cluster, appuyez sur Retour pour modifier les filtres en mode Cluster.
4. Utilisez New pour créer un filtre de message, copier et coller :
   
   

   office365_outbound: if sendergroup == "RELAYLIST" {
   if header("X-OUTBOUND-AUTH") == "^mysecretkey$" {
   strip-header("X-OUTBOUND-AUTH");
   } else {
   drop();
   }
   }

5. Appuyez une fois sur Return pour créer une nouvelle ligne vide.
6. Saisissez  [.] sur la nouvelle ligne pour terminer votre nouveau filtre de message.
7. Cliquer return une fois pour quitter le menu Filtres.
8. Exécutez la commande Commit pour enregistrer les modifications apportées à votre configuration.

     

Tester le courrier sortant

Testez le courrier sortant de votre adresse de messagerie Microsoft 365 vers un destinataire de domaine externe. Vous pouvez vérifier le suivi des messages depuis votre Cisco Secure Email and Web Manager pour vous assurer qu'il est correctement acheminé vers l'extérieur.

Remarque : vérifiez votre configuration TLS (Administration système > Configuration SSL) sur le modem routeur et les chiffrements utilisés pour le protocole SMTP sortant. Les Méthodes Recommandées de Cisco recommandent :

HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:!SSLv3:!TLSv1:-aNULL:-EXPORT:-IDEA

       

Exemple de suivi avec une livraison réussie :

Cliquer More Details pour afficher les détails complets du message :

Exemple de suivi des messages où l’en-tête x ne concorde pas :

Informations connexes 

Documentation de Cisco Secure Email Gateway

• notes de version
• Guide de l’utilisateur
• Guide de référence CLI
• Guides de programmation d'API pour Cisco Secure Email Gateway
• Open Source utilisé dans Cisco Secure Email Gateway
• Guide d'installation de l'appliance virtuelle de sécurité du contenu Cisco (inclut vESA)

Documentation sur Secure Email Cloud Gateway

• notes de version
• Guide de l’utilisateur

Documentation de Cisco Secure Email and Web Manager

• Notes de version et matrice de compatibilité
• Guide de l’utilisateur
• Guides de programmation API pour Cisco Secure Email and Web Manager
• Guide d'installation de l'appliance virtuelle de sécurité du contenu Cisco (inclut vSMA)

Documentation sur les produits Cisco Secure

• Architecture d'attribution de noms Cisco Secure