LDAP 受け入れクエリーを使用して、Microsoft Active Directory（LDAP）を使用した着信メッセージの受信者を確認するにはどうすればよいですか。

質問：

LDAP 受け入れクエリーを使用して、Microsoft Active Directory（LDAP）を使用した着信メッセージの受信者を確認するにはどうすればよいですか。

注：次の例は、標準のMicrosoft Active Directory展開と統合されますが、この原則はさまざまなタイプのLDAP実装に適用できます。

最初に LDAP サーバ エントリを作成し、そこでディレクトリ サーバと、E メール セキュリティ アプライアンスが実行するクエリーを指定する必要があります。  このクエリーは、着信（パブリック）リスナーで有効にされるか、または適用されます。これらの LDAP サーバ設定は、異なるリスナー、およびエンドユーザ保証アクセスなどの設定の他の部分によって共有できます。

IronPort アプライアンスでの LDAP クエリーの設定を簡単にするために、LDAP ブラウザを使用することをお勧めします。LDAP ブラウザでは、クエリー対象のすべての属性に加えてスキーマを参照できます。

Microsoft Windows の場合、次のものを使用できます。

• Softterra の LDAP ブラウザ
• LDP
• Adsiedit

LinuxまたはUNIXの場合、ldapsearchコマンドを使用できます。

最初に、クエリーを実行するための LDAP サーバを定義する必要があります。この例では、myldapserver.example.com LDAP サーバに対して「PublicLDAP」というニックネームが付けられています。クエリーの送信先は、TCP ポート 389（デフォルト値）です。

注：Active Directoryの実装にサブドメインが含まれている場合、ルートドメインのベースDNを使用してサブドメイン内のユーザを照会することはできません。ただし、Active Directory を使用する場合、TCP ポート 3268 でグローバル カタログ（GC）サーバに対して LDAP クエリーを実行することもできます。GC サーバには Active Directory フォレストのすべてのオブジェクトに関する一部の情報が含まれており、詳細な情報が必要なときには対象サブドメインへの参照を示します。サブドメインにユーザが見つからない場合、ベース DN をルートのままにし、GC ポートを使用するように IronPort を設定します。

GUI：

1. ディレクトリ・サーバーから以前に配置した値を使用して、新しいLDAPサーバー・プロファイルを作成します(System Administration > LDAP)。次に例を示します。
   • サーバプロファイル名：PublicLDAP
   • ホスト名：myldapserver.example.com
   • 認証方法：パスワードの使用：有効
   • ユーザ名：cn=ESA,cn=Users,dc=example,dc=com
   • パスワード：password
   • サーバタイプ：Active Directory
   • ポート：3268
   • ベースDN:dc=例，dc=com
   [Test Server(s)] ボタンを使用して設定を検証してから続行します。  正常な出力は次のようになります。
   
   

   Connecting to myldapserver.example.com at port 3268
   Bound successfullywithDNCN=ESA,CN=Users,DC=example,DC=com
   Result: succeeded

2. 同じ画面を使用して LDAP 受け入れクエリーを定義します。  次の例では、より一般的な属性である「mail」または「proxyAddresses」と照らし合わせて受信者アドレスをチェックします。

   • 名前：PublicLDAP.accept
   • クエリ文字列：(|(mail={a})(proxyAddresses=smtp:{a}))

   [Test Query] ボタンを使用して、検索クエリーが有効のアカウントを返すことを検証します。  サービス アカウントのアドレス「esa.admin@example.com」の検索の正常な出力は次のようになります。
   
   

   Query results for host:myldapserver.example.com
   Query (mail=esa.admin@example.com) >to server PublicLDAP (myldapserver.example.com:3268)
   Query (mail=esa.admin@example.com) lookup success, (myldapserver.example.com:3268) returned 1 results
   Success: Action: Pass

3.  この新しい受け入れクエリーをインバウンド リスナー（[Network] > [Listeners]）に適用します。  オプション [Queries] > [Accept] を展開し、PublicLDAP.accept クエリーを選択します。
   
   
4. 最後に、変更をコミットしてこれらの設定を有効にします。

CLI：

1. 最初に、ldapconfig コマンドを使用して、アプライアンスのバインド先となる LDAP サーバを定義し、受信者受け入れ（ldapaccept サブコマンド）、ルーティング（ldaprouting サブコマンド）、およびマスカレード（masquerade サブコマンド）のクエリーをを設定します。
   
   
   

   mail3.example.com> ldapconfig    
   No LDAP server configurations.
   Choose the operation you want to perform:    
   - NEW - Create a new server configuration.   
   []> new    
   Please create a name for this server configuration (Ex: "PublicLDAP"):    
   []> PublicLDAP    
   Please enter the hostname:    
   []> myldapserver.example.com    
   Use SSL to connect to the LDAP server? [N]> n    
   Please enter the port number:    
   [389]> 389    
   Please enter the base:   
   [dc=example,dc= com]>dc=example,dc=com   
    Select the authentication method to use for this server configuration:    
   1. Anonymous    
   2. Password based    
   [1]> 2    
   Please enter the bind username:   
   [cn=Anonymous]>cn=ESA,cn=Users,dc=example,dc=com    
   Please enter the bind password:    
   []> password    
   Name: PublicLDAP    
   Hostname: myldapserver.example.com Port 389    
   Authentication Type: password   
   Base:dc=example,dc=com

2. 次に、設定した LDAP サーバに対して実行するクエリーを定義する必要があります。

      

   Choose the operation you want to perform:    
   - SERVER - Change the server for the query.    
   - LDAPACCEPT - Configure whether a recipient address should be accepted or bounced/dropped.    
   - LDAPROUTING - Configure message routing.    - MASQUERADE - Configure domain masquerading.    
   - LDAPGROUP - Configure whether a sender or recipient is in a specified group.    
   - SMTPAUTH - Configure SMTP authentication.    
   []> ldapaccept    
   Please create a name for this query:    
   [PublicLDAP.ldapaccept]> PublicLDAP.ldapaccept    
   Enter the LDAP query string:    
   [(mailLocalAddress= {a})]>(|(mail={a})(proxyAddresses=smtp:{a}))    
   Please enter the cache TTL in seconds:    
   [900]>   
    Please enter the maximum number of cache entries to retain:    
   [10000]>    
   Do you want to test this query? [Y]> n    
   Name: PublicLDAP    
   Hostname: myldapserver.example.com Port 389    
   Authentication Type: password   
   Base:dc=example,dc=com    
   LDAPACCEPT: PublicLDAP.ldapaccept

3. LDAP クエリーを設定したら、インバウンド リスナーに LDAPaccept ポリシーを適用する必要があります。

      

   example.com> listenerconfig    
   Currently configured listeners:    
   1. Inboundmail (on PublicNet, 192.168.2.1) SMTP TCP Port 25 Public    
   2. Outboundmail (on PrivateNet, 192.168.1.1) SMTP TCP Port 25 Private    
   Choose the operation you want to perform:   
   - NEW - Create a new listener.    
   - EDIT - Modify a listener.    
   - DELETE - Remove a listener.    
   - SETUP - Change global settings.    
   []> edit    
   Enter the name or number of the listener you wish to edit.    
   []> 1    
   Name: InboundMail    
   Type: Public    
   Interface: PublicNet (192.168.2.1/24) TCP Port 25    
   Protocol: SMTP    
   Default Domain:    
   Max Concurrency: 1000 (TCP Queue: 50)    
   Domain Map: Disabled    
   TLS: No    
   SMTP Authentication: Disabled    
   Bounce Profile: Default    
   Use SenderBase For Reputation Filters and IP Profiling: Yes    
   Footer: None    
   LDAP: Off    
   Choose the operation you want to perform:    
   - NAME - Change the name of the listener.    
   - INTERFACE - Change the interface.    
   - LIMITS - Change the injection limits.    
   - SETUP - Configure general options.   
   - HOSTACCESS - Modify the Host Access Table.    
   - RCPTACCESS >- Modify the Recipient Access Table.    
   - BOUNCECONFIG - Choose the bounce profile to use for messages injected on this listener.    
   - MASQUERADE - Configure the Domain Masquerading Table.    
   - DOMAINMAP - Configure domain mappings.    
   - LDAPACCEPT - Configure an LDAP query to determine whether a recipient address should be 
   accepted or bounced/dropped.    
   - LDAPROUTING - Configure an LDAP query to reroute messages.    
   []> ldapaccept    Available Recipient Acceptance Queries    
   1. None    
   2. PublicLDAP.ldapaccept    
   [1]> 2    
   Should the recipient acceptance query drop recipients or bounce them?    
   NOTE: Directory Harvest Attack Prevention may cause recipients to be    
   dropped regardless of this setting.    
   1. bounce    
   2. drop    
   [2]> 2    
   Name: InboundMail    
   Type: Public    
   Interface: PublicNet (192.168.2.1/24) TCP Port 25    
   Protocol: SMTP    
   Default Domain:    
   Max Concurrency: 1000 (TCP Queue: 50)   
   Domain Map: Disabled    
   TLS: No    
   SMTP Authentication: Disabled    
   Bounce Profile: Default    
   Use SenderBase For Reputation Filters and IP Profiling: Yes    
   Footer: None    
   LDAP: ldapaccept (PublicLDAP.ldapaccept)

4. リスナーに対して加えた変更を有効にするには、変更をコミットします。