ユーザ情報がネットワーク インフラストラクチャ内の LDAP ディレクトリに格納されている場合は、次の目的で LDAP サーバに対してクエリを実行するように 電子メールゲートウェイを設定できます。

• 受け入れクエリ。既存の LDAP インフラストラクチャを使用して、着信メッセージ（パブリック リスナーでの）の受信者メール アドレスの扱い方を定義できます。詳細については、受信者検証で受け入れクエリを使用するを参照してください。
• ルーティング（エイリアシング）。ネットワーク内の LDAP ディレクトリに格納されている情報に基づいてメッセージを適切なアドレスやメールホストへルーティングするように、 電子メールゲートウェイを設定できます。詳細については、複数ターゲット アドレスへのメール送信にルーティング クエリを使用するを参照してください。
• 証明書認証。ユーザのメールクライアントと 電子メールゲートウェイ間の SMTP セッションを認証するためのクライアント証明書の有効性を確認するクエリを作成できます。詳細については、クライアント証明書の有効性の確認を参照してください。
• マスカレード。発信メールの場合はエンベロープ送信者、着信メールの場合はメッセージ ヘッダー（To:、Reply To:、From:、CC:など）をマスカレードできます。マスカレードの詳細については、エンベロープ送信者を書き換えるためのマスカレード クエリの使用を参照してください。
• グループ クエリ。LDAP ディレクトリ内のグループに基づいてメッセージに対するアクションを実行するように 電子メールゲートウェイを設定できます。このように設定するには、グループ クエリとメッセージ フィルタとを関連付けます。定義済みの LDAP グループに一致するメッセージに対しては、メッセージ フィルタに使用できる任意のメッセージ アクションを実行できます。詳細については、受信者がグループ メンバーであるかどうかを判別するグループ LDAP クエリの使用を参照してください。
• ドメインベース クエリ。ドメインベースクエリを作成すると、 電子メールゲートウェイは同じリスナー上でドメインごとに異なるクエリを実行できます。 電子メールゲートウェイがドメインベースクエリを実行するときは、どのクエリを使用するかをドメインに基づいて決定し、そのドメインに関連付けられている LDAP サーバに対してクエリを実行します。
• チェーン クエリ。チェーンクエリを作成すると、 電子メールゲートウェイに一連のクエリを順番に実行させることができます。チェーンクエリが設定済みのときは、 電子メールゲートウェイでシーケンス内のクエリを 1 つずつ実行し、LDAP アプライアンスから肯定的な結果が返されると実行を停止します。チェーン ルーティング クエリーでは、 電子メールゲートウェイが書き換えられた電子メールアドレスごとに、同じ設定の一連のチェーンクエリーを再実行します。
• ディレクトリ ハーベスト防止。LDAP ディレクトリを使用したディレクトリハーベスト攻撃を防ぐように 電子メールゲートウェイを設定できます。ディレクトリ ハーベスト防止は、SMTP カンバセーション中に行うことも、ワーク キューの中で行うこともできます。受信者が LDAP ディレクトリ内で見つからない場合に、遅延バウンスを実行するか、そのメッセージ全体をドロップするかを設定できます。その結果、スパム送信者はメール アドレスが有効なものかどうかを区別できなくなります。LDAP によるディレクトリ ハーベスト攻撃防止を参照してください。
• SMTP 認証。AsyncOS では、SMTP 認証がサポートされています。SMTP Auth は、SMTP サーバに接続するクライアントを認証するメカニズムです。この機能を利用すると、ユーザはリモート接続するとき（たとえば自宅や出張先にいる場合）でも、メール サーバを使用してメールを送信できるようになります。詳細については、SMTP 認証を行うための AsyncOS の設定を参照してください。
• 外部認証。 電子メールゲートウェイにログインするユーザの認証を LDAP ディレクトリを使用して行うように 電子メールゲートウェイを設定できます。詳細については、ユーザの外部 LDAP 認証の設定を参照してください。
• スパム検疫エンドユーザ認証。エンドユーザ隔離画面にログインするユーザを検証するように、 電子メールゲートウェイを設定できます。詳細については、スパム隔離機能へのエンド ユーザ認証を参照してください。
• スパム検疫エイリアス統合。スパムに関する電子メール通知を使用する場合、このクエリを使用してエンドユーザのエイリアスを統合すると、エンドユーザがエイリアスのメール アドレスごとに隔離通知を受け取ることはなくなります。詳細については、スパム隔離のエイリアス統合クエリを参照してください。

LDAP ディレクトリと 電子メールゲートウェイとを連携させると、受信者受け入れ、メッセージルーティング、およびヘッダーマスカレードに LDAP ディレクトリサーバを使用できます。LDAP グループクエリをメッセージフィルタと併用すると、メッセージが 電子メールゲートウェイで受信されたときの取り扱いに関するルールを作成できます。

次の図は、 電子メールゲートウェイが LDAP とどのように連携するかを示しています。

1. 送信側 MTA からパブリック リスナー「A」に SMTP 経由でメッセージが送信されます。
2. 電子メールゲートウェイは、LDAP サーバに対してクエリを実行します。この LDAP サーバは [システム管理（System Administration）] > [LDAP] ページ（またはグローバル ldapconfig コマンド）で定義されます。
3. データが LDAP ディレクトリから受信されます。リスナーで使用するように [システム管理（System Administration）] > [LDAP] ページ（または ldapconfig コマンド）で定義されたクエリに応じて、次の処理が実行されます。
   • メッセージを新しい受信者アドレスにルーティングするか、ドロップまたはバウンスする
   • メッセージを新しい受信者のメールホストにルーティングする
   • メッセージ ヘッダー From:、To:、CC: をクエリに基づいて書き換える
   • メッセージ フィルタ ルール rcpt-to-group または mail-from-group で定義された、それ以降のアクション（グループ クエリと組み合わせて使用）。

（注）	複数の LDAP サーバに接続するように 電子メールゲートウェイを設定できます。その場合、複数の LDAP サーバを使用して、ロード バランシングやフェールオーバーを行うように LDAP プロファイルを設定できます。複数の LDAP サーバと連携させる方法の詳細については、AsyncOS を複数の LDAP サーバと連携させるための設定を参照してください。

[LDAP サーバプロファイルの追加/編集（Add/Edit LDAP Server Profile）] ページの [テストサーバ（Test Server(s)）] ボタン（または CLI の ldapconfig コマンドの test サブコマンド）を使用して、LDAP サーバへの接続をテストします。サーバ ポートへの接続に成功したか失敗したかを示すメッセージが表示されます。複数の LDAP サーバが設定されている場合は、各サーバのテストが実行されて、結果が個別に表示されます。

メッセージを受信または送信するときに 電子メールゲートウェイが LDAP クエリを実行できるようにするには、該当するリスナーに対して LDAP クエリをイネーブルにする必要があります。

AsyncOS には、Microsoft Exchange 5.5 をサポートするための設定オプションがあります。これよりも新しいバージョンの Microsoft Exchange を使用する場合は、このオプションをイネーブルにする必要はありません。LDAP サーバを設定するときに、Microsoft Exchange 5.5 サポートをイネーブルにするかどうかを選択できます。選択するには、CLI を使用する必要があります。次に示すように、ldapconfig -> edit -> server -> compatibility サブコマンドを実行して、質問に「y」と答えます。

mail3.example.com> ldapconfig

Current LDAP server configurations:

1. PublicLDAP: (ldapexample.com:389)


Choose the operation you want to perform:

- NEW - Create a new server configuration.

- EDIT - Modify a server configuration.

- DELETE - Remove a server configuration.


[]> edit

Enter the name or number of the server configuration you wish to edit.

[]> 1

Name: PublicLDAP

Hostname: ldapexample.com Port 389

Authentication Type: anonymous

Base: dc=ldapexample,dc=com

Choose the operation you want to perform:

- SERVER - Change the server for the query.

- LDAPACCEPT - Configure whether a recipient address should be accepted or
bounced/dropped.

- LDAPROUTING - Configure message routing.

- MASQUERADE - Configure domain masquerading.

- LDAPGROUP - Configure whether a sender or recipient is in a specified group.

- SMTPAUTH - Configure SMTP authentication.

[]> server

Name: PublicLDAP

Hostname: ldapexample.com Port 389

Authentication Type: anonymous

Base: dc=ldapexample,dc=com


Microsoft Exchange 5.5 Compatibility Mode: Disabled

Choose the operation you want to perform:

- NAME - Change the name of this configuration.

- HOSTNAME - Change the hostname used for this query.

- PORT - Configure the port.

- AUTHTYPE - Choose the authentication type.

- BASE - Configure the query base.

- COMPATIBILITY - Set LDAP protocol compatibility options.

[]> compatibility
Would you like to enable Microsoft Exchange 5.5 LDAP compatibility mode? (This is not
recommended for versions of Microsoft Exchange later than 5.5, or other LDAP servers.)


[N]> y

Do you want to configure advanced LDAP compatibility settings? (Typically not required)

[N]>

Name: PublicLDAP

Hostname: ldapexample.com Port 389

Authentication Type: anonymous

Base: dc=ldapexample,dc=com

Microsoft Exchange 5.5 Compatibility Mode: Enabled (attribute "objectClass")

Choose the operation you want to perform:

- NAME - Change the name of this configuration.

- HOSTNAME - Change the hostname used for this query.

- PORT - Configure the port.

- AUTHTYPE - Choose the authentication type.

- BASE - Configure the query base.

- COMPATIBILITY - Set LDAP protocol compatibility options.

[]>

• 受け入れクエリ。詳細については、受信者検証で受け入れクエリを使用するを参照してください。
• ルーティング クエリ。詳細については、複数ターゲット アドレスへのメール送信にルーティング クエリを使用するを参照してください。
• 証明書認証クエリ。詳細については、クライアント証明書の有効性の確認を参照してください。
• マスカレード クエリ。詳細については、エンベロープ送信者を書き換えるためのマスカレード クエリの使用を参照してください。
• グループ クエリ。詳細については、受信者がグループ メンバーであるかどうかを判別するグループ LDAP クエリの使用を参照してください。
• ドメインベース クエリ。詳細については、特定のドメインへルーティングするためのドメイン ベース クエリの使用を参照してください。
• チェーン クエリ。詳細については、一連の LDAP クエリを実行するためのチェーン クエリの使用を参照してください。

次の目的のためにクエリを設定することもできます。

• ディレクトリ ハーベスト防止。詳細については、LDAP クエリについてを参照してください。
• SMTP 認証。詳細については、SMTP 認証を行うための AsyncOS の設定を参照してください。
• 外部認証。 詳細については、ユーザの外部 LDAP 認証の設定を参照してください。
• スパム隔離エンドユーザ認証クエリー。詳細については、スパム隔離機能へのエンド ユーザ認証を参照してください。
• スパム隔離エイリアス統合クエリー。詳細については、スパム隔離のエイリアス統合クエリを参照してください。

指定した検索クエリは、システム上で設定済みのすべてのリスナーに使用できます。

ディレクトリのルート レベルを「ベース」と呼びます。ベースの名前は DN（Distinguishing Name）です。Active Directory（および RFC 2247 に基づく標準）のベース DN のフォーマットでは、DNS ドメインがドメイン コンポーネント（dc=）に変換されます。たとえば、example.com のベース DN は「dc=example, dc=com」です。DNS 名の各部分が順番に表現されることに注意してください。これには、実際の LDAP 設定が反映されることも、されないこともあります。

実際に使用するディレクトリに複数のドメインが含まれている場合は、クエリの対象のベースを 1 つだけ入力するのでは不都合であることもあります。そのような場合は、LDAP サーバ設定を指定するときに、ベースを「NONE」に設定します。ただし、このように設定すると検索の効率が低下します。

LDAP パス内でスペースを使用できます。引用符で囲む必要はありません。CN と DC の構文では、大文字と小文字は区別されません。

Cn=First Last,oU=user,dc=domain,DC=COM

クエリに入力する変数名では、大文字と小文字が区別されます。また、正しく動作するためには、LDAP 実装と一致している必要があります。たとえば、プロンプトで mailLocalAddress と入力したときに実行されるクエリは、maillocaladdress と入力したときとは異なります。

AsyncOS と LDAP サーバとの通信に SSL を使用するように設定できます。SSL を使用するように LDAP サーバ プロファイルを設定した場合の動作は次のようになります。

• AsyncOS は、CLI の certconfig で設定された LDAPS 証明書を使用します（自己署名証明書の作成を参照）。

  LDAP サーバによっては、LDAPS 証明書の使用をサポートするように設定する作業が必要になります。

• 設定済みの LDAPS 証明書がない場合は、デモ証明書が使用されます。

LDAP ルーティング クエリの再帰の制限はありません。ルーティングは完全にデータ ドリブンで行われます。ただし、AsyncOS には、ルーティングの永久ループを防止するために循環参照の有無を調べる機能があります。

匿名クエリを許可するように LDAP ディレクトリ サーバを設定することが必要になる場合があります。（匿名クエリを許可すると、クライアントが匿名でサーバにバインドしてクエリを実行できるようになります。）匿名クエリを許可するように Active Directory を設定する具体的な手順については、Microsoft サポート技術情報 320528 を参照してください。URL は次のとおりです。

http://support.microsoft.com/default.aspx?scid=kb%3Ben-us%3B320528
 

または、認証とクエリ実行専用のユーザを 1 つ用意します。このようにすれば、任意のクライアントから匿名クエリを受け付けるように LDAP ディレクトリ サーバを開放する必要はありません。

ここでは、次の手順について説明します。

• 「匿名」認証を許可するように Microsoft Exchange 2000 サーバをセットアップする方法。
• 「匿名バインド」を許可するように Microsoft Exchange 2000 サーバをセットアップする方法。
• AsyncOS が LDAP データを Microsoft Exchange 2000 サーバから「匿名バインド」と「匿名」認証の両方を使用して取得するようにセットアップする方法。

ユーザ電子メール アドレスを問い合わせるという目的で「匿名」または「匿名バインド」認証を許可するには、Microsoft Exchange 2000 サーバに対して特定のアクセス許可を設定する必要があります。このような設定が非常に役立つのは、SMTP ゲートウェイに対する着信メール メッセージの有効性を検証するために LDAP クエリを使用する場合です。

[LDAPサーバプロファイルを追加/編集（Add/Edit LDAP Server Profile）] ページの [クエリのテスト（Test Query）] ボタン（または CLI の test サブコマンド）を使用して、クエリタイプごとに設定した LDAP サーバに対するクエリをテストします。結果が表示されるだけでなく、クエリ接続テストの各ステージの詳細も表示されます。テストは、クエリ タイプのそれぞれに対して行うことができます。

ldaptest コマンドは、次の例のようにバッチ コマンドとして使用できます。

ldaptest LDAP.ldapaccept foo@ironport.com

LDAP サーバ属性の [ホスト名（Host Name）] フィールドに複数のホストを入力した場合は、各 LDAP サーバに対して 電子メールゲートウェイのテストが行われます。

（注）	クエリに入力する変数名では、大文字と小文字が区別されます。また、正しく動作するためには、LDAP 実装と一致している必要があります。たとえば、プロンプトで mailLocalAddress と入力したときに実行されるクエリは、maillocaladdress と入力したときとは異なります。シスコは、作成したすべてのクエリについて ldapconfig コマンドの test サブコマンドを使用してテストし、正しい結果が返されることを確認するよう強く推奨します。

LDAP サーバが 電子メールゲートウェイから到達不能である場合は、次のエラーのいずれかが表示されます。

• Error: LDAP authentication failed: <LDAP Error "invalidCredentials" [0x31]>
• Error: Server unreachable: unable to connect
• Error: Server unreachable: DNS lookup failure

サーバが到達不能になる原因としては、サーバ設定で入力されたポートの誤りや、ファイアウォールでポートが開いていないことが考えられます。LDAP サーバの通信には一般に、ポート 3268 または 389 が使用されます。Active Directory は、ポート 3268 を使用して、マルチサーバ環境で使用されるグローバル カタログにアクセスします（詳細については、付録の「ファイアウォール情報」を参照してください）。AsyncOS 4.0 では、SSL を使用して（通常はポート 636 で） LDAP サーバと通信する機能が追加されました。詳細については、セキュア LDAP（SSL）を参照してください。

サーバが到達不能になる原因としてはその他に、入力されたホスト名が解決不可能であることが考えられます。

[LDAP サーバ プロファイルを追加/編集（Add/Edit LDAP Server Profile）] ページの [テスト サーバ（Test Server(s)）]（または CLI の ldapconfig コマンドの test サブコマンド）を使用して、LDAP サーバへの接続をテストできます。詳細については、LDAP サーバのテストを参照してください。

LDAP サーバが到達不能である場合：

• LDAP 受け入れまたはマスカレードまたはルーティングがワーク キューに対してイネーブルになっている場合は、メールはワーク キュー内に留まります。
• LDAP 受け入れはイネーブルになっておらず、他のクエリ（グローバル ポリシー チェックなど）がフィルタ内で使用されている場合は、そのフィルタの評価結果が false になります。

次の表に、受け入れクエリの例を示します。

ユーザ名（左側）の検証を行うこともできます。このことが役に立つのは、ディレクトリに格納されていないドメインのメールも受け入れるようにしたい場合です。受け入れクエリを (uid={u}) に設定してください。

LDAPACCEPT と Lotus Notes とを組み合わせる場合は、注意が必要です。Notes LDAP に格納されているユーザの属性が次のように設定されているとします。

mail=juser@example.com


cn=Joe User


uid=juser


cn=123456


location=New Jersey

LDAP ディレクトリに存在しないユーザであるにもかかわらず、Lotus はこのユーザへの電子メールを、指定されたアドレス以外の形式（たとえば Joe_User@example.com）であっても受け入れます。したがって、AsyncOS は、このユーザの有効なユーザ メール アドレスをすべて見つけることはできません。

この解決策の 1 つは、他の形式のアドレスのパブリッシュを試みるというものです。詳細については、Lotus Notes 管理者に問い合わせてください。

(mailLocalAddress={a})

(mail={a})
(mailForwardingAddress={a})
(mailEquivalentAddress={a})
(mailRoutingAddress={a})
(otherMailbox={a})
(rfc822Mailbox={a})

Active Directory の実装によっては、proxyAddresses 属性のエントリが複数存在することがありますが、この属性の値は Active Directory によって smtp:user@domain.com という形式で格納されるため、このデータは LDAP ルーティング/エイリアス拡張には使用できません。ターゲット アドレスはそれぞれ別の attribute:value ペアに存在する必要があります。Microsoft Exchange 環境が同じインフラストラクチャ内に複数あり、互いを認識している場合は、Exchange 環境の間でメールをルーティングするときに、送信元 MTA に戻る方向のルートは通常は必要ありません。

関連項目

• ルーティング：MAILHOST と MAILROUTINGADDRESS

ユーザ環境によっては、LDAP ディレクトリ サーバ スキーマの中に、メール ルーティング アドレスやローカル メール アドレス以外に「フレンドリ名」が含まれていることがあります。AsyncOS では、エンベロープ送信者（発信メールの場合）やメッセージ ヘッダー（受信メールの場合、To:、Reply To:、From:、CC: など）を、この「フレンドリ名」でマスカレードできます。フレンドリ アドレスには、有効な電子メール アドレスでは通常は許可されない特殊文字（引用符、スペース、カンマなど）が含まれていてもかまいません。

LDAP クエリ経由でヘッダーをマスカレードするときに、フレンドリ メール文字列全体を LDAP サーバからの結果で置き換えるかどうかを設定時に選択できます。この動作がイネーブルになっていても、エンベロープ送信者には user@domain 部分のみが使用されることに注意してください（フレンドリ名はルールに反するため）。

標準的な LDAP マスカレードのときと同様に、LDAP クエリの結果が空（長さが 0 またはすべてホワイト スペース）の場合は、マスカレードは行われません。

この機能をイネーブルにするには、LDAP ベースのマスカレード クエリをリスナーに対して設定するときに（[LDAP] ページまたは ldapconfig コマンド）、次の質問に対して「y」と回答します。

Do you want the results of the returned attribute to replace the entire
friendly portion of the original recipient? [N]

たとえば、次のような LDAP エントリがあるとします。

この機能がイネーブルになっている場合に、LDAP クエリが (mailRoutingAddress={a}) で、マスカレード属性が (mailLocalAddress) ならば、次のように置き換えられます。

DHA を防止するには、ドメインだけを Recipient Access Table（RAT; 受信者アクセス テーブル）に入力しておき、LDAP 受け入れ検証を SMTP カンバセーション内で実行します。

SMTP カンバセーション中にメッセージをドロップするには、LDAP 受け入れのための LDAP サーバ プロファイルを設定します。次に、LDAP 受け入れクエリを SMTP カンバセーション中に実行するようにリスナーを設定します。

リスナーで実行する LDAP 受け入れクエリを設定したら、そのリスナーに関連付けられたメール フロー ポリシーの中の DHAP（ディレクトリ ハーベスト攻撃防止）設定を指定する必要があります。

リスナーに関連付けられたメール フロー ポリシーの中で、ディレクトリ ハーベスト攻撃防止のための次の項目を設定します。

• [1時間あたりの無効な受信者の最大数（Max. Invalid Recipients Per hour）]。このリスナーがリモート ホストから受け取る無効な受信者の 1 時間あたりの最大数です。このしきい値は、RAT 拒否の総数を表します。これは、無効な LDAP 受信者宛てのため SMTP カンバセーション中にドロップされたメッセージの総数と、ワーク キュー内でバウンスされたメッセージの合計です。たとえば、しきい値を 5 と設定した場合に、検出された RAT 拒否が 2 件で、無効な LDAP 受信者宛てのためドロップされたメッセージが 3 件であるとします。この時点で、 電子メールゲートウェイはしきい値に到達したと判断して、接続をドロップさせます。デフォルトでは、パブリック リスナーでの 1 時間あたりの受信者の最大数は 25 です。プライベート リスナーの場合は、1 時間あたりの受信者の最大数はデフォルトでは無制限です。この最大数を [無制限（Unlimited）] に設定すると、そのメール フロー ポリシーに対して DHAP はイネーブルになりません。
• [SMTP 対話内で DHAP しきい値に到達した場合、接続をドロップ（Drop Connection if DHAP Threshold is reached within an SMTP conversation）]。ディレクトリハーベスト攻撃防止のしきい値に達したときに 電子メールゲートウェイによって接続をドロップさせるように設定します。
• [時間コードあたりの最大受信者数（Max. Recipients Per Hour Code）]。接続をドロップするときに使用するコードを指定します。デフォルトのコードは 550 です。
• [時間テキストあたりの最大受信者数（Max. Recipients Per Hour Text）]。ドロップした接続に対して使用するテキストを指定します。デフォルトのテキストは「Too many invalid recipients」です。

しきい値に達した場合は、受信者が無効であってもメッセージのエンベロープ送信者にバウンス メッセージが送信されることはありません。

ディレクトリ ハーベスト攻撃（DHA）のほとんどは、ドメインだけを受信者アクセス テーブル（RAT）に入力しておき、LDAP 受け入れ検証をワーク キュー内で実行することによって防止できます。この方法を使用すると、悪意のある送信者が、受信者が有効かどうかを SMTP カンバセーション中に知ることはできなくなります。（受け入れクエリが設定されているときは、システムはメッセージを受け入れて、LDAP 受け入れ検証をワーク キュー内で実行します。）ただし、メッセージのエンベロープ送信者には、受信者が無効である場合にバウンス メッセージが送信されます。

LDAP サーバを使用して認証を行う場合は、[LDAPサーバプロファイルを追加（Add LDAP Server Profile）] または [LDAPサーバプロファイルを編集（Edit LDAP Server Profile）] ページ（または ldapconfig コマンド）でクエリ タイプとして SMTPAUTH を選択して SMTP 認証クエリを作成します。設定する LDAP サーバのそれぞれについて、SMTP 認証プロファイルとして使用する SMTPAUTH クエリを 1 つ設定できます。

SMTP 認証クエリには、「LDAP バインド」と「属性としてのパスフレーズ」の 2 種類があります。「属性としてのパスフレーズ」を使用するときは、 電子メールゲートウェイによって LDAP ディレクトリ内のパスフレーズフィールドが取得されます。パスフレーズは、プレーン テキスト、暗号化、またはハッシュされて格納されている可能性があります。LDAP バインドを使用すると、 電子メールゲートウェイは、クライアントによって提供されたクレデンシャルを使用して LDAP サーバへのログインを試行します。

次の例では、[システム管理（System Administration）] > [LDAP] ページを使用して LDAP 設定「PublicLDAP」を編集し、SMTPAUTH クエリを追加しています。クエリ文字列（uid={u}）は、userPassword 属性と比較するように作成されています。

SMTPAUTH プロファイルの設定が完了すると、そのクエリを SMTP 認証に使用するようにリスナーを設定できます。

電子メールゲートウェイは、 電子メールゲートウェイとユーザのメールクライアント間の SMTP セッションを認証するためにクライアント証明書の使用をサポートします。

SMTP 認証プロファイルを作成する場合は、証明書を確認するときに使用する証明書認証 LDAP クエリを選択します。また、クライアント証明書が使用できなかった場合、 電子メールゲートウェイがユーザを認証するための SMTP AUTH コマンドにフォールバックするかどうかを指定できます。

組織でユーザを認証するためにクライアント証明書を使用する場合、クライアント証明書を持たないユーザがユーザのデータが許可するように指定されている限りメールを送信できるかどうか判断するために、SMTP 認証クエリを使用できます。

SMTP 認証メカニズム（LDAP ベース、SMTP 転送サーバベース、または SMTP 発信）が 電子メールゲートウェイ上で設定されている場合は、以下のイベントがメールログに記録されます。

• （情報）SMTP 認証成功：認証されたユーザと、使用されたメカニズムも記録されます。（プレーン テキストのパスフレーズが記録されることはありません）。
• （情報）SMTP 認証失敗：認証されたユーザと、使用されたメカニズムも記録されます。
• （警告）認証サーバに接続不可能：サーバ名とメカニズムも記録されます。
• （警告）タイムアウトイベント：転送サーバ（アップストリームの、インジェクションを行う 電子メールゲートウェイと通信）が認証要求を待つ間にタイムアウトした場合。

ここでは、Active Directory サーバとエンドユーザ認証クエリの設定の例を示します。この例では、Active Directory サーバに対してパスフレーズ認証を使用し、メール属性は mail と proxyAddresses を使用し、Active Directory サーバに対するエンドユーザ認証にはデフォルトのクエリ文字列を使用します。

ここでは、OpenLDAP サーバとエンドユーザ認証クエリの設定の例を示します。この例では、OpenLDAP サーバに対して匿名認証を使用し、メール属性は mail と mailLocalAddress を使用し、OpenLDAP サーバに対するエンドユーザ認証にはデフォルトのクエリ文字列を使用します。

ここでは、Active Directory サーバとエイリアス統合クエリの設定の例を示します。この例では、Active Directory サーバに対して匿名認証を使用し、Active Directory サーバに対するエイリアス統合用のクエリ文字列を指定し、メール属性は mail を使用します。

(
|(mail={a})(mail=smtp:{a})
)

（注）	この例は、説明のみを目的としています。クエリおよび OU、またはツリー設定は、環境と設定によって異なる場合があります。

ここでは、OpenLDAP サーバとエイリアス統合クエリの設定の例を示します。この例では、OpenLDAP サーバに対して匿名認証を使用し、OpenLDAP サーバに対するエイリアス統合用のクエリ文字列を指定し、メール属性は mail を使用します。

（注）	この例は、説明のみを目的としています。クエリおよび OU、またはツリー設定は、環境と設定によって異なる場合があります。

LDAP クエリが確実に解決されるようにするには、フェールオーバーのための LDAP プロファイルを設定します。LDAP サーバへの接続に失敗した場合、または問い合わせで特定のエラーコード（利用不可やビジーなど）が返される場合、電子メールゲートウェイはリストで指定されている次の LDAP サーバへの問い合わせを試行します。

電子メールゲートウェイは、LDAP サーバリスト内の最初のサーバへの接続を、所定の時間が経過するまで試行します。電子メールゲートウェイがリストの最初の LDAP サーバに接続できない場合、または問い合わせで特定のエラーコード（利用不可やビジーなど）が返される場合、電子メールゲートウェイはリストの次の LDAP サーバへの接続を試行します。デフォルトでは、電子メールゲートウェイは常にリスト内の最初のサーバへの接続を試行し、それ以降の各サーバへの接続を、リスト内で指定されている順に試行します。電子メールゲートウェイが確実にプライマリの LDAP サーバにデフォルトで接続するようにするには、そのサーバが LDAP サーバリストの先頭に入力されていることを確認してください。

電子メールゲートウェイが 2 番目以降の LDAP サーバに接続した場合は、タイムアウトの時間に達するまで、そのサーバに接続したままになります。タイムアウトの時間に達すると、リスト内の最初のサーバへの再接続が試行されます。

（注）	指定された LDAP サーバを問い合わせる試行のみがフェールオーバーします。指定された LDAP サーバに関連付けられた参照サーバまたは継続サーバを問い合わせる試行はフェールオーバーしません。

LDAP 接続をグループ内の LDAP サーバ間に分散させるには、ロード バランシングのための LDAP プロファイルを設定します。

ロードバランシングのための LDAP プロファイルを設定しておくと、電子メールゲートウェイからの接続はリスト内の LDAP サーバに分散されます。接続に失敗したときやタイムアウトしたときは、電子メールゲートウェイは使用可能な LDAP サーバを判断して、使用可能なサーバに再接続します。電子メールゲートウェイは、管理者が設定した最大同時接続数に基づいて、同時に確立する接続の数を決定します。

リストで指定された LDAP サーバの 1 つが応答しなくなった場合は、電子メールゲートウェイからの接続の負荷は残りの LDAP サーバに分散されます。