メール ポリシーとコンテンツ フィルタのアクセス権限では、E メール セキュリティ アプライアンス上の送受信メール ポリシーとコンテンツ フィルタへの委任管理者のアクセス レベルを定義します。特定のメール ポリシーとコンテンツ フィルタをカスタム ユーザ ロールに割り当て、そのロールに属する委任管理者、および Operator と Administrator だけがメール ポリシーとコンテンツ フィルタを管理できるようにすることができます。

このアクセス権限を持つすべての委任管理者は、デフォルトの送受信メール ポリシーを表示できますが、すべてのアクセス権限を持っている場合のみそれらのポリシーを編集できます。

アクセス権限を持つすべての委任管理者は、それぞれのメール ポリシーで使用する新しいコンテンツ フィルタを作成できます。委任管理者が作成したコンテンツ フィルタは、そのカスタム ユーザ ロールに割り当てられているの他の委任管理者が使用できます。いずれのカスタム ユーザ ロールにも割り当てられていないコンテンツ フィルタはパブリックであり、メール ポリシーのアクセス権限を持つすべての委任管理者が表示できます。Operator や Administrator が作成したコンテンツ フィルタは、デフォルトでパブリックです。委任管理者は、それぞれのカスタム ユーザ ロールに割り当てられているメール ポリシーの既存のコンテンツ フィルタはすべてイネーブルまたはディセーブルにできますが、パブリック コンテンツ フィルタは変更も削除もできません。

委任管理者が自分のポリシー以外のメール ポリシーで使用されているコンテンツ フィルタを削除した場合、またはそのコンテンツ フィルタが他のカスタム ユーザ ロールに割り当てられている場合、AsyncOS はそのコンテンツ フィルタをシステムから削除しません。代わりに、AsyncOS はそのカスタム ユーザ ロールからコンテンツ フィルタのリンクを解除し、委任管理者のメール ポリシーから削除します。そのコンテンツ フィルタは、他のカスタム ユーザ ロールとメール ポリシーでは引き続き使用可能です。

委任管理者は、それぞれのコンテンツ フィルタで任意のテキスト リソースやディクショナリを使用できますが、GUI で [テキスト リソース（Text Resources）] ページや [ディクショナリ（Dictionaries）] ページにアクセスして、それらを表示または変更することはできません。委任管理者は、新しいテキスト リソースやディクショナリを作成することもできません。

送信メール ポリシーの場合、委任管理者は DLP ポリシーをイネーブルまたはディセーブルできますが、DLP ポリシーの権限も持っている場合を除き、DLP の設定をカスタマイズすることはできません。

メール ポリシーとコンテンツ フィルタ用の以下のアクセス レベルのいずれかをカスタム ユーザ ロールに割り当てることができます。

• アクセスなし（No access）：委任管理者は、E メール セキュリティ アプライアンスのメール ポリシーとコンテンツ フィルタを表示も編集もできません。
• 割り当てられた隔離を表示、割り当てられた隔離を編集（View assigned, edit assigned）：委任管理者はカスタム ユーザ ロールに割り当てられているメール ポリシーとコンテンツ フィルタを表示および編集でき、新しいコンテンツ フィルタを作成できます。委任管理者は、ポリシーのスパム対策、ウイルス対策、およびアウトブレイク フィルタの設定を編集できます。委任管理者はポリシーに対してそれぞれのコンテンツ フィルタをイネーブルにでき、責任があるものかどうかに関係なく、そのポリシーに割り当てられている既存のコンテンツ フィルタをディセーブルにできます。委任管理者はメール ポリシーの名前、その送信者、受信者、またはグループを変更することはできません。委任管理者は、それぞれのカスタム ユーザ ロールに割り当てられているメール ポリシーのコンテンツ フィルタの順序を変更できます。
• すべてを表示、割り当てられた隔離を編集（View all, edit assigned）：委任管理者は、アプライアンスのすべてのメール ポリシーとコンテンツ フィルタを表示できますが、そのカスタム ユーザ ロールに割り当てられているもののみ編集できます。

すべてを表示、すべてを編集(フルアクセス)（View all, edit all (full access)）：委任管理者は、アプライアンスのすべてのメール ポリシーとコンテンツ フィルタ（デフォルトのメール ポリシーを含む）に対するすべてのアクセス権限を持ち、新しいメール ポリシーを作成できます。委任管理者は、すべてのメール ポリシーの送信者、受信者、およびグループを変更できます。メール ポリシーの順序を変更することもできます。

[ユーザの役割（User Roles）] ページの [電子メールセキュリティ マネージャ（Email Security Manager）] または [代表管理者用のカスタムのユーザ役割（Custom User Roles for Delegated Administration）] テーブルを使用して、個々のメール ポリシーとコンテンツ フィルタをカスタム ユーザ ロールに割り当てることができます。

[代表管理者用のカスタムのユーザ役割（Custom User Roles for Delegated Administration）] テーブルを使用したメール ポリシーとコンテンツ フィルタの割り当ての詳細については、カスタム ユーザ ロールの責任のアップデートを参照してください。

DLP ポリシーのアクセス権限では、E メール セキュリティ アプライアンスの DLP Policy Manager を介した DLP ポリシーへの委任管理者のアクセス レベルを定義します。DLP ポリシーを特定のカスタム ユーザ ロールに割り当て、オペレータと管理者に加えて、委任管理者にそれらのポリシーを管理させることができます。DLP アクセス権を持つ委任管理者は、データ消失防止の Global Settings ページから DLP 設定ファイルをエクスポートできます。

委任管理者がメール ポリシー権限も保持している場合は、 DLP ポリシーをカスタマイズできます。委任管理者は、それぞれの DLP ポリシーの任意のカスタム DLP ディクショナリを使用できますが、カスタム DLP ディクショナリは表示も変更もできません。

DLP ポリシー用の以下のアクセス レベルのいずれかをカスタム ユーザ ロールに割り当てることができます。

• アクセスなし（No access）：委任管理者は E メール セキュリティ アプライアンスの DLP ポリシーを表示も編集もできません。
• 割り当てられた隔離を表示（View assigned）、割り当てられた隔離を編集（edit assigned）：委任管理者は DLP Policy Manager を使用して、カスタム ユーザ ロールに割り当てられている DLP ポリシーを表示および編集できます。委任管理者は、DLP Policy Manager 内の DLP ポリシーの名前変更も順序変更もできません。委任管理者は DLP 設定をエクスポートできます。
• すべてを表示（View all）、割り当てられた隔離を編集（edit assigned）：委任管理者はカスタム ユーザ ロールに割り当てられている DLP ポリシーを表示および編集できます。委任管理者は DLP 設定をエクスポートできます。委任管理者は、そのカスタム ユーザ ロールに割り当てられていない DLP ポリシーをすべて表示できますが、編集することはできません。委任管理者は、DLP Policy Manager 内の DLP ポリシーの順序変更やポリシー名の変更はできません。
• すべてを表示、すべてを編集（フルアクセス）（View all, edit all (full access)）：委任管理者は、アプライアンスのすべての DLP ポリシーに対するすべてのアクセス権限を持ち、新しいポリシーを作成することもできます。委任管理者は、DLP Policy Manager 内の DLP ポリシーの順序を変更できます。また、アプライアンスで使用する DLP モードを変更できません。

[ユーザの役割（User Roles）] ページの [DLPポリシーマネージャ（DLP Policy Manager）] または [代表管理者用のカスタムのユーザ役割（Custom User Roles for Delegated Administration）] テーブルを使用して、個々の DLP ポリシーをカスタム ユーザ ロールに割り当てることができます。

DLP ポリシーや DLP Policy Manager の詳細については、データ損失の防止を参照してください。

[代表管理者用のカスタムのユーザ役割（Custom User Roles for Delegated Administration）] の一覧を使用して DLP ポリシーを割り当てる方法の詳細については、カスタム ユーザ ロールの責任のアップデートを参照してください。

電子メール レポーティングのアクセス権限では、カスタム ユーザ ロールのメール ポリシー、コンテンツ フィルタ、および DLP ポリシーへのアクセス権限に従い、委任管理者が表示できるレポートと [電子メール セキュリティ モニタ（Email Security Monitor）] ページを定義します。それらのレポートは割り当てられているポリシーに対してフィルタリングされていません。委任管理者は、自分が責任を負っていないメールと DLP ポリシーのレポートを表示できます。

電子メール レポーティング用の以下のアクセス レベルのいずれかをカスタム ユーザ ロールに割り当てることができます。

• アクセスなし（No access）：委任管理者は、E メール セキュリティ アプライアンスのレポートを表示できません。
• 関連するレポートを表示（View relevant reports）：委任管理者は、[電子メール セキュリティ モニタ（Email Security Monitor）] ページにあるそれぞれのメール ポリシー、コンテンツ フィルタ、および DLP ポリシーのアクセス権限に関連するレポートを表示できます。メール ポリシーとコンテンツ フィルタのアクセス権限がある委任管理者は、以下の [電子メール セキュリティ モニタ（Email Security Monitor）] ページを表示できます。
  • 概要
  • 受信メール
  • 送信先
  • 送信者（Outgoing Senders）
  • 内部ユーザ
  • コンテンツ フィルタ
  • ウイルス アウトブレイク（Virus Outbreaks）
  • ウイルスの種類

  • アーカイブ レポート（Archived Reports）

  DLP ポリシーのアクセス権限がある委任管理者は、以下の [電子メール セキュリティ モニタ（Email Security Monitor）] ページを表示できます。

  • 概要
  • DLP インシデント（DLP Incidents）
  • アーカイブ レポート（Archived Reports）
• すべてのレポートを表示（View all reports）：委任管理者は、E メール セキュリティ アプライアンスのすべてのレポートと [電子メール セキュリティ モニタ（Email Security Monitor）] ページを表示できます。

電子メール レポーティングと [電子メール セキュリティ モニタ（Email Security Monitor）] の詳細については、電子メール セキュリティ モニタの使用方法の章を参照してください。

メッセージ トラッキングのアクセス権限では、カスタム ユーザ ロールに割り当てられている委任管理者がメッセージ トラッキングへのアクセス権限を持つかどうかを定義します。メッセージ トラッキングには、[システム管理（System Administration）] > [ユーザ（Users）] ページで [DLP トラッキング ポリシー（DLP Tracking Policies）] オプションがイネーブルになっていて、カスタム ユーザ ロールに DLP ポリシーのアクセス権限もある場合に、組織の DLP ポリシー違反となる可能性があるメッセージの内容も含まれます。

委任管理者はそれぞれに割り当てられている DLP ポリシーに対する DLP 違反のみ検索できます。

メッセージ トラッキングの詳細については、メッセージ トラッキングを参照してください。

委任管理者に、メッセージ トラッキング内の一致した DLP の内容を表示するためのアクセスを許可する方法の詳細については、メッセージ トラッキングでの機密情報へのアクセスの制御を参照してください。

トレースのアクセス権限では、カスタム ユーザ ロールに割り当てられている委任管理者がトレースを使用して、システムを介したメッセージ フローをデバッグできるかどうかを定義します。アクセス権限がある委任管理者は、トレースを実行して、生成されるすべての出力を表示できます。トレース結果は、委任管理者のメールまたは DLP ポリシー権限に基づきフィルタリングはされません。

トレースの使用方法の詳細については、テスト メッセージを使用したメール フローのデバッグ：トレースを参照してください。

隔離のアクセス権限では、委任管理者が割り当てられた隔離を管理できるかどうかを定義します。委任管理者は、割り当てられた隔離内の任意のメッセージを表示して、メッセージの解放や削除などのアクションを実行できますが、隔離の設定（サイズ、保存期間など）の変更、隔離の作成や削除はできません。

[モニタ（Monitor）] > [隔離（Quarantines）] ページまたは [ユーザの役割（User Roles）] ページの [代表管理者用のカスタムのユーザ役割（Custom User Roles for Delegated Administration）] テーブルを使用して、任意の隔離をカスタム ユーザ ロールに割り当てることができます。

管理ユーザに隔離管理タスクを割り当てる方法については、メッセージ処理タスクの他のユーザへの割り当てについてとスパム隔離への管理ユーザ アクセスの設定を参照してください。

[代表管理者用のカスタムのユーザ役割（Custom User Roles for Delegated Administration）] 一覧を使用して隔離を割り当てる方法の詳細については、カスタム ユーザ ロールの責任のアップデートを参照してください。

暗号化プロファイルのアクセス権限では、委任管理者がコンテンツ フィルタまたは DLP ポリシーの編集時に、それぞれのカスタム ユーザ ロールに割り当てられている暗号化プロファイルを使用できるかどうかを定義します。暗号化プロファイルは、メールまたは DLP ポリシーのアクセス権限があるカスタム ユーザ ロールにのみ割り当てることができます。カスタム ロールに割り当てられない暗号化プロファイルは、メールまたは DLP ポリシー権限を持つすべての委任管理者が使用できます。委任管理者はいずれの暗号化プロファイルも表示または変更できません。

暗号化プロファイルは、[セキュリティ サービス（Security Services）] > [IronPort メール暗号化（IronPort Email Encryption）] ページを使用して暗号化プロファイルを作成または編集するときに割り当てることができます。

E メール セキュリティ アプライアンスに接続可能なマシンの IP アドレス、サブネット、または CIDR アドレスを指定できます。ユーザは、アクセス リストの IP アドレスを持つすべてのマシンから、アプライアンスにアクセスできます。リストに含まれていないアドレスからアプライアンスに接続しようとするユーザのアクセスは拒否されます。

リモート ユーザのマシンと E メール セキュリティ アプライアンスの間で逆プロキシ サーバが使用される組織のネットワークの場合、AsyncOS ではアプライアンスに接続可能なプロキシの IP アドレスを含むアクセス リストを作成できます。

逆プロキシを使用している場合でも、AsyncOS は、ユーザ接続が許可されている IP アドレスのリストと照合して、リモート ユーザのマシンの IP アドレスを検証します。リモート ユーザの IP アドレスを E メール セキュリティ アプライアンスに送信するには、プロキシで x-forwarded-for HTTP ヘッダーをアプライアンスへの接続要求に含める必要があります。

x-forwarded-for ヘッダーは RFC 非準拠の HTTP ヘッダーであり、次の形式になります。

x-forwarded-for: client-ip, proxy1, proxy2,...CRLF .

このヘッダーの値はカンマ区切りの IP アドレスのリストです。左端のアドレスがリモート ユーザ マシンのアドレスで、その後に、接続要求を転送した一連の各プロキシのアドレスが続きます（ヘッダー名は設定可能です）。E メール セキュリティ アプライアンスは、ヘッダーのリモート ユーザの IP アドレスおよび接続プロキシの IP アドレスを、アクセス リストで許可されたユーザ IP アドレスやプロキシ IP アドレスと照合します。

（注）	AsyncOS は x-forwarded-for ヘッダーでは IPv4 アドレスだけをサポートします。

注意：次のいずれかの条件が true の場合、ネットワーク アクセスの変更を送信して確定した後、アプライアンスにアクセスできなくなることがあります。

• [特定の接続のみを許可（Only Allow Specific Connections）] を選択した場合は、現在のマシン（クラスタ化環境内の PC、E メール セキュリティ アプライアンス、またはセキュリティ管理アプライアンスなど）の IP アドレスをリストに含めないでください。
• [特定のプロキシ経由接続のみを許可（Only Allow Specific Connections Through Proxy）] を選択し、現在アプライアンスに接続されているプロキシの IP アドレスがプロキシ リストに存在せず、許可されている IP アドレスのリストに送信元 IP ヘッダーの値が存在しない場合。
• [特定の直接接続またはプロキシ経由接続のみを許可（Only Allow Specific Connections Directly or Through Proxy）] を選択し、

  • 許可されている IP アドレスのリストに送信元 IP ヘッダーの値が存在しない場合

    または

  • 許可されている IP アドレスのリストに送信元 IP ヘッダーの値が存在せず、アプライアンスに接続されたプロキシの IP アドレスが許可されているプロキシのリストに存在しない場合。