クラスタおよびサイトの設定用の SMTP サーバーの設定

Cisco Secure Workload での SMTP サーバー設定では、管理者がクラスタのセットアップ時に [サイト設定（Site Config）] ページから SMTP 設定をアクティブ化または非アクティブ化でき、これにより自動電子メール通知が可能になります。SMTP を有効にすると、管理者は、サーバーの詳細の指定、アラート通知先の電子メールの設定、および必要に応じてユーザー名とパスワードを使用した認証設定を行うことができます。ログイン情報なしの SMTP を使用する場合、サーバーはログイン情報なしで接続しますが、必要に応じて TLS/SSL によるセキュアな接続を適用できます。SMTPを無効にすると、関連するすべての電子メールフィールドは非表示になりますが、管理者およびサポートユーザー向けのログイン情報管理は引き続き利用可能です。アラート電子メールは、アラートコネクタ設定で定義されたデフォルトまたはカスタマイズされた受信者リストに送信されます。

クラスタ内で SMTP サーバーを設定するには、次のいずれかの方法を使用します。

  • 基本的な SMTP 認証

  • Microsoft Modern Authentication（OAuth）

SMTP 設定に Microsoft Modern Authentication（OAuth）を使用するには、まず Secure Workload アプリケーションを Azure Active Directory（Azure AD）に登録し、クライアントシークレットを生成し、その後、API 権限を設定し、クライアントログイン情報による認証を行うための Exchange Online 用サービスプリンシパルを設定します。SMTP サーバの設定は、クラスタの展開時、次のバージョンへのアップグレード時、または設定が変更された際に設定できます。

Azure AD アプリケーション登録とクライアントシークレットの生成

Modern Microsoft Authentication（OAuth 2.0）に基づく承認では、クライアント アプリケーションには、ユーザーに代わってメールを送信する権限など、特定のアクセス許可を付与する必要があります。この処理を行うために、クライアントはまず承認サーバーからアクセストークンを取得する必要があります。Modern Microsoft Authentication の仕様では、このアクセストークンを取得するための複数の付与タイプが定義されています。

  • 承認コード付与：システムを構成するユーザーは、Azure Active Directory などの承認サーバーにリダイレクトされ、認証を行い、Secure Workload がユーザーに代わって電子メールを送信することを明示的に承認します。承認が完了すると、承認コードがアクセストークンと交換されます。

  • クライアントログイン情報：Secure Workload は、ユーザー操作を必要とせず、独自のログイン情報を承認付与として使用して、承認サーバーにアクセストークンを直接要求します。

Modern Microsoft Authentication のフローは、安全な委任型アクセス制御を実現し、Secure Workload がアラート電子メールを送信できるようにします。

Azure Active Directory に Secure Workload をアプリケーションとして登録するには、次の手順を実行します。

手順

ステップ 1

管理者権限を使用して Exchange Online Azure ポータルにログインします。Azure Active Directory に移動し、[Azure Active Directory] > [アプリケーションの登録（App registrations）] > [新規登録（New registration）]を選択します。

次の詳細を入力します。

  • 名前（Name）：アプリケーションの名前を入力します。アプリケーションの用途がわかりやすい名前を指定してください（例：「SMTP サービスアプリケーション」や「CSW SMTP OAuth2」）。

  • サポートされているアカウントタイプ（Supported account types）：組織の要件に合わせてサポートされているアカウントタイプを選択します。組織に基づいてサポートされているアカウントタイプを選択します。次に例を示します。

    • シングルテナント（組織ディレクトリ内のアカウント）

    • マルチテナント（任意の組織ディレクトリ）

    • 個人用 Microsoft アカウント

  • リダイレクト URI（Redirect URI）：クライアント資格情報フローの場合は、空白のままにします。

  • アプリケーションの [概要（Overview）] ページから、クラスタ構成に不可欠な次の ID をコピーします。

    • アプリケーション（クライアント）ID

    • ディレクトリ（テナント）ID

    （注）  

     

    [詳細設定（Advanced settings）] で、[パブリッククライアントフローを許可（Allow public client flows）] を [いいえ（No）] に設定します。

  • [登録（Register）] をクリックしてプロセスを完了します。

ステップ 2

クライアントシークレットを作成します。

  • 新しく登録されたアプリケーションのページで、Azure ポータル内の [管理（Certificates & secrets）] > [証明書と秘密（Certificates & secrets）] を選択します。

  • [新しいクライアント秘密（New client secret）] をクリックして、シークレットの作成を開始します。

    わかりやすい説明を入力し、シークレットの有効期限を指定します。ユースケースに適した有効期限を選択し、セキュリティを強化するためにシークレットを定期的にローテーションすることを推奨します。オプションは次のとおりです。

    • 6 ヵ月

    • 12 ヵ月

    • 24 ヵ月

    • カスタム（セキュリティポリシーに適した有効期限を設定）

  • [追加（Add）] をクリックし、生成されたシークレット値をコピーして保存します。

    （注）  

     

    生成されたシークレット値をコピーした後は、必ず安全な場所に保存してください。シークレットの値はこのページかを離れると再表示されず、後から確認することができません。また、この値は、クラスタ設定に不可欠な情報でもあるため、注意して管理する必要があります。

ステップ 3

クライアントログイン情報付与用の API 権限を設定します。

  • [管理（Manage）] > [API権限（API permissions）] を選択します。

  • [権限を追加（Add a permission）] をクリックし、API（Microsoft Graph やカスタム API など）を選択します。

  • Office 365 Exchange Online を検索して選択します。

  • デーモンまたはサービスアプリケーション向けの アプリケーション権限（Application permissions）を選択します。ユーザーコンテキストで動作する [委任権限（Delegated permissions）] は選択しないでください。

  • 使用するプロトコルに応じて必要な権限を追加します。

  • Azure 管理者が、[管理者の同意を付与（Grant admin consent）] を実行すると、テナント内でアクセス許可が有効になります。

Modern Microsoft Authentication のクライアント資格情報フローにおける SMTP 権限

SMTP を Modern Microsoft Authentication で使用して電子メールを送信するアプリケーションには、次の権限が必要です。

  • 権限名：SMTP.SendAsApp

  • 目的：アプリケーションが OAuth 認証を使用して、ユーザーに代わって SMTP による電子メール送信を行えるようにします。

  • トークンリクエストの範囲：<https://outlook.office365.com/.default>

この権限は、SMTP 送信機能を使用するには、Azure AD アプリケーション登録の [アプリケーション権限（Application permissions）] に追加する必要があります。

サービスプリンシパルと Exchange Online の設定

アプリケーションの登録後、Azure AD はテナント内のアプリケーションのアイデンティティを表すサービスプリンシパルを自動的に作成します。このサービスプリンシパルは、クライアントログイン情報フローを使用して付与された権限でアプリケーションを認証するために使用されます。

Exchange Online にサービスプリンシパルを登録します：

  • New-ServicePrincipal -AppId <ApplicationId> -ObjectId <ObjectId>:

    • <ApplicationId>を、Azure AD からコピーしたアプリケーション（クライアント）ID（手順 1、ポイント 6）に置き換えます。

    • <ObjectId> を、サービスプリンシパルの オブジェクト ID に置き換えます。これは、登録済みアプリケーションのエンタープライズアプリケーションで確認できます。

  • 目的：アプリケーションが OAuth 認証を使用して、ユーザーに代わって SMTP による電子メール送信を行えるようにします。

  • トークンリクエストの範囲：<https://outlook.office365.com/.default>

サービスプリンシパルにメールボックス権限を付与します：

  • Add-MailboxPermission -Identity "user@domain.com" -User <ServicePrincipalId> -AccessRights FullAccess

    • "user@domain.com" を、サービスプリンシパルにアクセスさせたいメールボックスの実際のメールアドレスに置き換えます。

    • <ServicePrincipalId> を、Exchange 上でのサービスプリンシパルの ID に置き換えます。多くの場合、New-ServicePrincipal コマンドで使用した ObjectId または AppId が該当します。使用する値は、Exchange のバージョンや構成によって異なる場合があります。

    これらの手順により、サービスプリンシパルは、Azure AD で付与された権限を利用して、設定に従ってメールを送信したり、メールボックスにアクセスしたりできるようになります。

Secure Workload セットアップでのサイト設定

Azure AD アプリケーションを登録した後、Secure Workload クラスタ用の SMTP サーバーを設定します。設定方法としては、基本 SMTP 設定を使用する方法、または Microsoft Modern Authentication と Microsoft SMTP サーバーを組み合わせて使用する方法のいずれかを選択できます。

このセクションでは、[サイト管理者（Site Admins）] が Secure Workload のセットアッププロセス中にサイトをセットアップする方法について説明します。クラスタのセットアップ中、サイト管理者は [SMTP構成（SMTP Configuration）] スイッチを使用して、SMTP 設定を有効または無効にします。

Secure Workloadソフトウェアリリース 3.10 以降では、電子メールおよび SMTP 関連の設定を管理するために、[サイト設定（Site Config）] ページで電子メール通知を設定できます。

SMTP構成がオフの場合：現在ログインしている管理者ユーザー（読み取り専用）と、そのユーザーの必須のダウンロード可能なリカバリコードを表示します。SMTP 設定を無効にすると、[サイト構成（Site Config）] ページのすべての電子メールおよび SMTP 関連フィールドが構成に使用できなくなります。ただし、[UI管理者ユーザー名（UI Admin Username）] および [UIプライマリ カスタマー サポートのユーザー名（UI Primary Customer Support Username）] フィールドを使用して、パスワードとユーザー名を設定できます。

図 1. ユーザー名とパスワードの設定

フィールド

説明
UI 管理者のユーザー名

組織内で Secure Workload の管理を担当する個人のユーザー名。

このフィールドは、SMTP 構成が無効になっている場合にのみ編集できます。

（注）  

 

入力された UI 管理者ユーザー名がシステムに存在しない場合、同じユーザー名で新しいユーザーが作成され、新しく作成されたユーザーでフィールドが更新されます。
UI 管理者のパスワード

UI クラスタにアクセスするための管理者のパスワードを入力します。パスワードはパスワード基準と一致する必要があります。
UI 管理者のパスワードの確認

UI クラスタにアクセスするための管理者のパスワードを確認します。パスワードは、UI 管理パスワードとして入力したパスワードと一致する必要があります。
リカバリコード

展開中に（展開完了後は [ユーザー設定（User Preferences）] オプションから）サイト管理者用のリカバリコードを生成します。

（注）  

 

リカバリコードは、パスワードを忘れた場合にサイト管理者がパスワードをリセットできるようにするために使用されます。リカバリコードは 1 回だけ使用でき、再生成できます。

UI プライマリ カスタマー サポートのユーザー名

カスタマーサポートのプライマリ連絡先の個人のユーザー名。このユーザー名は、構成時にサポートとのやりとりを合理化するために使用されます。

（注）  

 

プライマリ カスタマー サポートのユーザー名は、[UI管理者のユーザー名（UI Admin Username）] とは異なる必要があります。

UI プライマリ カスタマー サポートのパスワード

UI クラスタにアクセスするための UI プライマリ カスタマー サポートのパスワードを入力します。パスワードはパスワード基準と一致する必要があります。
UI プライマリ カスタマー サポートのパスワードの確認

UI クラスタにアクセスするための UI プライマリ カスタマー サポートのパスワードを確認します。パスワードはパスワード基準と一致する必要があります。

（注）  

電子メールアドレスは大文字と小文字が区別されません。文字が含まれる場合は、小文字バージョンの電子メールを使用します。

SMTP 設定がオンになっている場合：ユーザーは、電子メール通知ツールの設定と SMTP サーバーの設定を設定できます。

図 2. UI 管理者、プライマリカスタマーサポート、アドミラル管理者アラート電子メールの設定

クラスタ内で SMTP サーバーを設定するには、次のいずれかの方法を使用します。

  • 基本的な SMTP 認証

  • Microsoft Modern Authentication（OAuth）

基本的な SMTP 認証方式では、SMTP サーバー、SMTP ユーザー名および SMTP パスワードが認証に使用されます。SMTP の基本設定では、次のパラメータを設定します。

図 3. 認証用の SMTP ユーザー名とパスワード

パラメータ

タイプ

説明
SMTP ユーザ名（SMTP Username）

String

（オプション）SMTP サーバーのユーザー名
SMTP パスワード（SMTP Password）

String

（オプション）ユーザーの SMTP サーバーパスワード（指定されている場合）
SMTP サーバー（SMTP Server）

String

SMTP サーバーの IP アドレスまたはホスト名
SMTP ポート（SMTP Port）

ケース

SMTP サーバーのリスニングポート
セキュア接続（Secure Connection）

チェックボックス（Check box）

アラートの送信元の電子メールアドレス。
[デフォルト受信者（Default Recipients）]

String

カンマで区切られた受信者の電子メールアドレスのリスト

Microsoft Modern Authentication（OAuth）方式では、SMTP ユーザ名とパスワードを認証に使用します。次のパラメータが、Microsoft Modern Authentication 用に設定されます。

図 4. Microsoft Modern Authentication を使用した SMTP の設定

フィールド

説明
SMTP Server

Secure Workload が電子メールを送信するために使用できる SMTP サーバーの名前または IP アドレス。

SMTP ポート（SMTP Port）

上記で指定した SMTP サーバーのポート番号。
SMTP ユーザ名（SMTP Username）

SMTP 認証のユーザー名。
SMTP OAuth テナント ID（SMTP OAuth Tenant ID）

Microsoft Modern Authentication で SMTP を介してメールを操作するためのテナント ID を入力します。これは、Azure アプリケーションからコピーできます。
SMTP OAuth クライアント ID（SMTP OAuth Client ID）

Microsoft Modern Authentication で SMTP を介してメールを操作するためのクライアント ID を入力します。これは、Azure アプリケーションからコピーできます。
SMTP OAuth クライアントシークレット（SMTP OAuth Client Secret）

Microsoft Modern Authentication で SMTP を介してメールを操作するためのクライアントシークレットを入力します。これは、Azure アプリケーションからコピーできます。

フィールド

説明
[UI管理者の電子メール（UI Admin Email）]

組織内で Secure Workload の管理を担当する個人の電子メールアドレス。

[UIプライマリカスタマーサポートの電子メール（UI Primary Customer Support Email）]

プライマリサポートの電子メールアドレス。UI 管理者の電子メールとは別にする必要があります。
[アドミラルアラート電子メール（Admiral Alert Email）]

この電子メールアドレスは、クラスタ正常性に関連するアラートを受信します。UI 管理者の電子メールおよび UI プライマリカスタマサポートの電子メールとは別にする必要があります。

Secure Workload で Microsoft Modern Authentication を使用した SMTP の設定

Secure Workload を Azure AD アプリケーションとして登録した後、Secure Workload クラスタ用の SMTP サーバーを設定します。設定方法としては、基本 SMTP 設定を使用する方法、または Microsoft Modern Authentication と Microsoft SMTP サーバーを組み合わせて使用する方法のいずれかを選択できます。

図 5. クラスタ構成：SMTP 構成

パラメータ

説明
SMTP OAuth クライアント ID（SMTP OAuth Client ID）

Microsoft Modern Authentication で SMTP を介してメールを操作するためのクライアント ID を入力します。これは、Azure アプリケーションからコピーできます。
SMTP OAuth クライアントシークレット（SMTP OAuth Client Secret）

Microsoft Modern Authentication で SMTP を介してメールを操作するためのクライアントシークレットを入力します。これは、Azure アプリケーションからコピーできます。
SMTP OAuth テナント ID（SMTP OAuth Tenant ID）

Microsoft Modern Authentication で SMTP を介してメールを操作するためのテナント ID を入力します。これは、Azure アプリケーションからコピーできます。

SMTP サーバーの設定を行うには、[SMTP 設定（SMTP Configuration）]フィールドの横にある鉛筆アイコンをクリックします。編集チェックをクリックして、編集設定を確認します。SMTP の設定を構成するには、次のいずれかの方法を使用します。

  • SMTP の基本設定

  • Microsoft モダン認証 (OAuth)

基本的な SMTP 認証方式では、SMTP サーバー、SMTP ユーザー名および SMTP パスワードが認証に使用されます。SMTP の基本設定では、次のパラメータを設定します。

図 6. SMTP ユーザ名とパスワードを認証に使用します。

パラメータ

タイプ

説明
SMTP ユーザ名（SMTP Username）

String

（オプション）SMTP サーバーのユーザー名
SMTP パスワード（SMTP Password）

String

（オプション）ユーザーの SMTP サーバーパスワード（指定されている場合）
SMTP サーバー（SMTP Server）

String

SMTP サーバーの IP アドレスまたはホスト名
SMTP ポート（SMTP Port）

ケース

SMTP サーバーのリスニングポート
セキュア接続（Secure Connection）

チェックボックス（Check box）

アラートの送信元の電子メールアドレス。
[デフォルト受信者（Default Recipients）]

String

カンマで区切られた受信者の電子メールアドレスのリスト

Microsoft Modern Authentication（OAuth）方式では、SMTP ユーザ名とパスワードを認証に使用します。次のパラメータが、Microsoft Modern Authentication 用に設定されます。

次の詳細を指定して、Secure Workload クラスタ用の Microsoft Modern Authentication を使用して SMTP サーバーを設定します。

  • クライアント ID（Client ID）：登録時にコピーされたアプリケーション（クライアント）ID。

  • テナント ID（Tenant ID）：事前にコピーしたディレクトリ（テナント）ID。

  • クライアントシークレット（Client Secret）：クライアントシークレットの作成時にコピーされたシークレット値。


    （注）  

    現時点では、Modern Microsoft Authentication でサポートされている値は、SMTP サーバー：office365.microsoft.com と SMTP ポート：587 のみです。

  • Modern Microsoft Authentication シナリオのトークンエンドポイントは次のようになります。

    https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/token

  • クライアントログ委員情報フローで使用する範囲は次のとおりです。

    https://outlook.office365.com/.default
図 7. Microsoft Modern Authentication を使用した SMTP の設定

フィールド

説明
SMTP Server

SMTPサーバーの名前またはIPアドレス。Secure Workloadが電子メールを送信するために使用できます。

SMTP ポート（SMTP Port）

上記で指定した SMTP サーバーのポート番号。
SMTP ユーザ名（SMTP Username）

SMTP 認証のユーザー名。
SMTP OAuth テナント ID（SMTP OAuth Tenant ID）

Microsoft Modern Authentication で SMTP を介してメールを操作するためのテナント ID を入力します。これは、Azure アプリケーションからコピーできます。
SMTP OAuth クライアント ID（SMTP OAuth Client ID）

Microsoft Modern Authentication で SMTP を介してメールを操作するためのクライアント ID を入力します。これは、Azure アプリケーションからコピーできます。
SMTP OAuth クライアントシークレット（SMTP OAuth Client Secret）

Microsoft Modern Authentication で SMTP を介してメールを操作するためのクライアントシークレットを入力します。これは、Azure アプリケーションからコピーできます。