メールアーカイブ連携設定の全体像
メールアーカイブをIT環境へ統合する際、設定すべき連携は大きく4つに分類できます。(1)メールデータを自動収集するための転送設定、(2)ユーザー管理を一元化するためのディレクトリ同期設定、(3)ログイン操作を簡略化するための認証連携設定、(4)監査ログを一元管理するためのセキュリティツール連携設定です。各設定は相互に依存する場合があるため、転送設定やユーザー同期など前提条件を確認したうえで段階的に実装できます。
連携設定の優先順位と依存関係
設定は転送設定→ディレクトリ同期→認証連携・セキュリティ連携の順が標準的です。転送設定が完了していないとアーカイブ自体が機能しないため最初に確実に完了させてください。SAML連携は社内IdPの整備が前提で、未導入の場合は構築コストも考慮が必要です。
設定前に確認すべき環境情報
設定前に次の情報を整理しておくと作業がスムーズです。ベンダーと共有することで初期設定サポートを効率よく受けられます。
| 確認項目 | 確認内容の例 |
|---|---|
| メール基盤の種類 | Microsoft 365 / Google Workspace / オンプレミスExchange など |
| ディレクトリサービス | Active Directory / Azure AD（Entra ID）/ LDAPサーバーのバージョン |
| IdPの種類 | Azure AD / Okta / Google IdP など、SAML 2.0対応状況 |
| SIEMツール | Splunk / IBM QRadar / Microsoft Sentinel など |
| ネットワーク構成 | オンプレミス・クラウド・ハイブリッドの別、プロキシ・ファイアウォール設定 |
M365ジャーナルルールの設定手順
M365環境でメールアーカイブを運用する主要な転送方式がExchange Onlineのジャーナルルール機能です。送受信されたメールのコピーを自動的に外部アーカイブへ転送する仕組みで、一度設定すれば手動操作なしで継続的に記録されます。
ジャーナルルール設定の準備と手順
事前にアーカイブシステムからジャーナリング受信用メールアドレスを取得し、Exchange Online管理センターへのアクセス権限（グローバル管理者またはコンプライアンス管理者ロール）を確認してください。設定手順は以下のとおりです。
- ●Microsoft Purview コンプライアンス ポータル、またはクラシック Exchange 管理センターを開く
- ●「コンプライアンス管理」→「ジャーナル ルール」→「＋追加」でルールを新規作成
- ●「ジャーナルの宛先」にアーカイブシステムから発行された受信アドレスを入力
- ●「このルールを適用する場合」で対象範囲（すべて・内部・外部）を選択
- ●「ルールの適用先」で対象メールボックスまたはグループを指定し「保存」をクリック
設定後はテストメールを送信してアーカイブ管理画面で受信を確認してください。
対象範囲の設計パターンと推奨設定
コンプライアンス要件に応じた主な設計パターンは以下のとおりです。
| パターン | 対象範囲 | 適した用途 |
|---|---|---|
| 全社一括アーカイブ | すべてのメールボックスxすべてのメッセージ | 法的保全義務がある業種、内部監査強化 |
| 役員・管理職のみ | 特定グループxすべてのメッセージ | 限定的なコンプライアンス対応、コスト抑制 |
| 外部メールのみ | すべてのメールボックスx外部メッセージ | 情報漏えい対策・外部コミュニケーション記録 |
法的要件がある場合は、対象範囲・保存対象・保持期間を確認したうえで、全社一括アーカイブを含めて検討します。ジャーナルルールは原則1本で全社をカバーし、保持ポリシーの細分化はアーカイブシステム側で行う設計が運用しやすい構成です。範囲を絞る場合は後から拡張できるかを事前に確認してください。
AD同期の推奨設定値とLDAPS設定
ADまたはAzure AD（Entra ID）とメールアーカイブを同期することで、ユーザーの追加・削除・権限変更をディレクトリ側の操作だけで完結させられます。AD同期エラー（アカウント消失・データ断絶など）の対策は記事871「メールアーカイブの連携エラーを防ぐ--原因別の確認ポイントと対策まとめ」を参照してください。
LDAP/LDAPS接続の推奨設定値
オンプレミスADとの接続はLDAPS（LDAP over SSL/TLS）を使用してください。主な推奨値は以下のとおりです。
| 設定項目 | 推奨値・設定内容 |
|---|---|
| 接続プロトコル | LDAPS（ポート636）を使用。LDAPポート389は使用しない |
| TLSバージョン | TLS 1.2以上を指定。TLS 1.0・1.1は無効化 |
| バインドアカウント | 読み取り専用の専用サービスアカウントを作成し、最小権限で運用 |
| 検索ベースDN | 同期対象のOUを明示的に指定。ルートDNからの全探索は避ける |
| ユーザー識別属性 | objectGUID（変更されにくい）を主識別子として設定 |
| 同期間隔 | 15～60分間隔の定期同期を推奨。リアルタイム同期はAD側の負荷を考慮 |
| タイムアウト値 | 接続タイムアウト30秒、操作タイムアウト120秒を目安に設定 |
ユーザー識別属性にobjectGUIDを使うことが重要です。メールアドレスやOU名を識別子にすると、部署異動やアドレス変更のたびに別ユーザーと認識され、過去データへのアクセスが断絶するリスクがあります。
Azure AD（Entra ID）連携の設定手順
クラウドのAzure AD（Entra ID）と連携する場合はSCIM（System for Cross-domain Identity Management）プロトコルが主流です。Azureポータルの「Entra ID」→「エンタープライズアプリケーション」でアーカイブシステムのアプリを登録し、「プロビジョニング」タブでSCIMを選択してアーカイブ側から取得したテナントURLとシークレットトークンを入力します。属性マッピングで同期対象（表示名・メールアドレス・部署など）を確認し、スコープで対象ユーザーまたはグループを指定したら「プロビジョニングの開始」で初回同期を実行してください。同期後は「プロビジョニングログ」でエラーを確認してください。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でメールアーカイブの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
SAML設定例｜IdPとSPのメタデータ交換手順
SAML 2.0によるSSO設定で、社員は一度のログインでアーカイブにアクセスでき、IT管理者はIdP側で退職者のアクセスを即座に停止できます。Azure ADをIdP、メールアーカイブをSP（Service Provider）とした設定例を解説します。
SAML設定に必要な情報と収集手順
設定前に、IdP側とSP側の両方から必要な情報を取得します。
| 取得元 | 取得する情報 | 用途 |
|---|---|---|
| メールアーカイブ（SP）側 | エンティティID（Issuer URL） | IdPへの登録に使用 |
| メールアーカイブ（SP）側 | ACS URL（Assertion Consumer Service URL） | IdPからの認証応答の送信先 |
| メールアーカイブ（SP）側 | SPメタデータXMLファイル | IdPへのアプリ登録に使用（任意） |
| Azure AD（IdP）側 | ログインURL（SAML SSO URL） | SPの認証リクエスト送信先 |
| Azure AD（IdP）側 | Azure AD識別子（Issuer URL） | SPへのIdP情報設定に使用 |
| Azure AD（IdP）側 | SAML署名証明書（Base64形式） | SPでのSAMLレスポンス署名検証 |
Azure ADでのSAMLアプリ登録手順
Azureポータルで「Entra ID」→「エンタープライズアプリケーション」→「新しいアプリケーション」を開き、ギャラリーにアーカイブシステムがなければ「独自のアプリケーションを作成」を選択します。「シングルサインオン」→「SAML」を選び、「基本的なSAML構成」にSP側のエンティティIDとACS URLを入力して保存します。「SAML証明書」セクションからフェデレーションメタデータXMLをダウンロードし、ログインURL・識別子・証明書をアーカイブのSSO設定画面へ入力して保存し、テストユーザーで動作確認してください。証明書は期限60日前に更新作業を計画してください。期限切れになるとSSO全体が停止します。
SIEMへのログ転送設計パターン
SIEMとメールアーカイブを連携させることで、メールの送受信ログや検索・アクセス履歴をセキュリティ監視の一元管理基盤に取り込めます。API制限超過やタイムアウトなどのエラー対策については、記事871「メールアーカイブの連携エラーを防ぐ──原因別の確認ポイントと対策まとめ」を参照してください。
転送方式の選択：Syslog転送とAPI転送の比較
SIEMへのログ転送方式は「Syslog転送」と「API転送（ポーリング型）」の2種類があります。自社環境に合った方式を選んでください。
| 方式 | 特徴 | 適した環境・用途 |
|---|---|---|
| Syslog転送 | 発生したイベントをリアルタイムでSIEMへプッシュ送信。設定がシンプル | オンプレミス・ハイブリッド環境、リアルタイム監視が必要な場合 |
| API転送（ポーリング型） | SIEMが一定間隔でアーカイブのAPIを呼び出してログを取得。クラウドサービスに多い | クラウド型アーカイブ、APIが充実したサービス |
Syslog転送の推奨設定値
主な推奨設定値は以下のとおりです。
| 設定項目 | 推奨値・設定内容 |
|---|---|
| 転送プロトコル | TCP（信頼性のある転送）。UDPはパケットロストが発生しうるため本番環境には非推奨 |
| ポート番号 | TLS暗号化Syslogの場合は6514番（RFC 5425）。非暗号化の場合は514番 |
| ログフォーマット | RFC 5424形式（構造化ログ）。SIEM側の解析器（パーサー）と合わせて選択 |
| ログレベル | 監査目的の場合はINFO以上を転送。デバッグレベルはSIEMのストレージを圧迫するため除外 |
| 暗号化 | TLS 1.2以上で通信を暗号化。証明書の検証を有効にする |
| バッファリング | SIEM側の受信が一時停止した場合に備え、アーカイブ側でバッファリング設定を確認 |
SIEM側のパーサー（ログ解析モジュール）はアーカイブのログフォーマットに合わせて設定します。Splunkなら対応Add-on、Microsoft Sentinelならデータコネクタを確認し、アーカイブ製品に対応したものを活用してください。
よくある疑問（FAQ）
連携設定に関してよく寄せられる疑問をまとめました。
- ■Q1：M365のジャーナルルールを設定したのにアーカイブにメールが届かない場合、どこから確認すべきですか？
- Exchange Online管理センターでルールが「有効」になっているか確認し、ジャーナリング受信アドレスのタイプミスがないかを確認してください。アーカイブ側の管理画面で「受信試行はあるが処理失敗」か「到達していない」かを切り分けると原因が絞れます。Exchange Onlineのメッセージ追跡ログも転送処理の詳細確認に役立ちます。
- ■Q2：AD同期の「同期間隔」はどの程度が適切ですか？
- 15～60分間隔の定期同期が一般的な推奨値です。間隔を短くするほどADサーバーへの問い合わせ負荷が増えます。SCIMを使ったMicrosoft Entra ID連携では、自動プロビジョニングにより定期的に同期できます。クラウド移行済みの環境ではAzure AD経由の構成を検討してください。期初・期末など組織変更が集中する時期は手動同期で即時反映させる運用が有効です。
- ■Q3：SAML設定でSSOが機能しない場合、確認すべき項目はどれですか？
- 確認すべき点は主に3点です。(1) IdP側のエンティティID・ACS URLとSP側の設定が完全に一致しているか（末尾スラッシュの有無も含む）。(2) IdPからダウンロードしたSAML署名証明書がSP側に正しく登録されているか。(3) IdP側でテストユーザーがアプリケーションに割り当てられているか。設定値はコピー&ペーストで入力してタイプミスを防いでください。Azure ADの場合は「シングルサインオン」画面の「テスト」ボタンでエラー内容を確認できます。
まとめ
メールアーカイブの連携設定は、M365ジャーナルルール、AD/Azure ADディレクトリ同期、SAMLによるSSO、SIEMへのログ転送の4つが主要項目です。各設定で推奨値を基準にしながら自社環境・コンプライアンス要件に合わせてカスタマイズしてください。正常系設定を確実に整えた上で、エラー発生時の対処手順を準備しておくことで安定した運用が実現します。製品選定の際は設定の容易さとドキュメントの充実度も確認してください。
