Exchange Online での基本認証の廃止

長年にわたり、アプリケーションは基本認証を使用してサーバー、サービス、API エンドポイントに接続してきました。 基本認証とは、アプリケーションが要求ごとにユーザー名とパスワードを送信し、それらの資格情報も多くの場合、デバイスに保存または保存されていることを意味します。 従来、基本認証はほとんどのサーバーまたはサービスで既定で有効になっており、簡単に設定できます。

単純さはまったく悪くありませんが、基本認証を使用すると、攻撃者がユーザーの資格情報を簡単にキャプチャできるようになります (特に、資格情報が TLS によって保護されていない場合)。これにより、盗まれた資格情報が他のエンドポイントやサービスに再利用されるリスクが高まります。 さらに、基本認証が有効なままであれば、多要素認証 (MFA) の適用は単純ではなく、場合によっては可能です。

基本認証は時代遅れの業界標準です。 当初、この機能を無効にすると発表して以来、脅威は増加の一途をたどっています （「セキュリティの向上 - 共に」 参照）。より優れた、より効果的なユーザー認証の代替手段があります。

ユーザーとデバイスが企業情報にアクセスするときに、ゼロ トラスト (信用せず、常に検証する) などのセキュリティ戦略を採用するか、リアルタイムの評価ポリシーを適用することを積極的に推奨します。 これらの代替手段を使用すると、ユーザーを偽装する悪いアクターである可能性のある認証資格情報を信頼するのではなく、どのデバイスから何にアクセスしようとしているのかをインテリジェントに判断できます。

これらの脅威とリスクを念頭に置いて、Exchange Onlineのデータ セキュリティを向上させるための措置を講じていました。

変更する内容

Exchange ActiveSync (EAS)、POP、IMAP、リモート PowerShell、Exchange Web サービス (EWS)、オフライン アドレス帳 (OAB)、自動検出、Outlook for Windows、Outlook for MacのExchange Onlineで基本認証を使用する機能が削除されました。

また、使用されていないすべてのテナントで SMTP AUTH を無効にしました。

この決定では、顧客は基本認証を使用するアプリから最新の認証を使用するアプリに移行する必要があります。 最新の認証 (OAuth 2.0 トークン ベースの承認) には、基本認証の問題を軽減するするのに役立つ多くの利点と改善点があります。 たとえば、OAuth アクセス トークンの使用可能期間は限られており、発行先のアプリケーションとリソースに固有であるため、再利用することはできません。 最新の認証では、多要素認証 (MFA) の有効化と設定も簡単に行えます。

この変更はいつ行われましたか?

2021 年の初めから、既存のテナントの基本認証を無効にし、使用状況が報告されなくなりました。

2023 年初めから、任意の種類の拡張機能を持つすべてのテナントに対して基本認証を無効にしました。 タイミングの詳細については、 こちらを参照してください。

メッセージング プロトコルと既存のアプリケーションへの影響

この変更は、さまざまな方法で使用する可能性があるアプリケーションとスクリプトに影響します。

POP、IMAP、および SMTP AUTH

2020 年に、POP、IMAP、および SMTP AUTH の OAuth 2.0 サポートをリリースしました。 一部のクライアント アプリへのUpdatesは、これらの認証の種類をサポートするように更新されています (たとえば、Thunderbird は、21Vianet によって運用Office 365を使用しているお客様向けではありません)、最新バージョンのユーザーは OAuth を使用するように構成を変更できます。 Outlook クライアントが POP と IMAP の OAuth をサポートする予定はありませんが、Outlook は MAPI/HTTP （Windows クライアント）とEWS （Mac 版 Outlook）を使用して接続することができます。

これらのプロトコルを使用して電子メールを送信、読み取り、またはその他の方法で処理するアプリを構築したアプリケーション開発者は、同じプロトコルを維持できますが、ユーザーに対してセキュリティで保護された先進認証エクスペリエンスを実装する必要があります。 この機能は、Microsoft ID プラットフォーム v2.0 の上に構築され、Microsoft 365 メール アカウントへのアクセスをサポートします。

社内アプリケーションがExchange Onlineで IMAP、POP、SMTP AUTH プロトコルにアクセスする必要がある場合は、OAuth 2.0 認証を実装する手順に従います。OAuth を使用して IMAP、POP、または SMTP 接続を認証します。 さらに、PowerShell スクリプト Get-IMAPAccesstoken.ps1 を使用して、共有メールボックスのユース ケースを含む簡単な方法で、OAuth を有効にした後に IMAP アクセスをテストします。

SMTP AUTH は現在使用できるようになりましたが、Exchange Onlineは 2025 年 9 月にクライアント申請 (SMTP AUTH) による基本認証のサポートを完全に削除すると発表しました。 お客様には、できるだけ早く SMTP AUTH で基本認証を使用しないようにすることを強くお勧めします。 代替オプションの詳細については、こちらのお知らせを参照してください。 https://techcommunity.microsoft.com/t5/exchange-team-blog/exchange-online-to-retire-basic-auth-for-client-submission-smtp/ba-p/4114750 認証されたメールを送信するためのその他のオプションには、Microsoft Graph API などの代替プロトコルの使用があります。

Exchange ActiveSync (EAS)

多くのユーザーは、EAS を使用するように設定されたモバイル デバイスを持っています。 基本認証を使用していた場合、この変更の影響を受けます。

Exchange Online に接続するときは、iOS および Android 版 Outlook を使用することをお勧めします。 iOS および Android 版 Outlook は、条件付きアクセスとアプリ保護 (MAM) 機能を有効にする Microsoft Enterprise Mobility + Security (EMS) を完全に統合します。 iOS および Android 版の Outlook は、ユーザーと会社のデータをセキュリティで保護するのに役立ち、先進認証をネイティブにサポートします。

先進認証をサポートする他のモバイル デバイス メール アプリがあります。 すべての一般的なプラットフォーム用の組み込みメール アプリは、通常、先進認証をサポートするため、場合によっては、デバイスが最新バージョンのアプリを実行していることを確認することが解決策です。 電子メール アプリが最新であっても、基本認証を使用している場合は、デバイスからアカウントを削除してから、もう一度追加することが必要な場合があります。

Microsoft Intune を使用している場合は、デバイスにプッシュまたは展開するメール プロファイルを使用して認証の種類を変更できる可能性があります。 iOS デバイス (iPhone および iPad) を使用している場合は、「Microsoft Intune で iOS および iPadOS デバイスの電子メール設定を追加する」 をご覧ください。

次の条件に該当する場合、基本的なモビリティとセキュリティで管理されている iOS デバイスは電子メールにアクセスできません。

• アクセスにマネージド メール プロファイルを要求するようにデバイス セキュリティ ポリシーを構成しました。
• 2021 年 11 月 9 日以降、ポリシーを変更していません (つまり、ポリシーは Basic 認証を引き続き使用しています)。

この日付以降に作成または変更されたポリシーは、先進認証を使用するように既に更新されています。

最新の認証を使用するように 2021 年 11 月 9 日以降変更されていないポリシーを更新するには、ポリシーのアクセス要件を一時的に変更します。 [暗号化されたバックアップが必要] クラウド設定を変更して保存することをお勧めします。これにより、ポリシーが最新の認証を使用するようにアップグレードされます。 変更されたポリシーの状態値が [オン] になると、メール プロファイルがアップグレードされます。 その後、一時的な変更をポリシーに戻します。

Exchange Online PowerShell

Exchange Online PowerShell モジュールがリリースされて以来、モダン認証を使用してコマンド ラインからExchange Online設定と保護設定を簡単に管理できます。 このモジュールでは、先進認証を使用し、Microsoft 365 のすべての Exchange 関連 PowerShell 環境 (Exchange Online PowerShell、セキュリティ & コンプライアンス PowerShell、スタンドアロン Exchange Online Protection (EOP) PowerShell に接続するために多要素認証 (MFA) と連携します。

Exchange Online PowerShell モジュールは、非対話型で使用することもできます。これにより、無人スクリプトを実行できます。 証明書ベースの認証を使用すると、管理者は、サービス アカウントを作成したり、資格情報をローカルに保存したりする必要なくスクリプトを実行できます。 詳細については、「Exchange Online PowerShell モジュールの無人スクリプトのアプリ専用認証」を参照してください。

Exchange Web サービス (EWS)

多くのアプリケーションは、メールボックスと予定表のデータにアクセスするために EWS を使用して作成されています。

2018 年に、Exchange Web サービスは機能更新プログラムを受け取らなくなることを発表しました。アプリケーション開発者は、Microsoft Graph の使用に切り替えることが推奨されました。 「Office 365 向け Exchange Web サービス (EWS) API の今後の変更」 を参照してください。

多くのアプリケーションが Graph に正常に移行されましたが、まだ移行していないアプリケーションの場合、EWS でモダン認証が完全にサポートされていることは注目に値します。 そのため、まだ Graph に移行できない場合は、EWS で先進認証を使用するように切り替えることができます。EWS は最終的に非推奨になります。

詳細については、次を参照してください。

• Exchange Online 用 Exchange Web サービスでの今後の API 非推奨について - Microsoft Tech Community
• OAuth を使用して EWS アプリケーションを認証する
• 基本認証を使用する EWS マネージド API PowerShell スクリプトの操作

Outlook、MAPI、RPC、オフライン アドレス帳 (OAB)

2016 以降のすべてのバージョンの Outlook for Windows では、既定で先進認証が有効になっているため、既に先進認証を使用している可能性があります。 Outlook Anywhere (以前は RPC over HTTP と呼ばれていました) は、MAPI over HTTP を優先して Exchange Online で非推奨になりました。 Outlook for Windows では、MAPI over HTTP、EWS、OAB を使用してメールにアクセスし、空き時間情報と不在を設定し、オフライン アドレス帳をダウンロードします。 これらのプロトコルはすべて先進認証をサポートしています。

Outlook 2007 または Outlook 2010 は先進認証を使用できず、最終的に接続できなくなります。 Outlook 2013 では先進認証を有効にする設定が必要ですが、設定を構成すると、Outlook 2013 は問題なく先進認証を使用できます。 ここで既に発表したように、Outlook 2013 では、Exchange Online に接続するための最小更新レベルが必要です。 「 Microsoft 365 の新しい Outlook for Windows バージョン要件」を参照してください。

Mac 版 Outlook では、先進認証がサポートされています。

Office での先進認証のサポートの詳細については、「Office クライアント アプリの先進認証のしくみ」 を参照してください。

パブリック フォルダーを Exchange Online に移行する必要がある場合は、「先進認証サポートを使用したパブリック フォルダー移行スクリプト」を参照してください。

自動検出

2022 年 11 月に、EAS と EWS がテナントで無効になると、自動検出プロトコルの基本認証を無効にすることを 発表しました 。

クライアント オプション

影響を受けた各プロトコルで使用できるオプションの一部を以下に示します。

プロトコルの推奨事項

Exchange Web サービス (EWS)、リモート PowerShell (RPS)、POP と IMAP、Exchange ActiveSync (EAS) の場合:

• これらのプロトコルを使用して独自のコードを記述した場合 は、基本認証ではなく OAuth 2.0 を使用するようにコードを更新するか、新しいプロトコル (Graph API) に移行します。
• ユーザーまたはユーザーがこれらのプロトコルを使用するサード パーティ製アプリケーションを使用している場合は、このアプリケーションを提供したサード パーティのアプリ開発者に連絡して、OAuth 2.0 認証をサポートするように更新するか、ユーザーが OAuth 2.0 を使用してビルドされたアプリケーションに切り替えるのを支援します。

リソース

詳細については、次の記事をチェックします。

セキュリティの既定値:

• Microsoft Entra IDのセキュリティの既定値
• セキュリティの既定値群を有効にする

Exchange Online 認証ポリシー:

• Microsoft 365 管理センターでの基本認証の管理 (簡易)
• Exchange Online の認証ポリシープロシージャ (詳細設定)

条件付きアクセスのMicrosoft Entra:

• 一般的な条件付きアクセス ポリシー: レガシ認証をブロックする (Simple)
• Microsoft Entra条件付きアクセスを使用してレガシ認証をブロックする (詳細)