フェデレーション信頼を構成する

  • [アーティクル]

製品: Exchange Server 2013

フェデレーション信頼は、Microsoft Exchange 2013 組織と Microsoft Entra 認証システムの間に信頼関係を確立します。 フェデレーション信頼を構成すると、他の Exchange フェデレーション組織とのフェデレーション共有を構成して、受信者間で予定表の空き時間情報を共有できます。 フェデレーション共有は、2 つの Exchange 2013 フェデレーション組織間、または 1 つの Exchange 2013 フェデレーション組織と複数の Exchange 2010 フェデレーション組織との間で構成できます。 Microsoft 365 または Office 365 組織との共有を設定することもできます。

注:

フェデレーション信頼の作成は、Exchange 組織内でフェデレーション共有を設定する際の、複数の手順の 1 つです。 すべての手順を確認するには、「フェデレーション共有の構成」を参照してください。

フェデレーションに関連するその他の管理タスクについては、「 フェデレーション手順」を参照してください。

重要

Exchange Server 2013 のこの機能は、中国で 21Vianet によって運用される Office 365 との完全な互換性を備えておらず、いくつかの機能制限が適用される場合があります。 詳細については、「 21Vianet が運営する Office 365」を参照してください。

はじめに把握しておくべき情報

  • 予想所要時間 : 30 分。

  • この手順を実行する際には、あらかじめアクセス許可が割り当てられている必要があります。 必要なアクセス許可を確認するには、「 Exchange とシェルのインフラストラクチャ のアクセス許可」トピックの「フェデレーションと証明書」のアクセス許可エントリを参照してください。

  • フェデレーション信頼の確立に使用されるドメインは、インターネットから解決可能である必要があります。 これには、ドメイン登録業者によってドメインが登録されていること、およびドメインのドメイン ネーム システム (DNS) ゾーンがインターネットからアクセス可能な DNS サーバーによってホストされていることが必要です。 組織がドメイン宛てのインターネット電子メールを受信できるようであれば、それらの前提条件は既に満たしています。

  • TXT レコードをパブリック DNS に追加する必要があります。 パブリック DNS レコードをホストする組織とともに TXT レコードを追加する要件を確認します。

  • このトピックの手順で使用可能なキーボード ショートカットについては、「Exchange 管理センターのキーボード ショートカット」を参照してください。

  • フェデレーション共有関係の両方の Exchange 組織は、フェデレーション信頼に同じ Microsoft Entra 認証システムを使用する必要があります。 この要件は、2 つのオンプレミス Exchange 組織間、またはオンプレミスの Exchange 組織と Microsoft 365 または Office 365 がホストする Exchange 組織との間でフェデレーション共有を構成する場合に適用されます。

  • Exchange 2013 組織の Microsoft Entra 認証システムとのフェデレーション信頼を作成すると、フェデレーション信頼は Microsoft Entra 認証システムのビジネス インスタンスを使用します。 ただし、以前のバージョンの Exchange と既存のフェデレーション信頼を持つ他のフェデレーション Exchange 組織は、Microsoft Entra 認証システムのビジネス インスタンスまたはコンシューマー インスタンスを使用している可能性があります。

    次の Exchange 組織は、既定で Microsoft Entra 認証システムのビジネス インスタンスを使用します。

    • フェデレーション信頼に対して フェデレーション信頼の有効化ウィザードと自己署名証明書を使用する Exchange 2013 組織。
    • フェデレーション信頼に対して フェデレーション信頼の新規作成ウィザードと自己署名証明書を使用する Exchange 2010 SP1 以降の組織。
    • Microsoft 365 と Office 365 がホストする Exchange 組織。

    次の Exchange 組織は、既定で Microsoft Entra 認証システムのコンシューマー インスタンスを使用します。

    • サード パーティの証明機関が発行する証明書を使用する、RTM (Release To Manufacturing) 版の Exchange 2010 組織。

    すべての Exchange 組織で、フェデレーション信頼に Microsoft Entra 認証システムのビジネス インスタンスを使用することをお勧めします。 2 つの Exchange 組織間でフェデレーション共有を構成する前に、各 Exchange 組織が既存のフェデレーション信頼に使用している Microsoft Entra 認証システム インスタンスを確認する必要があります。 Exchange 組織が既存のフェデレーション信頼に使用している Microsoft Entra 認証システム インスタンスを特定するには、次の Shell コマンドを実行します。

    Get-FederationInformation -DomainName <hosted Exchange domain namespace>

    ビジネス インスタンスは、TokenIssuerURIs パラメーターの<uri:federation:MicrosoftOnline>の値を返します。

    コンシューマー インスタンスは、TokenIssuerURIs パラメーターの<uri:WindowsLiveID>の値を返します。

    Microsoft Entra 認証システムのビジネス インスタンスを使用する既存のフェデレーション信頼を持つ Exchange 組織とのフェデレーション共有を構成するには、このトピックの手順に従います。 これらの手順は、2 つの Exchange 2013 組織間、または Microsoft Entra 認証システムのビジネス インスタンスを既に使用している Exchange 2013 組織と Exchange 2010 組織間でフェデレーション共有を有効にするために使用できるフェデレーション信頼を作成するために実行する必要があるすべてです。

    Exchange 2013 組織と、Microsoft Entra 認証システムのコンシューマー インスタンスを使用する既存のフェデレーション信頼を持つ Exchange 組織との間でフェデレーション共有を構成するには、コンシューマー インスタンスを使用する Exchange 組織が Exchange 2010 SP2 以降をインストールするか、Exchange 2013 にアップグレードする必要があります。 Exchange 2010 SP2 以降をインストールする場合は、 フェデレーション信頼の新規作成ウィザードを使用して、既存のフェデレーション ドメインとフェデレーション信頼を削除し、再作成します。 フェデレーション信頼が再作成されると、Microsoft Entra 認証システムのビジネス インスタンスが使用されます。

EAC を使用してフェデレーション信頼を作成および構成する

  1. オンプレミス組織の Exchange 2013 サーバーで、[ 組織>共有] に移動します。

  2. [有効にする] をクリックして、 フェデレーション信頼の有効化ウィザードを起動します。

  3. ウィザードが完了したら、 [閉じる] をクリックします。

  4. [共有] タブの [フェデレーション信頼] で、 [変更] をクリックします。

  5. [共有が有効なドメイン] の [ステップ 1] の横にある [参照] をクリックします。

  6. [承認済みドメインの選択] で、リストからプライマリ共有ドメインを選択し、 [OK] をクリックします。

    注:

    選択したドメインは、フェデレーション信頼の OrgID の構成に使用されます。 OrgID の詳細については、「フェデレーション」を参照してください。

  7. プライマリ共有ドメイン用に生成されたフェデレーション ドメインの証明をメモしておきます。 この文字列を使用して、パブリック DNS サーバー上で TXT レコードを作成します。

    重要

    フェデレーション ドメインの証明は、アルファベット文字列です。 入力エラーを避けるために、EAC からこの文字列をコピーし、メモ帳などのテキスト エディターに貼り付けます。 その後、テキスト エディターからクリップボードにコピーし、TXT レコードの作成時に [テキスト] フィールドに貼り付けます。 不正なフェデレーション ドメイン証明文字列を使用して TXT レコードが作成された場合、Microsoft Entra 認証システムはドメイン所有権の証明を検証できず、フェデレーション組織識別子に追加することはできません。

  8. 手順 2 で、[追加] アイコンをクリックします。フェデレーション共有機能を必要とする組織内のユーザーが使用するメール アドレスのフェデレーション信頼にドメインを追加します。 たとえば、その電子メール アドレスで sales.contoso.com などのサブドメインを使用するユーザーがいる場合、sales.contoso.com ドメインをフェデレーション信頼に追加します。

    注:

    フェデレーション ドメインの証明文字列は、選択された追加ドメインごとに作成されます。 追加ドメインごとにパブリック DNS 上で別個の TXT レコードを作成する必要があります。

  9. 各ドメイン用に作成されたフェデレーション ドメインの証明文字列を使用して、パブリック DNS サーバー上でこれらの各ドメインに TXT レコードを作成します。 パブリック DNS ホストの更新スケジュールによっては、DNS 変更のレプリケーションに 15 分以上かかる場合があります。

  10. TXT レコードを作成およびレプリケートしたら、[更新] をクリックします。

シェルを使用してフェデレーション信頼を作成および構成する

  1. 次のコマンドを実行して、フェデレーション信頼で使用する証明書用の一意のサブジェクト キー識別子を作成します。

    $ski = [System.Guid]::NewGuid().ToString("N")

  2. フェデレーション信頼で使用する自己署名証明書を作成するには、次の構文を使用します。

    New-ExchangeCertificate -FriendlyName "<Descriptive Name>" -DomainName <domain> -Services Federation -KeySize 2048 -PrivateKeyExportable $true -SubjectKeyIdentifier $ski

    この例では、Microsoft Entra 認証システムとのフェデレーション信頼の自己署名証明書を作成します。 証明書はフレンドリ名の値 Exchange Federated Sharing を使用し、ドメイン値は USERDNSDOMAIN 環境変数から取得されます。

    New-ExchangeCertificate -FriendlyName "Exchange Federated Sharing" -DomainName $env:USERDNSDOMAIN -Services Federation -KeySize 2048 -PrivateKeyExportable $true -SubjectKeyIdentifier $ski

  3. フェデレーションの信頼を作成し、前の手順で作成した自己署名証明書を組織の Exchange サーバーに自動的に展開するには、次の構文を使用します。

    Get-ExchangeCertificate | ?{$_.FriendlyName -eq "<FriendlyName>"} | New-FederationTrust -Name "<Descriptive Name>"

    この例では、Microsoft Entra 認証という名前のフェデレーション信頼を作成し、Exchange フェデレーション共有という名前の自己署名証明書を展開します。

    Get-ExchangeCertificate | ?{$_.FriendlyName -eq "Exchange Federated Sharing"} | New-FederationTrust -Name "Azure AD Authentication"

  4. この構文を使用して、フェデレーション信頼用に構成するドメインに必要な、ドメイン所有権の証明の TXT レコードを返します。

    Get-FederatedDomainProof -DomainName <domain>

    この例では、プライマリ共有ドメイン contoso.com に必要なドメイン所有権の証明の TXT レコードを返します。

    Get-FederatedDomainProof -DomainName contoso.com

    注:

    • フェデレーション信頼用に構成されている各ドメインまたはサブドメインには、ドメイン所有権の証明 TXT レコードが必要であるため、異なる DomainName 値を使用してこのコマンドを複数回実行する必要がある場合があります。

    • シェルで右クリックして、ドメインの証明文字列をコピーし、 [Mark]、 [Proof] 値の順に選択し後に Enter キーを押すと、TXT レコード作成時にドメインの証明文字列を使用できます。 不正なフェデレーション ドメイン証明文字列を使用して TXT レコードを作成した場合、Microsoft Entra 認証システムはドメインの所有権を確認できず、フェデレーション組織識別子に追加することはできません。

  5. 前の手順の情報に基づいて、フェデレーション信頼に含めるすべてのドメインのパブリック DNS サーバーに TXT レコードを作成します。 パブリック DNS ホストの更新スケジュールによっては、DNS 変更のレプリケーションに 15 分以上かかる場合があります。 新しい TXT レコードが使用できることを確認したら、次に進みます。

    重要

    TXT レコードは、フェデレーション/共有されているすべてのドメインに対して作成する必要があります。 これがハイブリッド環境の場合、Exchange Online で検証されたすべての承認済みドメインに TXT レコードが作成されている必要があります。

  6. 次のコマンドを実行して、Microsoft Entra ID からメタデータと証明書を取得します。

    Set-FederationTrust -RefreshMetadata -Identity "Azure AD authentication"

  7. この構文を使用して、ステップ 3 で作成したフェデレーション信頼のプライマリ共有ドメインを構成します。 指定したドメインは、フェデレーション信頼の組織識別子 (OrgID) を構成するために使用されます。 OrgID の詳細については、「フェデレーション組織識別子」を参照してください。

    Set-FederatedOrganizationIdentifier -DelegationFederationTrust "<Federation Trust Name>" -AccountNamespace <Accepted Domain> -Enabled $true

    この例では、Microsoft Entra 認証というフェデレーション信頼のプライマリ共有ドメインとして、承認済みドメイン contoso.com を構成します。

    Set-FederatedOrganizationIdentifier -DelegationFederationTrust "Azure AD authentication" -AccountNamespace contoso.com -Enabled $true

  8. フェデレーション信頼に他のドメインを追加するには、次の構文を使用します。

    Add-FederatedDomain -DomainName <AdditionalDomain>

    sales.contoso.com ドメインのメール アドレスを持つユーザーにフェデレーション共有機能が必要なため、この例では、サブドメイン sales.contoso.com をフェデレーション信頼に追加します。

    Add-FederatedDomain -DomainName sales.contoso.com

    フェデレーション信頼に追加するドメインまたはサブドメインには、ドメイン所有権の証明の TXT レコードが必要です。

構文およびパラメーターの詳細については、「New-ExchangeCertificate」、「New-FederationTrust」、「Get-FederatedDomainProof」、「Set-FederationTrust」、「Set-FederatedOrganizationIdentifier」、「Add-FederatedDomain」を参照してください。

正常な動作を確認する方法

フェデレーション信頼の有効化および共有が有効なドメイン ウィザードが正常に完了すると、フェデレーション信頼が期待どおりに構成されたことが初めてわかります。

フェデレーション信頼が正常に作成および構成されたことをさらに詳しく確認するには、次の手順を実行します。

  1. 次のシェル コマンドを実行して、フェデレーション信頼情報を確認します。

    Get-FederationTrust | Format-List

  2. <PrimarySharedDomain>をプライマリ共有ドメインに置き換え、次の Shell コマンドを実行して、フェデレーション情報を組織から取得できることを確認します。

    Get-FederationInformation -DomainName <PrimarySharedDomain>

構文およびパラメーターの詳細については、「Get-FederationTrust」と「Get-FederationInformation」を参照してください。

ヒント

問題がある場合は、 Exchange のフォーラムで質問してください。 Exchange Server のフォーラムにアクセスします。