mxHEROのGWS環境での初期設定 − 新ダッシュボード検証ブログ

はじめに

セキュリティチームのkakeruです。先日公開したブログでもご案内しましたが、mxHEROの管理ダッシュボードのデザインや機能に対する大幅アップデートが行われる予定です。そこで、当社ブログでも刷新後の管理者ダッシュボードの利用方法に関して連載形式で紹介していこうと思います。本日は「mxHEROのGWS環境での初期設定」についてご紹介します。

なお、新管理ダッシュボードに関する記事一覧については、下記にまとめているので、併せてご確認いただけると嬉しいです。

mxHEROの新ダッシュボードが公開されたよ！

はじめに こんにちわ、セキュリティチームのむろです。 mxHEROの管理ダッシュボードのデザインや機能に対する…

blog.cloudnative.co.jp

mxHERO初期設定の大まかな流れと本ブログの立ち位置

設定作業の全体像は以下の通りです。今回のブログは「メールシステムの設定~Google Workspace~」について記載しています。

• mxHEROテナント初期セットアップ　
• メールシステムの設定
  • Exchange Online
  • Google Workspace <<< 今回はここ！
• ストレージの設定(準備中)
• Fusion Ruleの設定(準備中)
• アカウントとグループの設定(準備中)

前提条件

• 新管理者ダッシュボードは一般ユーザーにはまだ提供されていません。ご利用については販売代理店までお問い合わせください。
• 本手順を実施するためには、以下が必要です。
  • mxHERO管理者権限
  • GWS管理者権限
  • 自社保有ドメインのDNSレコードを書き換えられる権限
• 設定開始前に以下の作業が完了している必要があります。
  • Gmailの初期設定（カスタムドメインを利用してのメール送受信の確認）
  • mxHEROテナントの初期セットアップ

手順①：mxHEROでのトランスポートエージェント値の取得

mxHEROの管理ダッシュボードの[設定] > [組織とドメイン] で、トランスポートエージェントの値を取得します。この値は手順④で利用しますので、手元に控えておいてください。

手順②：GWSグループの作成

mxHEROの適用対象として指定するためのユーザーを内包したグループを作成し、適用対象のユーザーを組み込みます。全社導入の前のPoCでは、少人数に絞ることが望ましいと考えています。

※グループに内包するユーザーは、GoogleWorkspace上の”組織”が異なるユーザーが混在していても動作します。

• GWSの管理コンソールへアクセスし、[グループ] > [グループを作成]の順にクリックします。

• グループの作成画面にて、以下を設定して、[次へ]をクリックします。
  • グループ名
  • グループのメールアドレス
  • グループのオーナー
  • セキュリティ
    • 任意で設定

• アクセスタイプを以下の画像の通りに設定して、[グループを作成]をクリックします。

手順③：ホストの設定

次に、ホストの設定を行います。

• [アプリ] > [Google Workspace] > [Gmail]の順に遷移して、[ホスト]を開きます。

• [ルートを追加]をクリックします。

• [メールのルートを追加]にて、下記の通り設定して、[保存]をクリックします。
  • 名前
    • mxHERO
  • 単一のホスト
    • smtp.mxhero.com:25

• ホストにルートが追加されていることを確認します。

手順④：受信ゲートウェイの設定

次に、受信ゲートウェイの設定を行います。

• [アプリ] > [Google Workspace] > [Gmail]の順に遷移して、[迷惑メール、フィッシング、マルウェア]を開きます。

• [受信ゲートウェイ]をクリックして、開きます。

• [有効にする]にチェックを入れ、[ゲートウェイのIP]に以下を指定します。

107.23.152.206	
54.209.222.83
52.22.51.97
3.211.77.148
54.165.253.193
54.165.252.128
54.236.184.32
54.208.111.28

• [メールのタグ付け]にて、以下の通り設定して、[保存]をクリックします。
  • 以下のヘッダーの正規表現と一致するメールを迷惑メールとみなす
    • チェックを入れる
    • 正規表現 ^X-Gm-Spam:(0|1)$
    • 正規表現で数値のスコアを抽出する
      • 次の値以上
        • 1
    • このゲートウェイからのメールに対しては Gmail の迷惑メール評価を無効にし、ヘッダーの値のみを使用する
      • チェックを入れる

手順⑤：コンテンツコンプライアンス

次にコンテンツコンプライアンスを設定します。

• [アプリ] > [Google Workspace] > [Gmail]の順に遷移して、[コンプライアンス]を開きます。

• [コンテンツコンプライアンス]の[設定]をクリックします。

• 設定を追加にて、以下の通り設定します。
  • コンテンツコンプライアンス
    • mxHERO Inbound
  • 影響を受けるメール
    • 受信
      • チェックを入れる
    • 内部・受信
      • チェックを入れる

• [各メッセージで検索するコンテンツを表す表現を追加する]にて、以下の通り設定して、[保存]をクリックします。
  • 高度なコンテンツマッチ
    • 場所
      • 完全なヘッダー
    • 一致タイプ
      • テキストを含まない
    • コンテンツ
      • X-mxHero-Server: <事前にメモしておいたトランスポートエージェントの値>
        • 例：X-mxHero-Server: bf7f875c2c2e8jkldldkd4e1d23ae2183

• 設定を追加すると以下のように表示されます。

• [上記の表現が一致する場合は、次の処理を行います]にて、以下の通り設定して、[追加]をクリックします。
  • X-Gm-Spam ヘッダーと X-Gm-Phishy ヘッダーを追加
    • チェックを入れる
  • カスタム ヘッダーを追加
    • チェックを入れる
• [ヘッダーを追加]にて、以下のように設定して、[保存]をクリックします。
  • X-mxHero-TransportAgents:<事前にメモしておいたトランスポートエージェントの値>
    • 例：
      • X-mxHero-TransportAgents: bf7f875c2c2e8jkldldkd4e1d23ae2183

• 設定を保存すると以下のように表示されます。

• [ルート]にて、[ルートを変更]にチェックを入れ、ホストの設定で作成した[mxHERO]を指定します。

• 下部にある[オプションを表示]をクリックする。

• [エンベロープフィルタ]にて、下記の通り設定して、[保存]をクリックします。
  • 特定のエンベロープ受信者にのみ適用する
    • チェックを入れる
    • グループのメンバー(受信メールのみ)を指定する
      • 事前作成したグループを指定する

手順⑥：ルーティング

次にルーティングを設定します。

• [アプリ] > [Google Workspace] > [Gmail]の順に遷移して、[ルーティング]をクリックします。

• 　ルーティングの[設定]をクリックします。

• [ルーティング]に任意の名前(例：mxHero Outbound)を設定して、[影響を受けるメール]にて、下記の通り設定します。
  • 送信
    • チェックを入れる
  • 内部・送信
    • チェックを入れる

• [ルート]にて、[ルートを変更]にチェックを入れ、ホストの設定で作成した[mxHERO]を指定します

• 下部にある[オプションを表示]をクリックします。

• 　オプションにて下記の通り設定して、[保存]
  • 影響を受けるアカウントの種類
    • ユーザー
      • チェックを入れる
    • グループ
      • チェックを入れる
  • エンベロープフィルタ
    • 特定の送信者にのみ適用する
      • チェックを入れる
      • グループメンバー(送信メールのみ)を指定
        • 事前作成したグループを指定する

手順⑦：マーケットプレイスアプリのインストール

次は、マーケットプレイスアプリのインストールです。

• [アプリ] > [Google Workspace Marketplaaceアプリ] > [アプリのリスト]の順に遷移して、[アプリのインストール]をクリックします。

• 検索窓に[mxHERO]と入力し、表示される[mxHero Domain Sync and Outbound Configuration]をクリックします。

• [mxHero Domain Sync and Outbound Configuration]をクリックします。

• [管理者によるインストール]にて、[続行]をクリックします。

• [アプリケーションの利用規約、プライバシー ポリシー、Google Workspace Marketplace の利用規約に同意する]にチェックを入れて、[完了]をクリックします。

• [mxHero Domain Sync and Outbound Configurationをインストールしました]と表示されれば完了です。

手順⑧：TXTレコードを設定

最後に、Google Workspaceの対象ドメインのDNSレコードに、以下のTXTレコードを設定します。

v=spf1 include:_spf-gmail.mxhero.com ~all

なお、公式ドキュメントに記載のTXT(SPF)レコード「include:_spf-gmail.mxhero.com」自体が参照回数が6回となるため、10回の制限に該当しやすくなってしまいます。
これは「include:_spf-gmail.mxhero.com」内に「include:_spf.google.com」が内包されているためです。

すでに「include:_spf.google.com」が設定されているドメイン環境に対するワークアラウンドとして以下の設定値がmxHEROのサポートから提供されておりますので記載いたします。

v=spf1 include:_spf.mxhero.com ~all

ただし、上記のワークアラウンドの設定値には「include:_spf.google.com」が内包されていません。
mxHeroを全てのユーザーが利用しない場合など、Google WorkspaceのSPFレコードを併記した場合の例は以下になります。

v=spf1 include:_spf.mxhero.com include:_spf.google.com ~all

次のステップ

本手順が終わったら次は「ストレージの設定」を実施してください。

• mxHEROテナント初期セットアップ
• メールシステムの設定
  • Exchange Online
  • Google Workspace << 今はここ!
• ストレージの設定 <<< 次はここ！
• アカウントとグループの設定
• ルールの設定

おわりに

これからもmxHEROの新管理ダッシュボードに関する記事を書いていくので、ご不明点等があればお気軽にご連絡ください。また、新管理者ダッシュボードに関する記事一覧については、下記ブログにまとめているので、そちらも併せてご覧いただけると嬉しいです。

mxHEROの新ダッシュボードが公開されたよ！

はじめに こんにちわ、セキュリティチームのむろです。 mxHEROの管理ダッシュボードのデザインや機能に対する…

blog.cloudnative.co.jp