Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

MX レコードとしての Google Workspace

最終更新 Markdown で表示Agent セットアップ
受信メールのライフサイクルにおける Email security の位置を示す図

このチュートリアルでは、Email security を MX レコードとして、Google Workspace を設定します。

前提条件

このチュートリアルでの変更をすぐに反映するには、対象ドメインの既存 MX レコードの TTL（Time to Live）を 5 分に更新します。デプロイするすべてのドメインで行います。

TTL を変更すると、DNS サーバーは責任ネームサーバーに更新を問い合わせるまで、この値をどれだけキャッシュするかを指示されます。MX レコードを Email security に切り替える前に、TTL を変更してください。これにより、変更がすぐに反映され、必要ならすぐに元に戻せます。DNS マネージャーで TTL を 5 分に設定できない場合は、設定できる最短の値にしてください。

現在の TTL を確認するには、ターミナルを開き、ドメインに対して次のコマンドを実行します。

dig mx <YOUR_DOMAIN>
; <<>> DiG 9.10.6 <<>> mx <YOUR_DOMAIN>
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 39938
;; flags: qr rd ra; QUERY: 1, ANSWER: 5, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;<YOUR_DOMAIN>.		IN	MX

;; ANSWER SECTION:
<YOUR_DOMAIN>.    300    IN    MX    10 mxa.global.inbound.cf-emailsecurity.net.
<YOUR_DOMAIN>.    300    IN    MX    10 mxb.global.inbound.cf-emailsecurity.net.

上の例では、TTL は秒単位で 300（5 分）と表示されています。

DNS に Cloudflare を使っている場合は、TTL 設定を Auto のまま にできます。

よく使われるサービスで MX レコードを編集する手順は、次のとおりです。

要件

  • プロビジョニング済みの Email security アカウント。
  • Google 管理者コンソールへのアクセス（Google administrator console ↗ > Apps > Google Workspace > Gmail）。
  • Email security が処理するドメインの MX レコードをホストするネームサーバーへのアクセス。

1. Inbound Email Configuration を設定する

Inbound Email Configuration ↗ を、次の内容で設定します。

  • Gateway IPs で Add リンクを選択し、Egress IPs に記載の IP を追加します。
  • Automatically detect external IP (recommended) を選択します。
  • Require TLS for connections from the email gateways listed above を選択します。
  • Reject all mail not from gateway IPs は選択しないでください。メールフローを確保するため、このオプションは後で有効にします。
  • SAVE を選択します。

2. （任意）メール隔離を設定する

メール隔離を設定 ↗ し、次の内容を入力します。

  • Name: Email security Malicious.
  • Description: Email security Malicious.
  • Inbound denial consequence は Drop message を選択します。
  • Outbound denial consequence は Drop message を選択します。
  • SAVE を選択します。

作成した隔離にアクセスするには、GO TO ADMIN QUARANTINE を選択するか、ブラウザーで https://email-quarantine.google.com/adminreview ↗ を開きます。

3. （任意）コンテンツコンプライアンスフィルターを作成する

Compliance に移動し、悪意のあるメッセージを隔離へ送る コンテンツコンプライアンスフィルター ↗ を作成します。次の内容を入力します。

  • Content compliance: Quarantine Email security Malicious を追加します。
  • Email messages to affect: Inbound を選択します。
  • Add expressions that describe the content you want to search for in each message:
    • Add を選択して条件を追加します。
    • Simple content match で Advanced content match を選択します。
    • Location で Full headers を選択します。
    • Match type で Contains text を選択します。
    • Content に X-CFEmailSecurity-Disposition: MALICIOUS を入力します。
    • 条件を保存するには SAVE を選択します。
  • 上記の式が一致した場合の操作で、Quarantine message と、前の手順で作成した Email security Malicious 隔離を選択します。
  • SAVE を選択します。

ほかの判定も隔離したい場合は、上記の手順を繰り返し、次の文字列を使います。

  • X-CFEmailSecurity-Disposition: BULK
  • X-CFEmailSecurity-Disposition: SPOOF
  • X-CFEmailSecurity-Disposition: UCE（UCE は SPAM と同等です）

必要に応じて、判定ごとに別の隔離を作成できます。

4. MX/Inline を設定する

前提条件の手順が完了したら、Cloudflare ダッシュボードで MX/Inline を設定します。次の手順は MX/Inline デプロイを設定する を参照してください。

5. （推奨）MX レコード迂回から Google Workspace を保護する

DNS 攻撃の手法のひとつは、古い MX レコードを探し、フィッシングメールをメールサーバーへ直接送ることです。メールフローを保護するには、受信メッセージが Email security から来た場合にだけ Google Workspace が受け入れるようにします。TLS 暗号化付きで Email security からのメールだけを許可するコネクタを追加すれば実現できます。この手順は任意ですが、推奨します。

72 時間後には、MX レコードの DNS 更新がインターネット上に十分伝播しています。この時点でメールフローを保護しても安全です。Google Workspace は、先に Email security が受け取ったメッセージだけを受け入れるようになります。脅威アクターがキャッシュされた MX エントリを使い、メッセージを Google Workspace へ直接注入して Email security を迂回するのを防ぐため、この手順を強く推奨します。

  1. Google Administrative Console ↗ を開き、Apps > Google Workspace > Gmail を選択します。

  2. Spam, Phishing and Malware を選択します。

  3. Inbound gateway に移動し、Edit Inbound gateway を選択します。

  4. Reject all mail not from gateway IPs を有効にし、Save を選択します。

  5. もう一度 Save を選択し、Gmail の詳細設定コンソールで構成変更を確定して有効にします。

役に立ちましたか？