個々の記事とは別に、まとめ記事として上の固定ページの方に「Office365まとめ」の公開を始めます。とはいっても、結構前から上に出てましたけどね;;;
Office365まとめ
https://blog.o365mvp.com/o365/
元は自分の作業のメモ書き程度に利用してましたが、これからは意図してちゃんとこちらのページの方も一緒に更新していきたいと思います。
うまく纏めていって、TIPS集にしていければと思います。
Monthly Archives: 6月 2012
期間限定訴訟ホールドをPowerShellから設定
期間限定訴訟ホールドとは、単一アイテムの回復期限（各メールボックスの削除済みアイテムを復活できる期間：デフォルト14日）を延長することにより、特定のメールボックスにおいて一定期間情報を保全する機能です。
こちらの期限の延長は、30日までであれば通常のExchange Onlineプラン1などでも実施することはできたのですが、利用しようと思うと従来は都度サービスリクエスト(SR)を上げて設定して貰う必要があり、かつメールボックス単位で設定を入れる必要があるので、全メールボックスで期間を30日にするなどの処理は非常に大変でした。
今年に入ってからのサービスの改善で、30日以内の変更であれば、この処理をPowerShellから管理者が実行できるようになりました。コマンドは、PowerShellでExchange Onlineに接続した後に、
Set-Mailbox -Identity [対象] -RetainDeletedItemsFor [保存期間]
です。例によって、-Identityは省略不可です。また、保存期間は DD.HH:MM:SS形式（例えば30日は30.00:00:00）ですが、省略してDDのみ（30とだけ入力すれば30日と解釈）でも可能です。また、この-RetainDeletedItemsForはTab補完ができませんが、パラメーターとしては存在するので頑張って入力しましょう。
また、31日以上にする場合は、Exchange Onlineのプラン2以上のライセンスが必要になり、かつコマンドからも設定はできませんので、従来通りSRを上げて対応しましょう。
こちらは、特に追加費用無く設定することができますので、標準でデプロイする際に設定しても損は無いかもしれません。
Office365 ライトニングトーク第2回
5月に引き続き、7/6に品川のマイクロソフト本社で第2回のOffice365ライトニングトークが開催されます。
Office365 ライトニングトーク第2回 「俺にOffice365についてしゃべらせろ！」
前回はアクセス制御の部分の話をしましたが、今回はもう少しOffice365の全般的な話をしたいと思っています。
普段からちょこちょこと「Office365まとめ」にメモを書いているのですが、Office365のカスタマイズ（設定変更）について簡単に話をしようかなと思います。
ワールドワイドで見ると、結構日本ではOffice365のデフォルト設定がうまく現在の運用やポリシーに適合しないことがあるので、その辺のところを喋れればなと思います。
ご都合よろしければご来場いただけると幸いです。
ディレクトリ同期のオブジェクト上限値
Office365のディレクトリ同期ツールを利用すると、社内のActiveDirectoryの以下のオブジェクトをOffice365に（使用するしないに関わらず）同期してくれます。
こちらのMicrosoftのドキュメントをチェックすると、この同期のオブジェクト数には上限値が定められていて、それ以上はSRを上げて上限値を引き上げないといけないとあります。この閾値は20000と定められており、こちらはオンプレミスのAD上で「展開準備ツール(Deployment Rediness Tool)」を実行することにより、おおよその数値を知ることが可能です。
カウント対象となるのは以下のオブジェクトです。
- ユーザー
- グループ（配布グループ、セキュリティグループ）
- 外部連絡先
| 【参考】ディレクトリ同期を準備する http://onlinehelp.microsoft.com/ja-jp/Office365-enterprises/ff652544.aspx 社内ドメインのオブジェクトの合計数が 20,000 個を超えると、ディレクトリ同期をアクティブ化する前に Office 365 サポートに連絡する必要があります。 |
殆どのオブジェクトがオンプレミスで同期して利用している場合は問題にならないのですが、例えばExchangeの配布グループはOffice365側で作成（※セルフサービス型で利用したい為）など、ディレクトリ同期するオブジェクトの他に相当数のオブジェクトがクラウドID（非同期オブジェクト）で存在する場合、20000には達していないのに、以下の様なアラートが発生する場合があります。
Unable to add this user because the total number of allowed objects has already been reached. + FullyQualifiedErrorId : Microsoft.Online.Administration.Automation.Quota ExceededExcption.Microsoft.Online.ADministration.Automation.NewUser
試しに、数十個のオブジェクトだけディレクトリ同期した環境にひたすらオブジェクト（ユーザー）を作っていくと、確かに20000弱（今回の場合は19960個目）のオブジェクトで上記のエラーが出ます。
また、これが発生するとディレクトリ同期ツールからオンプレミスで新規でできたオブジェクトを追加することはできません。どうやら、20000というクォータは同期したオブジェクトの数ではなく、Office365上で作成したオブジェクトも含む数値のようです。
| 参考までに、これは一時的にではありますが突破することは可能です。 Exchange OnlineからGUIやCSV経由でユーザーを新規作成し、後からOffice365ポータルに同期してサブスクリプション割り当てなどという事を行うことができるのですが、こちらは上記の影響は受けないので作成→ポータルに同期が可能です。 新規で作成したオンプレミスのオブジェクトと同じメールアドレスを持たせて作成すれば、ソフトマッチで同期オブジェクトとすることも可能です。 |
皆様におかれましてはこうならないように、大規模環境の場合は、上記条件を考慮の上計画的にオブジェクト数を監視して、クォータ上限の引き上げを行って頂ければと思います。
管理者のセルフパスワードリセット機能を無効化する
Office365で、全体管理者のアカウントでログオンを行なおうとすると、一部通常とは異なる挙動となります。
画面がグレーアウトし、「引き続きアカウントにアクセスできるようにする」とポップアップします。IDとPassを入力してサインインすると、（設定されていなければ）携帯の番号とOffice365以外のe-mailアドレスの入力を求められます。
全体管理者は最初1名しか設定されておらず、かつ他のユーザーからパスワード変更を行なうことは勿論ですができません。その唯一の管理者がパスワードを忘れてしまった場合、何も操作ができなくなってしまう事態になるので、これを防止するために作られている機能になります。昨年末くらいのバージョンアップで実装されました。
ちなみに、上記の画面はESCを押したり閉じたりできないのですが、アドレスバーを一度選択して押下（同じアドレスに再接続）もしくはリロードボタンを押せば閉じることができます。
さて、この機能ですが、例えば全体管理者のアカウントが複数あり、相互にパスワードのリセットが可能な状況などの場合は無くても問題ない場合があります。
また、例えば最初に作った管理アカウントadmin@xxxx.onmicrosoft.comなど、個人に紐づいていない管理者アカウントに携帯電話番号など無いと言う場合も有るかと思います。（もちろん、ダミーで入れておくという手も有りますが）
こちらを無効化するには、PowerShellでSet-MsolCompanySettingsのSelfServePasswordResetEnabledにて制御を行なうことが可能です。
Set-MsolCompanySettings -SelfServePasswordResetEnabled $false
これをfalseに設定しておけば、上記のような画面が出ずに、通常通り管理者アカウントでログインできるようになります。
Windows8 RPからOffice365に接続する
Windows 8 Release PreviewとWindows Server 2012 Release Candidateが出ました。世間では皆さんインストールして色々試されているみたいですので、私も少し触ってみます。
Windows 8から大きく変わった点としては、スマホやタブレットなどの環境を意識した作りになっており、メール・カレンダーが標準で入っていてActive Syncに対応しているという点になります。
スタートメニューでメールを選択します。
Exchange Onlineのアカウント（メールアドレスとパスワード）を入力すると、Autodiscoverで自動的に接続されます。メールアドレスとログオンユーザ名が違う場合は、ログオンユーザ名が聞かれます。
ちなみにADFSのシングルサインオン環境のアカウントでも特に問題なく利用できます（ActiveSyncの場合はクライアントから見た場合の差は無いですから当然と言えば当然ですが）
アカウントが追加され、Active Syncポリシーに従ってセキュリティ保護を強化するかどうかのダイアログが表示されますので、「これらのポリシーを適用する」を選択します。
以上の作業で、メール・予定表・連絡先が同期されるようになります。デフォルトでは、過去2週間分のデータがプッシュ通知で受信されますので、設定を変更したい場合は「設定」の「アカウント」から変更します。
ちなみに、Exchangeから見た場合は、以下の様なActiveSyncデバイスからアクセスが来たと認識されております。「デバイス名：WIN8RP」「デバイスのモデル：Windows PC」「デバイスの種類：WindowsMail」
Exchange ActiveSyncですので、リモートワイプを行うこともできます。スマートフォンとは違い、Exchangeから同期したアカウントの設定・コンテンツのみが消されるという形になりますので、運用上は比較的使いやすいかもしれません。
また、ADFS環境の場合、Exchange OnlineからADFS（ADFS Proxy）に渡されてくるクレーム情報は以下の感じです。プロトコルはMicrosoft.Exchange.ActiveSync、User AgentはWindowsMail/16.4.3364.0511です。
IPアドレスが、アクセス元のIPではなくExchange OnlineになっているのはCASとMBXのDCが分かれた場合に出るという症状でしょうか？ POP/IMAPではたまに出るアカウントとかありましたが、ActiveSyncで出たのは始めてなのでちょっと調べてます。
ただ、あくまでActiveSyncプロトコルを利用しておりますので、余りに長い期間のコンテンツを同期対象としてしまうと動作が非常に遅くなってしまいますので、メインで利用するのはOutlookもしくはOWAとして、モバイル端末に設定して補完するような用途とした方が好ましいかと思います。
ただ、OWAと違ってわざわざブラウザのウィンドゥを立ち上げておかなくても、バックグラウンドでプッシュ通知で自動的に更新が反映されますし、モバイル用途には非常に向いているように見えます。上手く使い分けできると良いかもしれませんね。
【参照】
Windows 8 での Office 365 ベース電子メール アカウントの構成（公式Wiki）
Windows 8 Consumer Preview + Exchange Online を使用したデバイスの管理（SEの雑記さん）