リソースガイド：Microsoft 365

• 2022年9月21日

記事更新日：2025年4月24日

この送信元ガイドでは、DMARCに準拠したメッセージを送信するようにMicrosoft 365を設定する手順について説明します。DMARCポリシーをより厳格な状態（例：隔離や拒否など）に変更する前に、この送信元およびユーザーに代わってメッセージを送信するその他の送信元を設定する必要があります。

この送信元をDMARCに準拠させるには、Microsoft 365の管理アカウントと、ドメインのDNS管理コンソールへのアクセス権が必要です。

この手順は、事前の通知がほとんどないまま変更されることがあります。最新かつ正確な情報については、常にMicrosoft 365のドキュメントをご確認ください。

Microsoftの
のDMARC要件を満たす方法

マイクロソフトは、同社の一般向けメールサービスであるoutlook.com、hotmail.com、live.comにおいて、大規模な送信者に対しDMARC、SPF、DKIMの導入を義務付けています。

概要
Microsoft 365 は、クラウドベースのメールボックスサービスに加え、一連のツールやユーティリティを提供します。通常、IT 部門によって管理され、組織内のすべての部門で利用されています。Microsoft 365 は、SPF および DKIM との連携を通じて DMARC 準拠をサポートしています。

SPF
SPFを設定するには、送信ドメインのSPFレコードに以下のエントリを追加してください：

Microsoft 365 および Microsoft 365 Government Community Cloud (GCC) における contoso.com の SPF TXT レコード：

v=spf1 include:spf.protection.outlook.com -all

Microsoft 365 Government Community Cloud High (GCC High) および Microsoft 365 Department of Defense (DoD) における contoso.com の SPF TXT レコード：

v=spf1 include:spf.protection.office365.us -all

21Vianetが運営するMicrosoft 365におけるcontoso.comのSPF TXTレコード：

v=spf1 include:spf.protection.partner.outlook.cn -all

参照：Microsoft 365 の SPF 設定手順

DKIM
Microsoft 365 でDKIM を有効にするには、ユーザーインターフェイス (UI) から行う方法と、PowerShell を使用する方法の 2 つがあります。

DKIMを設定するには：

DKIM署名を有効にする送信ドメインを指定してください（example.com）
公開するDNS（CNAME）レコードを取得する
送信元のドメインのDNSゾーンにCNAMEレコードを登録する
公開されたDNSレコードが反映されたことを確認する
DKIM署名を有効にする（UIまたはPowerShellから）

方法 1: Microsoft UI
手順 1: DKIM ページ（https://security.microsoft.com/dkimv2）で、DKIM を設定したいドメインをクリックします。

手順 2：トグルスイッチを「有効」にスライドさせます。CNAMEレコードを追加する必要があることを示すポップアップウィンドウが表示されます。

手順 3：ポップアップウィンドウに表示されているCNAMEをコピーします

ステップ 4: コピーした CNAME レコードを DNS サービスプロバイダーに登録します。DNS プロバイダーの Web サイトで、有効にしたい DKIM 用の CNAME レコードを追加します。各フィールドが以下の値に設定されていることを確認してください。

レコードタイプ：CNAME（エイリアス）
ホスト：DKIMポップアップからコピーした値を貼り付けてください。
宛先：DKIMポップアップから値をコピーしてください。
TTL：3600（またはプロバイダのデフォルト値）

ステップ 5: DKIM ページに戻り、DKIM を有効にします。

それでも「Client Error CNAME record doesn’t exist」というエラーが表示される場合は、DNSサーバーとの同期が原因である可能性があります。この問題は、数秒から数時間かけて解決されることがあります。問題が解決しない場合は、手順をもう一度実行し、余分なスペースやタブなどのコピー＆ペーストによる誤りがないか確認してください。

方法 2: PowerShell

手順 1: Exchange Online PowerShell に接続する

手順 2: Exchange Online PowerShell で次のコマンドを実行し、セレクターレコードを作成します:

New-DkimSigningConfig -DomainName <domain> -Enabled $false
Get-DkimSigningConfig -Identity <domain> | Format-List Selector1CNAME, Selector2CNAME

Microsoft 365 の初期ドメインに加えてカスタムドメインを設定している場合は、追加するドメインごとに 2 つの CNAME レコードを公開する必要があります。たとえば、ドメインが 2 つある場合は、さらに 2 つの CNAME レコードを公開する必要があります。

手順 3: CNAME レコードには、以下の形式を使用してください：

Host name: selector1._domainkey
Points to address or value: selector1-<customDomainIdentifier>._domainkey.<initialDomain>
TTL: 3600

Host name: selector2._domainkey
Points to address or value: selector2-<customDomainIdentifier>._domainkey.<initialDomain>
TTL: 3600

例：

ホスト名: selector1._domainkey
宛先または値: selector1-example-com._domainkey.example.onmicrosoft.com
TTL: 3600

ホスト名: selector2._domainkey
宛先または値: selector2-example-com._domainkey.example.onmicrosoft.com
TTL: 3600

Microsoft 365 の場合、セレクターは常に「selector1」または「selector2」になります

customDomainIdentifier は、mail.protection.outlook.com の前に表示される、カスタムドメインのカスタマイズされた MX レコード内のcustomDomainIdentifierと同じです。たとえば、contoso.com ドメインの以下の MX レコードでは、customDomainIdentifierは contoso-com となります。

contoso.com. 3600 IN MX 5 contoso-com.mail.protection.outlook.com

initialDomainは、Microsoft 365 にサインアップした際に使用したドメインです。初期ドメインは常に onmicrosoft.com で終わります。

注：2つ目のレコードを作成することは重要ですが、作成時点では、2つのセレクタのうち1つしか利用できない場合があります。つまり、2つ目のセレクタは、まだ作成されていないアドレスを指している可能性があります。それでも、鍵のローテーションを円滑に行うために、2つ目のCNAMEレコードを作成することをお勧めします。

手順 4: DNS に CNAME レコードを公開したら、Microsoft 365 を通じて DKIM 署名を有効にする準備が整います。これは、Microsoft 365 管理センターから、または PowerShell を使用して行うことができます。

次の PowerShell 構文を使用してください：

Set-DkimSigningConfig -Identity <Domain> -Enabled $true

例：

Set-DkimSigningConfig -Identity example.com -Enabled $true

参照：Microsoft 365 の DKIM 設定手順

dmarcianアカウントをお持ちの場合、これらの変更がdmarcianプラットフォームに反映されるまで数日かかる場合があります。DMARCに必要なSPFおよびDKIMの整合性は、「詳細ビューア」（下図参照）で確認できます。