メッセージセンター MC1048624にて、ExchangeOnlineの承認済みドメインのMXレコードの形式が変更されることが記述されていましたので、ご紹介したいと思います。
MC1048624の内容とは？
現在、Microsoft365に承認済みドメインが作成されると、Exchange Online は"mail.protection.outlook.com" の形式の A レコードをプロビジョニングし、管理者はその A レコードを参照する MX レコードを設定します。
2025年7月以降、承認済みドメインを作成すると "mx.microsoft.com" の形式の A レコードをプロビジョニングし、管理者はその A レコードを参照する MX レコードを設定するように変更されます。
MXレコードとは？
ドメインのDNSレコードとして登録するメールの配信先を示す値です。そのドメインにメールが送信された場合にどこのサーバーに配信するかを指定することができます。
影響について
現在、承認済みドメインとして登録されている既存のドメインについては特に変更する必要はなく、そのまま使うことができます。
2025年7月以降に承認済みドメインを作成する場合についても、以下のように画面上に "mx.microsoft.com" の形式の MXレコードの値が表示されますので、DNSサーバーにその値を登録すればいいので、特に影響はありません。
ただ、影響があるシナリオとしては、システムなどで自動的にドメインを作成し、MXレコードの値が mail.protection.outlook.com の形式として作成するように設定している場合は影響があります。
その場合は、List serviceConfigurationRecords Graph APIを使用して「mailExchange」フィールドを取得するように移行する必要があります。
メッセージセンターMC1048624
MC1048624
2025 年 7 月 1 日以降にプロビジョニングされたすべての新しい承認済み
ドメインの A レコードの
DNS プロビジョニングにいくつかの変更を加えています。2025 年 7 月 1 日から 8 月 1 日の間に、新しい承認済み
ドメインのすべての A レコードのプロビジョニングを mx.
microsoft の下の新しい
サブドメインに段階的に切り替えます。
これは、長期的にDNSSECを採用する際の摩擦を減らすために行っています。DNSSECは、
DNSレコードの暗号化検証を提供し、
DNSスプーフィングや
DNSに対する中間者攻撃を防止する
DNSの
拡張機能のセットです。
これが組織に与える影響:
ドメインがDNSSECに対応していない場合、
DNS解決は安全に「プレーン」
DNSにフォールバックします。7 月 1 日以降に Exchange 管理センターに追加した承認済み
ドメインが
ドメイン レベル (contoso.com など) で DNSSEC で保護されていない場合、
DNS 解決は通常どおり機能します。7 月 1 日以降に
EAC に追加した承認済み
ドメインが DNSSEC で保護されている場合、DNSSEC は自動的に mx.
microsoft DNS レコードに拡張され、それ以上の操作を行わなくても DNSSEC の利点を享受できます。DNSSECに関する問題は、
DNSプロバイダーを介して承認済み
ドメイン(contoso.com など)のDNSSECを無効にすることで対処できます。
準備するために必要なこと:
ドメイン設定のワークフローなど、新しくプロビジョニングされた承認済みドメインの A レコードが mail.protection.outlook.com にプロビジョニングされることを想定した MX レコード作成の自動化を実施している場合、この自動化を 7 月 1 日までに更新して、List serviceConfigurationRecords Graph API (List serviceConfigurationRecords).List serviceConfigurationRecords を使用して、MX レコードの mailExchange 値を取得します。7 月 1 日以降、List serviceConfigurationRecords Graph API は、承認済みドメインの MX レコード値の唯一の信頼できる情報源になります。7 月 1 日以降、mail.protection.outlook.com でプロビジョニングされる承認済みドメインの A レコードに頼ることはできません。
レコードが mail.protection.
outlook.com で終わることを想定する自動化を使用している場合、7 月 1 日以降に新しい承認済み
ドメインを Exchange 管理センターに追加すると、メール フローが初期構成で機能しない可能性があり、Exchange 管理センターが
ドメインに対して示す内容と一致するように MX レコードを更新するか、List serviceConfigurationRecords Graph
API によって返される mailExchange 値を使用する必要があります。
techcommunity.microsoft.com
it-bibouroku.hateblo.jp
