Configuration de Microsoft 365 avec la messagerie sécurisée

Introduction

Ce document décrit les étapes de configuration pour intégrer Microsoft 365 avec Cisco Secure Email pour la remise des e-mails entrants et sortants.

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Passerelle Cisco Secure Email Cloud Gateway ou passerelle en nuage
• Accès par interface de ligne de commande (CLI) à votre environnement Cisco Secure Email Cloud Gateway :
  Cisco Secure Email Cloud Gateway > Accès à l'interface de ligne de commande (CLI)
• Microsoft 365
• Protocole SMTP (Simple Mail Transfer Protocol)
• Serveur de noms de domaine ou système de noms de domaine (DNS)

Composants utilisés

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

Ce document peut être utilisé pour les passerelles sur site ou les passerelles cloud Cisco.

Si vous êtes un administrateur de messagerie électronique sécurisée Cisco, votre lettre de bienvenue inclut vos adresses IP de passerelle cloud et d'autres informations pertinentes. En plus de la lettre que vous voyez ici, un e-mail chiffré vous est envoyé pour vous fournir des détails supplémentaires sur le nombre de Cloud Gateway (également appelé ESA) et Cloud Email and Web Manager (également appelé SMA) provisionnés pour votre allocation. Si vous n'avez pas reçu ou n'avez pas de copie de la lettre, contactez ces-activations@cisco.com avec vos coordonnées et votre nom de domaine en service.

     

     

Chaque client dispose d’adresses IP dédiées. Vous pouvez utiliser les adresses IP ou les noms d’hôte attribués lors de la configuration de Microsoft 365.

Remarque : il est vivement recommandé de tester avant toute mise en service planifiée des messages de production, car les configurations prennent du temps à se répliquer dans la console Microsoft 365 Exchange. Attendez au moins une heure pour que toutes les modifications soient prises en compte.

Remarque : les adresses IP de la capture d'écran sont proportionnelles au nombre de passerelles cloud provisionnées pour votre allocation. Par exemple, xxx.yy.140.105  est l'adresse IP de l'interface Data 1 pour la passerelle 1 et xxx.yy.150.1143  est l'adresse IP de l'interface Data 1 pour la passerelle 2. L'adresse IP de l'interface de données 2 pour la passerelle 1 est xxx.yy.143.186 et l'adresse IP de l'interface de données 2 pour la passerelle 2 est xxx.yy.32.98. Si votre lettre de bienvenue ne contient pas d'informations sur Data 2 (IP d'interface sortante), contactez le TAC Cisco pour que l'interface Data 2 soit ajoutée à votre allocation.

Configuration de Microsoft 365 avec la messagerie sécurisée

Configurer les courriels entrants dans Microsoft 365 depuis Cisco Secure Email

Contourner la règle de filtrage des pourriels

1. Connectez-vous au Centre d'administration Microsoft 365 (https://portal.microsoft.com).
2. Dans le menu de gauche, développez Admin Centers.
3. Cliquer Exchange.
4. Dans le menu de gauche, accédez à Mail flow > Rules.
5. Cliquez ici [+] pour créer une nouvelle règle.
6. Faites votre choix dans Bypass spam filtering... la liste déroulante.
7. Entrez un nom pour votre nouvelle règle : Bypass spam filtering - inbound email from Cisco CES.
8. Pour *Appliquer cette règle si..., choisissez The sender - IP address is in any of these ranges or exactly matches.
   1. Dans la fenêtre contextuelle Spécifier les plages d'adresses IP, ajoutez les adresses IP fournies dans votre lettre de bienvenue Cisco Secure Email.
   2. Cliquer OK.
9. Pour *Effectuez les opérations suivantes..., la nouvelle règle a été présélectionnée : Set the spam confidence level (SCL) to... - Bypass spam filtering.
10. Cliquer Save.

Voici un exemple de l'aspect de votre règle :

Connecteur de réception

1. Restez dans le Centre d'administration Exchange.
2. Dans le menu de gauche, accédez à Mail flow > Connectors.
3. Cliquez sur [+] pour créer un nouveau connecteur.
4. Dans la fenêtre contextuelle Sélectionner votre scénario de flux de messagerie, sélectionnez :
   1. From (de) : Partner organization
   2. Par : Office365
5. Cliquer Next.
6. Entrez un nom pour votre nouveau connecteur : Inbound from Cisco CES.
7. Saisissez une description, si vous le souhaitez.
8. Cliquer Next.
9. Cliquer Use the sender's IP address.
10. Cliquer Next.
11. Cliquez sur [+] et saisissez les adresses IP indiquées dans votre lettre de bienvenue Cisco Secure Email.
12. Cliquer Next.
13. Choisir Reject email messages if they aren't sent over Transport Layer Security (TLS).
14. Cliquer Next.
15. Cliquer Save.



Voici un exemple de la configuration de votre connecteur :

Configurer les courriels de Cisco Secure Email vers Microsoft 365

Contrôles de destination

Imposez une auto-limitation à un domaine de remise dans vos contrôles de destination. Bien sûr, vous pouvez supprimer l'accélérateur plus tard, mais ce sont de nouvelles IP à Microsoft 365, et vous ne voulez pas de limitation par Microsoft en raison de sa réputation inconnue.

1. Connectez-vous à votre modem routeur.
2. Naviguez jusqu'à Mail Policies > Destination Controls.
3. Cliquer Add Destination.
4. Utilisation:
   1. Destination : saisissez votre nom de domaine
   2. Concurrent Connections (connexions simultanées) : 10
   3. Maximum Messages Per Connection (nombre maximal de messages par connexion) : 20
   4. TLS Support (soutien TLS) : Preferred
5. Cliquer Submit.
6. Cliquez sur Commit Changes en haut à droite de l'interface utilisateur pour enregistrer vos modifications de configuration.

Exemple de présentation de votre table de contrôle des destinations :

Tableau d’accès des destinataires

Ensuite, définissez le tableau d’accès des destinataires (RAT) pour qu’il accepte les courriels de vos domaines :

1. Naviguez jusqu'à Mail Policies > Recipient Access Table (RAT).

   Remarque : assurez-vous que l'écouteur est destiné à l'écouteur entrant, à IncomingMail ou à MailFlow, en fonction du nom réel de l'écouteur pour votre flux de messagerie principal.

2. Cliquer Add Recipient.
3. Ajoutez vos domaines dans le champ Adresse du destinataire.
4. Sélectionnez l'action par défaut de Accept.
5. Cliquer Submit.
6. Cliquez sur Commit Changes en haut à droite de l'interface utilisateur pour enregistrer vos modifications de configuration.

Voici un exemple de l'apparence de votre entrée RAT :

     

Routes SMTP

Définissez le routage SMTP pour la remise du courrier électronique sécurisé Cisco à votre domaine Microsoft 365 :

1. Naviguez jusqu'à Network > SMTP Routes.
2. Cliquer Add Route...
3. Receiving Domain : saisissez votre nom de domaine.
4. Hôtes de destination : ajoutez votre enregistrement Microsoft 365 MX d'origine.
5. Cliquer Submit.
6. Cliquez sur Commit Changes en haut à droite de l'interface utilisateur pour enregistrer vos modifications de configuration.

Exemple de l'apparence de vos paramètres de routage SMTP :

Configuration DNS (enregistrement MX)

Vous êtes prêt à couper le domaine via une modification d'enregistrement MX (Mail Exchange). Travaillez avec votre administrateur DNS pour résoudre vos enregistrements MX en adresses IP pour votre instance Cisco Secure Email Cloud, comme indiqué dans votre lettre de bienvenue Cisco Secure Email.

Vérifiez également la modification apportée à l'enregistrement MX à partir de votre console Microsoft 365 :

1. Connectez-vous à la console Admin de Microsoft 365 (https://admin.microsoft.com).
2. Naviguez jusqu'à Home > Settings > Domains.
3. Choisissez votre nom de domaine par défaut.
4. CliquerCheck Health.

Cette section fournit les enregistrements MX actuels de la façon dont Microsoft 365 recherche vos enregistrements DNS et MX associés à votre domaine :

Remarque : dans cet exemple, le DNS est hébergé et géré par Amazon Web Services (AWS). En tant qu'administrateur, attendez-vous à voir un avertissement si votre DNS est hébergé n'importe où en dehors du compte Microsoft 365. Vous pouvez ignorer des avertissements comme : "Nous n'avons pas détecté que vous avez ajouté de nouveaux enregistrements à your_domain_here.com. Assurez-vous que les enregistrements que vous avez créés sur votre hôte correspondent à ceux affichés ici..."  Les instructions détaillées réinitialisent les enregistrements MX à ce qui a été initialement configuré pour la redirection vers votre compte Microsoft 365. La passerelle de messagerie sécurisée Cisco est ainsi supprimée du flux de trafic entrant.

Tester le courrier entrant

Testez le courrier entrant vers votre adresse de messagerie Microsoft 365. Vérifiez ensuite qu'il arrive dans votre boîte de réception de messagerie Microsoft 365.

Validez les journaux de messagerie dans Message Tracking sur votre Cisco Secure Email and Web Manager (également appelé SMA) fourni avec votre instance.

Pour afficher les journaux de messagerie sur votre SMA :

1. Connectez-vous à votre SMA (https://sma.iphmx.com/ng-login)
2. Cliquer Tracking.
3. Entrez les critères de recherche requis et cliquez sur Search; et attendez-vous à voir ces résultats :

Pour afficher les journaux de messagerie dans Microsoft 365 :

1. Connectez-vous au Centre d'administration Microsoft 365 (https://admin.microsoft.com).
2. Accroissement Admin Centers.
3. Cliquer Exchange.
4. Naviguez jusqu'à Mail flow > Message trace.
5. Microsoft fournit des critères de recherche par défaut. Par exemple, choisissez Messages received by my primary domain in the last day de lancer votre requête de recherche.
6. Entrez les critères de recherche requis pour les destinataires et cliquez sur Search et attendez-vous à voir les résultats similaires à :

Configurer les courriels sortants de Microsoft 365 vers Cisco Secure Email

Configurer RELAYLIST sur la passerelle Cisco Secure Email Gateway

Reportez-vous à votre lettre de bienvenue Cisco Secure Email. En outre, une interface secondaire est spécifiée pour les messages sortants via votre modem routeur.

1. Connectez-vous à votre modem routeur.
2. Naviguez jusqu'à Mail Policies > HAT Overview.
   
   

   Remarque : assurez-vous que l'écouteur est pour Outgoing Listener, OutgoingMail ou MailFlow-Ext, en fonction du nom réel de votre écouteur pour votre flux de courrier externe/sortant.

3. Cliquer Add Sender Group...
4. Configurez le groupe d’expéditeurs comme suit :
   1. Nom : RELAY_O365
   2. Comment (commentaire) :  <<enter a comment if you wish to notate your sender group>>
   3. Stratégie : RELAYÉE
   4. Cliquer Submit and Add Senders.
   5. Expéditeur : .protection.outlook.com
      

      Remarque : la . (point) au début du nom de domaine de l'expéditeur est obligatoire.

   6. Cliquer Submit.
   7. Cliquez sur Commit Changes en haut à droite de l'interface utilisateur pour enregistrer vos modifications de configuration.

Voici un exemple de l'apparence de vos paramètres de groupe d'expéditeurs :

Activer TLS

1. Cliquer <<Back to HAT Overview.
2. Cliquez sur la politique de flux de messagerie nommée : RELAYED.
3. Faites défiler vers le bas et recherchez dans la Security Features section Encryption and Authentication.
4. Pour TLS, sélectionnez : Preferred.
5. Cliquer Submit.
6. Cliquez sur Commit Changes en haut à droite de l'interface utilisateur pour enregistrer vos modifications de configuration.

Exemple de configuration de votre stratégie de flux de messagerie :

Configurer la messagerie de Microsoft 365 vers CES

1. Connectez-vous au Centre d'administration Microsoft 365 (https://admin.microsoft.com).
2. Accroissement Admin Centers.
3. Cliquer Exchange.
4. Naviguez jusqu'à Mail flow > Connectors.
5. Cliquez sur [+] pour créer un nouveau connecteur.
6. Dans la fenêtre contextuelle Sélectionner votre scénario de flux de messagerie, sélectionnez :
   1. From (de) : Office365
   2. Par :Partner organization
7. Cliquer Next.
8. Entrez un nom pour votre nouveau connecteur : Outbound to Cisco CES.
9. Saisissez une description, si vous le souhaitez.
10. Cliquer Next.
11. Pour Quand voulez-vous utiliser ce connecteur ? :
    1. Choisissez : Only when I have a transport rule set up that redirects messages to this connector.
    2. Cliquer Next. 
12. Cliquer Route email through these smart hosts.
13. Cliquez sur [+] et saisissez les adresses IP sortantes ou les noms d'hôte fournis dans votre lettre de bienvenue CES.
14. Cliquer Save.
15. Cliquer Next.
16. Pour savoir comment Office 365 doit-il se connecter au serveur de messagerie de votre organisation partenaire ?
    1. Choisissez : Always use TLS to secure the connection (recommended).
    2. ChoisissezAny digital certificate, including self-signed certificates.
    3. Cliquer Next.
17. L'écran de confirmation s'affiche.
18. Cliquer Next.
19. Utilisez [+] pour saisir une adresse e-mail valide et cliquez sur OK.
20. Cliquez sur Validate et laissez la validation s'exécuter.
21. Une fois terminé, cliquez sur Close.
22. CliquerSave.

Voici un exemple de l'apparence de votre connecteur sortant :



Créer une règle de flux de messagerie

1. Connectez-vous à votre centre d'administration Exchange (https://outlook.office365.com).
2. Cliquez sur mail flow; assurez-vous d'être dans l'onglet Règles.
3. Cliquez ici [+] pour ajouter une nouvelle règle.
4. Choisir Create a new rule.
5. Entrez un nom pour votre nouvelle règle : Outbound to Cisco CES.
6. Pour *Appliquer cette règle si..., choisissez : The sender is located...
   1. Pour la fenêtre contextuelle Sélectionner l'emplacement de l'expéditeur, sélectionnez : Inside the organization.
   2. Cliquer OK.
7. Cliquer More options...
8. Cliquez sur add condition le bouton et insérez une deuxième condition :
   1. Choisir The recipient...
   2. Choisissez : Is external/internal.
   3. Pour la fenêtre contextuelle Sélectionner l'emplacement de l'expéditeur, sélectionnez : Outside the organization .
   4. Cliquer OK.
9. Pour *Effectuez les opérations suivantes..., choisissez : Redirect the message to...
   1. Sélectionnez : le connecteur suivant.
   2. Et sélectionnez votre connecteur Outbound to Cisco CES.
   3. Click OK.
10. Revenez à "*Effectuez les opérations suivantes..." et insérez une deuxième action :
    1. Choisissez : Modify the message properties...
    2. Choisissez : set the message header
    3. Définissez l’en-tête du message : X-OUTBOUND-AUTH.
    4. Cliquer OK.
    5. Définissez la valeur : mysecretkey.
    6. Cliquer OK.
11. Cliquer Save.

Remarque : pour empêcher les messages non autorisés de Microsoft, un en-tête x secret peut être estampillé lorsque les messages quittent votre domaine Microsoft 365 ; cet en-tête est évalué et supprimé avant d'être remis sur Internet.

Exemple de configuration du routage Microsoft 365 :



Enfin, accédez à la CLI de votre passerelle Cisco Secure Email Gateway.

Remarque : Cisco Secure Email Cloud Gateway > Command Line Interface (CLI) Access.

Créez un filtre de message pour vérifier la présence et la valeur de l'en-tête x et supprimez l'en-tête s'il existe. En l’absence d’en-tête, supprimez le message.

1. Connectez-vous à votre modem routeur via l'interface de ligne de commande.
2. Exécutez la Filters commande.
3. Si votre modem routeur est en cluster, appuyez sur Retour pour modifier les filtres en mode Cluster.
4. Utilisez la New commande suivante pour créer un filtre de message, copier et coller :
   
   

   office365_outbound: if sendergroup == "RELAYLIST" {
   if header("X-OUTBOUND-AUTH") == "^mysecretkey$" {
   strip-header("X-OUTBOUND-AUTH");
   } else {
   drop();
   }
   }

5. Appuyez une fois sur Return pour créer une nouvelle ligne vide.
6. Entrez [.] sur la nouvelle ligne pour terminer votre nouveau filtre de messages.
7. Cliquez return une fois pour quitter le menu Filtres.
8. Exécutez la Commit commande pour enregistrer les modifications apportées à votre configuration.

     

Tester le courrier sortant

Testez le courrier sortant de votre adresse de messagerie Microsoft 365 vers un destinataire de domaine externe. Vous pouvez vérifier le suivi des messages depuis votre Cisco Secure Email and Web Manager pour vous assurer qu'il est correctement acheminé vers l'extérieur.

Remarque : vérifiez votre configuration TLS (Administration système > Configuration SSL) sur le modem routeur et les chiffrements utilisés pour le protocole SMTP sortant. Les Méthodes Recommandées de Cisco recommandent :



HIGH:MEDIUM:@STRENGTH:!aNULL:!eNULL:!LOW:!DES:!MD5:!EXP:!PSK:!DSS:!RC2:!RC4:!SEED:!ECDSA:!ADH:!IDEA:!3DES:!SSLv2:!SSLv3:!TLSv1:-aNULL:-EXPORT:-IDEA

       

Exemple de suivi avec une livraison réussie :

Cliquez ici More Details pour afficher les détails complets du message :

Exemple de suivi des messages où l’en-tête x ne concorde pas :

Informations connexes 

Documentation de Cisco Secure Email Gateway

• notes de version
• Guide de l’utilisateur
• Guide de référence CLI
• Guides de programmation d'API pour Cisco Secure Email Gateway
• Open Source utilisé dans Cisco Secure Email Gateway
• Guide d'installation de l'appliance virtuelle de sécurité du contenu Cisco (inclut vESA)

Documentation sur Secure Email Cloud Gateway

• notes de version
• Guide de l’utilisateur

Documentation de Cisco Secure Email and Web Manager

• Notes de version et matrice de compatibilité
• Guide de l’utilisateur
• Guides de programmation API pour Cisco Secure Email and Web Manager
• Guide d'installation de l'appliance virtuelle de sécurité du contenu Cisco (inclut vSMA)

Documentation sur les produits Cisco Secure

• Architecture d'attribution de noms Cisco Secure