新しいOutlookでS/MIME暗号化メールを使っている組織にとって、「Outlook: LDAP directory support for S/MIME in New Outlook」は見逃せない変更です。結論から言うと、新しいOutlook for WindowsでLDAPディレクトリを使ったS/MIME証明書検索がサポートされ、外部取引先などの公開証明書をLDAPから取得して暗号化メールを送れるようになります。Microsoft 365 Roadmapの項目は予定情報であり変更される可能性がありますが、Roadmap ID 518287として案内されている機能です。(Microsoft)
この変更で特に確認すべきなのは、新しいOutlookへの移行時に、S/MIME証明書の探し方が従来の運用と合っているかです。社内ユーザーだけでなく、外部パートナーの公開証明書をLDAPディレクトリに置いて運用している企業では、展開前にLDAPエンドポイント、Exchange Online PowerShellでの登録方法、ユーザー向け案内を整理しておく必要があります。
Outlook: LDAP directory support for S/MIME in New Outlookとは
「Outlook: LDAP directory support for S/MIME in New Outlook」は、新しいOutlookでS/MIME暗号化メールを送信する際、LDAPディレクトリから受信者の公開証明書を取得できるようにする機能です。LDAPはLightweight Directory Access Protocolの略で、ユーザーや証明書などのディレクトリ情報を参照するために使われるプロトコルです。
S/MIMEでは、送信者が受信者の公開証明書を使ってメールを暗号化します。つまり、受信者の公開証明書を正しく取得できなければ、暗号化メールを送れません。Microsoftの案内では、この機能により、管理者が組織向けにLDAPディレクトリを構成できるほか、ユーザー自身も新しいOutlookの設定画面からLDAPディレクトリを追加できるとされています。(Microsoft 365 Message Center Archive)
従来、新しいOutlookへ移行する際に問題になりやすかったのは、「クラシックOutlookではできていた証明書検索が、新しいOutlookでも同じようにできるのか」という点です。今回のLDAPサポートは、特に外部組織とのS/MIME運用を続けたい企業にとって、移行判断の材料になります。
何が変わるのか
今回の変更点は、単に「LDAPが使えるようになる」というだけではありません。S/MIME暗号化メールの送信フローにおいて、証明書取得元の選択肢が増える点が重要です。
| 項目 | 変更前に問題になりやすかった点 | 変更後のポイント |
|---|---|---|
| 証明書検索 | 新しいOutlookで外部LDAPを使った証明書検索が運用要件に合わない場合があった | LDAPディレクトリを追加し、S/MIME送信時に証明書取得元として利用できる |
| 外部パートナー対応 | 取引先の公開証明書がMicrosoft 365側にないと暗号化送信に支障が出る | パートナーLDAPに証明書がある場合、そこから検索できる可能性がある |
| 管理者設定 | 組織としてLDAPディレクトリを配布・管理する方法の確認が必要だった | Exchange Online PowerShellでLDAPディレクトリを登録する運用が案内されている |
| ユーザー設定 | 利用者がどこでLDAPを追加するか分かりにくい | 新しいOutlookの「Settings > Mail > S/MIME」から追加できるとされている |
| 制約 | 認証が必要なLDAPをそのまま使えるとは限らない | 現時点の案内では、LDAPエンドポイントは認証不要である必要がある |
Microsoft 365 Message Centerの関連情報では、ユーザーがメール作成時にToフィールドからLDAPディレクトリの受信者を選択すると、OutlookがそのLDAPディレクトリから証明書を取得できると説明されています。また、受信者を直接Toに入力した場合は、構成済みLDAPディレクトリを含む利用可能な証明書ソースをOutlookが確認するとされています。(Microsoft 365 Message Center Archive)
対象になる組織とユーザー
この機能の影響を受けるのは、主に次のような組織です。
| 対象 | 確認すべき理由 |
|---|---|
| S/MIMEで暗号化メールを送っている企業 | 受信者の公開証明書をどこから取得しているかが送信可否に直結するため |
| 外部取引先・官公庁・関連会社とS/MIMEを使う組織 | パートナーLDAPや公開LDAPに証明書を置く運用があるため |
| 新しいOutlook for Windowsへの移行を進めているIT部門 | クラシックOutlookとの機能差を評価する必要があるため |
| Exchange Online管理者 | LDAPディレクトリ登録やS/MIME構成の整合性を確認する必要があるため |
| セキュリティ・コンプライアンス担当者 | 暗号化メールの送信失敗や誤った証明書利用を防ぐ必要があるため |
一方で、クラシックOutlook for Windowsだけを使い続けるユーザーや、LDAPによるS/MIME証明書検索を使っていない組織には、直接的な影響は限定的です。Microsoftの関連メッセージでも、クラシックOutlook利用者やLDAPを使わない組織には影響がないと説明されています。(Microsoft 365 Message Center Archive)
展開時期と提供状況の考え方
Microsoft 365 Roadmapの情報は、商用機能の予定日や概要を示すもので、内容や時期は変更される可能性があります。Roadmapの説明でも、一般提供、延期、中止などに応じて情報が変更・削除される可能性があるとされています。(Microsoft)
関連するMessage Center情報では、Worldwide向けの一般提供は2026年5月下旬に開始し、2026年6月中旬までに完了予定、GCC向けは2026年6月中旬に開始し、2026年6月下旬までに完了予定と案内されています。(Microsoft 365 Message Center Archive)
実務上は、次のように判断すると安全です。
| 状況 | 推奨対応 |
|---|---|
| すでに新しいOutlookを本番展開している | 一部ユーザーで機能が見え始める可能性を前提に、S/MIME送信テストを実施する |
| これから新しいOutlookへ移行する | LDAP証明書検索が必要な部門を先に洗い出し、移行判定項目に入れる |
| 外部LDAPを使っている | LDAPエンドポイントが認証不要でアクセス可能か確認する |
| GCC環境を利用している | Worldwideとは展開時期が異なるため、管理センターのメッセージを優先して確認する |
| S/MIMEを使っていない | 直接対応は不要。ただし将来的な暗号化メール要件がある場合は把握しておく |
管理者が確認すべき設定ポイント
新しいOutlookのLDAP対応を有効に活用するには、管理者側で「どのLDAPを使うのか」「誰が設定するのか」「証明書が正しく取得できるのか」を事前に整理する必要があります。
LDAPディレクトリエンドポイントを棚卸しする
まず、社内で使っているLDAPディレクトリを洗い出します。特に確認すべき項目は次のとおりです。
| 確認項目 | 具体例 |
|---|---|
| LDAPホスト名 | ldap.partner.example.com、ldap.corp.example.jp |
| ポート番号 | LDAPなら389、LDAPSなら636など |
| SSL/TLSの利用有無 | 通信を暗号化しているか |
| 認証要否 | 匿名参照が可能か、ID・パスワードが必要か |
| 証明書属性 | 受信者のS/MIME公開証明書が参照できる属性に入っているか |
| 利用対象 | 全社、特定部門、特定取引先のみなど |
| ネットワーク到達性 | 社外ネットワークからOutlookが参照できる構成か |
今回の機能で特に注意したいのは、Microsoftの関連情報で「LDAPエンドポイントは認証を要求しない必要がある」とされている点です。認証が必要なLDAPを前提にしている場合、そのままでは利用できない可能性があります。(Microsoft 365 Message Center Archive)
Exchange Online PowerShellでの登録を確認する
管理者はExchange Online PowerShellを使ってLDAPディレクトリを構成できると案内されています。関連情報では、次のような Add-LdapDirectory コマンド例が示されています。(Microsoft 365 Message Center Archive)
Add-LdapDirectory -Organization "contoso.com" -Id "corp-ldap" -Host "ldap.corp.com" -Port 636 -UseSsl実際に本番で設定する前に、以下を確認してください。
| 確認項目 | 判断基準 |
|---|---|
| Organization | 対象テナントまたは組織の指定が正しいか |
| Id | 後から識別しやすい一意の名前になっているか |
| Host | DNS名で安定して名前解決できるか |
| Port | LDAP/LDAPSのポートが実環境と一致しているか |
| UseSsl | LDAPSを使う場合に指定が必要か |
| 通信経路 | クライアントまたはサービスから到達可能か |
| 証明書 | LDAPSの場合、サーバー証明書の信頼性に問題がないか |
コマンド名やパラメーターは展開時点で変更・追加される可能性があります。本番反映前には、Microsoft 365管理センターのMessage Center、Microsoft Learn、Exchange Online PowerShellのヘルプを確認する運用にしてください。
S/MIME全体の前提条件も見直す
LDAP対応は、S/MIME運用の一部です。S/MIMEを使うには、送信者・受信者の証明書、証明書の配布、信頼チェーン、クライアント側の設定がそろっている必要があります。
Microsoft Learnでは、Exchange OnlineでS/MIMEを有効にする高レベルな手順として、S/MIME証明書の準備と公開、仮想証明書コレクションの設定、Microsoft 365へのユーザー証明書同期、ブラウザー拡張のポリシー設定、メールクライアント設定が説明されています。(Microsoft Learn)
今回のLDAPサポートだけを確認しても、S/MIME送信が必ず成功するわけではありません。たとえば、受信者の公開証明書がLDAPで見つかっても、その証明書を検証するためのCA証明書が適切に構成されていなければ、暗号化や検証で問題が起きる可能性があります。
ユーザー側の操作と案内すべきポイント
ユーザーは、新しいOutlookの Settings > Mail > S/MIME からLDAPディレクトリを追加できると案内されています。(Microsoft 365 Message Center Archive)
ただし、ユーザーに「LDAPを追加してください」とだけ伝えると、設定ミスが起きやすくなります。管理者は、以下のような形で案内を用意すると実務で混乱を減らせます。
| ユーザーに伝える内容 | 例 |
|---|---|
| どの場面で使うか | 外部取引先にS/MIME暗号化メールを送るとき |
| どのLDAPを追加するか | 取引先A用LDAP、グループ会社用LDAPなど |
| 入力するホスト名 | ldap.example.com のように具体的に記載 |
| SSLの有無 | 「SSLを有効にする」など画面に合わせて説明 |
| 送信前の確認 | 宛先選択時にLDAPから受信者を選ぶ |
| 失敗時の連絡先 | 情報システム部、セキュリティ管理者など |
Microsoft Supportでは、新しいOutlookでS/MIMEを使うには、事前にデジタルID、つまり証明書を取得し、コンピューターに追加する必要があると説明されています。また、新しいOutlookはデジタル証明書を自動的にはインポートしないため、手動でインストールするか、管理者がポリシーで自動インストールする必要があるとされています。(マイクロソフト サポート)
つまり、LDAP設定は「受信者の公開証明書を探す仕組み」であり、送信者本人の証明書設定とは別です。ユーザーが自分のS/MIME証明書を持っていない場合、LDAPディレクトリを追加してもS/MIME送信は完了しません。
新しいOutlookへの移行で注意すべき点
新しいOutlookへの移行では、メール送受信や予定表だけでなく、S/MIMEのようなセキュリティ機能も移行判定に含めるべきです。特に暗号化メールは、送れないこと自体が業務停止につながるケースがあります。
クラシックOutlook利用者には直接影響しない
今回の機能は新しいOutlook for Windowsに関するものです。関連情報では、クラシックOutlook for Windowsのユーザーには影響しないとされています。(Microsoft 365 Message Center Archive)
ただし、「影響しない」は「何もしなくてよい」と同じではありません。今後、クラシックOutlookから新しいOutlookへ段階移行する計画があるなら、S/MIME運用を移行チェックリストに入れておくべきです。
認証が必要なLDAPは要注意
今回の案内では、LDAPエンドポイントは認証を要求しない必要があるとされています。(Microsoft 365 Message Center Archive)
これはセキュリティ面で悩ましいポイントです。匿名参照可能なLDAPをインターネット側に公開する場合、公開範囲や属性、アクセス制御、ログ監視を慎重に設計する必要があります。
実務では、次の観点で確認してください。
| 観点 | チェック内容 |
|---|---|
| 公開範囲 | 必要な公開証明書属性だけを参照できるようにしているか |
| 個人情報 | 氏名、部署、電話番号など不要な属性まで公開していないか |
| 通信暗号化 | LDAPSなどで通信を保護しているか |
| ログ | 大量検索や不審な参照を検知できるか |
| 取引先要件 | 相手先が利用するLDAP仕様と一致しているか |
| 代替手段 | LDAPが使えない場合の証明書交換手順があるか |
「認証不要」という条件だけを満たすために、既存ディレクトリをそのまま広く公開するのは避けるべきです。必要に応じて、S/MIME証明書検索専用のLDAP公開領域を分けるなど、影響範囲を絞る設計が現実的です。
S/MIMEとMicrosoft Purview Message Encryptionを混同しない
Outlookの暗号化には、S/MIMEとMicrosoft Purview Message Encryptionなど複数の方式があります。Microsoft Supportでも、Outlookの暗号化オプションとしてS/MIMEとMicrosoft Purview Message Encryptionが説明されています。(マイクロソフト サポート)
今回のLDAPサポートは、S/MIMEの証明書検索に関する変更です。Purview Message Encryptionの権限管理や暗号化ポリシーをLDAPで制御する機能ではありません。
使い分けの目安は次のとおりです。
| 方式 | 向いている場面 | 注意点 |
|---|---|---|
| S/MIME | 証明書ベースで送信者署名・受信者暗号化を行いたい場合 | 送信者・受信者双方の証明書管理が必要 |
| Microsoft Purview Message Encryption | Microsoft 365中心に権限付き暗号化を行いたい場合 | 受信者環境やライセンス、ポリシー設計の確認が必要 |
| パスワード付き添付ファイル | 一時的・例外的なファイル共有 | 誤送信対策や監査性に課題が残りやすい |
管理者向けの展開前チェックリスト
本番展開前には、次の順番で確認すると抜け漏れを減らせます。
| ステップ | 確認内容 | 完了の目安 |
|---|---|---|
| 現状把握 | S/MIMEを使う部門、取引先、利用者数を洗い出す | 対象ユーザーと業務が一覧化されている |
| 証明書取得元の確認 | Microsoft 365、社内AD、外部LDAPなど証明書ソースを整理する | 送信先ごとの証明書取得方法が分かる |
| LDAP要件確認 | ホスト、ポート、SSL、認証要否、公開属性を確認する | Outlookから使える候補が明確になっている |
| 管理者設定 | Exchange Online PowerShellでの登録方法を検証する | テスト環境または限定ユーザーで動作確認済み |
| クライアント確認 | 新しいOutlookでS/MIME画面、LDAP追加、宛先選択を確認する | 実際の送信テストが成功している |
| ユーザー案内 | 画面手順、入力値、問い合わせ先を文書化する | ヘルプデスクが同じ回答を返せる |
| 監査・ログ | LDAP参照や送信失敗時の確認方法を整理する | 障害時の切り分け手順がある |
| 移行判定 | クラシックOutlookから新しいOutlookへ移行してよい部門を判断する | 部門別の移行可否が決まっている |
特に重要なのは、S/MIMEを使うユーザーを全社平均で見ないことです。多くの社員が使っていなくても、法務、調達、公共機関対応、金融・医療・研究部門など、一部の業務では暗号化メールが必須になっている場合があります。
開発者・運用担当者が見ておきたい技術的なポイント
この機能はOutlookのユーザー向け機能に見えますが、実際にはディレクトリ、証明書、メールクライアント、ネットワークが関係します。開発者や運用担当者は、次の点を確認しておくと障害対応がしやすくなります。
宛先入力と証明書検索の動きをテストする
関連情報では、ToフィールドでLDAPディレクトリから受信者を選択した場合、そのLDAPディレクトリから証明書を取得すると説明されています。また、宛先を直接Toリストに追加した場合は、構成済みLDAPディレクトリを含む利用可能な証明書ソースを検索するとされています。(Microsoft 365 Message Center Archive)
そのため、テストでは次の2パターンを分けて確認してください。
| テスト | 確認すること |
|---|---|
| LDAPディレクトリから宛先を選択 | 期待したLDAPから証明書を取得できるか |
| メールアドレスを直接入力 | Outlookが正しい証明書ソースを見つけられるか |
どちらか一方だけ確認すると、実際のユーザー操作で失敗する可能性があります。特にユーザーは宛先を手入力することが多いため、直接入力時の挙動は必ず確認しましょう。
証明書の重複や古い証明書に注意する
LDAP内に同じメールアドレスの証明書が複数ある場合、古い証明書や期限切れ証明書が混在していると、送信失敗や受信不能の原因になります。
確認すべき項目は次のとおりです。
| 項目 | 失敗例 |
|---|---|
| 有効期限 | 期限切れの公開証明書で暗号化してしまう |
| メールアドレス | 証明書のSubject Alternative Nameやメール属性が実アドレスと一致しない |
| 鍵用途 | メール暗号化に使えない証明書を公開している |
| 失効状態 | 失効済み証明書がLDAPに残っている |
| 重複 | 新旧証明書が併存し、どれが使われるか分かりにくい |
S/MIMEでは「証明書が見つかること」よりも、「正しく検証でき、受信者が復号できる証明書を使うこと」が重要です。LDAP公開前に、証明書のライフサイクル管理も合わせて見直してください。
ネットワーク制限で失敗するケースを想定する
新しいOutlookでLDAPを使う場合、クライアントやサービスがLDAPエンドポイントへ到達できる必要があります。ファイアウォール、プロキシ、VPN、条件付きアクセス、DNSの設計によっては、社内ネットワークでは成功しても社外では失敗することがあります。
最低限、次の利用シーンで確認しておくと安心です。
| 利用シーン | 確認内容 |
|---|---|
| 社内LAN | LDAP/LDAPSに到達できるか |
| 社外ネットワーク | 在宅勤務環境でも証明書検索できるか |
| VPN接続時 | VPN経由で名前解決と通信ができるか |
| プロキシ環境 | LDAP通信が想定どおり許可されるか |
| モバイル回線 | 新しいOutlookを利用する端末条件と合っているか |
よくある失敗と回避策
「LDAPを登録したのに暗号化メールが送れない」
LDAP登録だけではS/MIME送信の条件は満たせません。送信者自身のS/MIME証明書、受信者の公開証明書、証明書チェーン、失効確認、Outlook側のS/MIME設定を順番に確認してください。
Microsoft Supportでも、新しいOutlookでS/MIMEを使う前にデジタルIDを取得し、コンピューターに追加する必要があると説明されています。(マイクロソフト サポート)
「ユーザーにLDAP設定を任せたら入力ミスが多い」
LDAPのホスト名やポート番号は、一般ユーザーにはなじみがありません。可能であれば管理者側で組織向けに構成し、ユーザー操作を最小化するのが現実的です。ユーザー設定が必要な場合でも、画面キャプチャ付きの手順書と、コピーして使える入力値を用意してください。
「外部パートナーのLDAPが認証必須だった」
現時点の案内では、認証が必要なLDAPエンドポイントはサポートされないとされています。(Microsoft 365 Message Center Archive)
この場合は、パートナー側にS/MIME証明書参照用の認証不要LDAPを用意できるか確認するか、証明書交換の別手順を検討する必要があります。セキュリティ要件上、認証なし公開が難しい場合は、新しいOutlookへの全面移行前に代替運用を決めてください。
「クラシックOutlookと同じ感覚で移行してしまう」
クラシックOutlookで問題なくS/MIMEを使えていても、新しいOutlookでは設定画面や証明書の扱いが異なります。Microsoft Supportでは、新しいOutlookはデジタル証明書を自動インポートしないと説明されています。(マイクロソフト サポート)
移行時は、メール送受信の基本機能だけで判断せず、S/MIME署名、暗号化、復号、外部宛先、証明書更新後の動作まで確認しましょう。
実務でのおすすめ対応方針
この変更への対応は、組織のS/MIME利用状況によって優先度が変わります。
| 組織の状況 | 対応方針 |
|---|---|
| S/MIMEを使っていない | 情報収集のみでよい。将来の暗号化要件がある場合は把握しておく |
| 社内ユーザー間だけでS/MIMEを使う | 既存の証明書同期と新しいOutlook側のS/MIME設定を中心に確認する |
| 外部取引先とS/MIMEを使う | LDAP対応の検証優先度が高い。取引先LDAPの仕様確認が必要 |
| 新しいOutlookへ移行中 | 移行チェックリストにLDAP証明書検索を追加する |
| 厳格なコンプライアンス要件がある | セキュリティ部門と公開LDAPの設計、ログ、監査を確認する |
最も安全なのは、全社展開前に「S/MIMEを使う代表ユーザー」を選び、実際の取引先宛てに近い条件でテストすることです。テストでは、署名付きメール、暗号化メール、返信、転送、証明書更新後の送信まで確認してください。
まとめ：新しいOutlook移行前にLDAPとS/MIME運用を点検する
Outlook: LDAP directory support for S/MIME in New Outlookは、新しいOutlookでS/MIME暗号化メールを運用する企業にとって、外部パートナーとの安全なメール送信を支える重要な変更です。LDAPディレクトリを使って受信者の公開証明書を取得できるようになることで、クラシックOutlookから新しいOutlookへの移行時に懸念されやすかった証明書検索の課題を一部解消できる可能性があります。
ただし、LDAPエンドポイントが認証不要である必要があること、送信者自身の証明書設定は別途必要であること、証明書チェーンや古い証明書の管理が必要であることには注意が必要です。
管理者はまず、S/MIMEを使っている部門と外部送信先を洗い出し、LDAPエンドポイント、Exchange Online PowerShellでの登録、ユーザー向け手順、送信テストを順番に確認してください。新しいOutlookへの移行を進めるなら、「メールが読めるか」だけでなく、「業務で必要な暗号化メールを確実に送れるか」まで確認することが次のアクションです。
コメント