組織内の最後の Exchange ハイブリッドサーバーを削除する

すべてのメールボックスを Exchange Server から Exchange Online に移行しました。また、Exchange Server には SMTP リレーが設定されなくなりました。最終的には、Exchange Server を削除しますが、完全にクラウドに移行するわけではないため、Active Directory を権限として維持したいと考えています。この記事では、組織内の最後の Exchange ハイブリッドサーバーを削除する方法を説明します。

始める前に

受信者管理のみに使用される Exchange サーバー (最終 Exchange サーバー (LES) と呼ばれることが多い) が 1 つ以上ある場合、ドメインに参加しているマシンに更新されたツールをインストールし、最後の Exchange サーバーをシャットダウンできるようになりました。

組織内に複数の Exchange Server がある場合は、この記事を進める前に、他のすべての Exchange Server を廃止し、最後の Exchange Server だけを残しておくようにしてください。

重要：すべてのメールボックスをクラウドに移行し、Exchange ハイブリッドサーバーに SMTP リレーが設定されていないことを確認してください。

最後の Exchange ハイブリッドサーバーを削除すると、以下のことに同意したことになります。

すべてのメールボックスとパブリックフォルダーを Exchange Online に移行しました (オンプレミスの Exchange 受信者はありません)。
受信者の管理とクラウド同期には AD を使用するか、同期には Microsoft Entra Connect を使用します。
オンプレミスの Exchange 管理センターまたは Exchange ロールベースのアクセス制御 (RBAC) を使用しないか、必要としません。
Windows PowerShell を受信者管理のみに使用しても問題ありません。
受信者管理アクティビティの監査やログは必要ありません。
受信者の管理のみを目的として、オンプレミスの Exchange サーバーを 1 つだけ実行しています。
Exchange サーバーを実行せずに受信者を管理したいと考えています。

この例では、Exchange Server EX03-2019 が組織内の最後のサーバーです。

を実行します。Set-ADServerSettingsコマンドレット (以下を含む)-森全体を見るパラメータ。これにより、フォレスト全体のオブジェクトを表示できるようになります。

Set-AdServerSettings -ViewEntireForest $true

オンプレミスの Exchange Server に使用可能なメールボックスがないことを確認します。

Get-Mailbox

Exchange Online テナント共存ドメインが構成されていることを確認します。

Get-RemoteDomain Hybrid* | Format-List Name, DomainName, TargetDeliveryDomain

出力が表示されます。

Name                 : Hybrid Domain - exoip365.mail.onmicrosoft.com
DomainName           : exoip365.mail.onmicrosoft.com
TargetDeliveryDomain : True

Name                 : Hybrid Domain - exoip365.onmicrosoft.com
DomainName           : exoip365.onmicrosoft.com
TargetDeliveryDomain : False

共存ドメインがリモートドメインとして追加されていない場合は、New-RemoteDomain を使用して追加できます。例えば：

New-RemoteDomain -Name 'Hybrid Domain - exoip365.mail.onmicrosoft.com' -DomainName 'exoip365.mail.onmicrosoft.com'

ターゲット配信ドメインとして設定されていない場合は、Set-RemoteDomain を使用して設定できます。例えば：

推奨読書:PowerShell から Exchange Server 経由で電子メールを送信する

Set-RemoteDomain -TargetDeliveryDomain: $true -Identity 'Hybrid Domain - exoip365.mail.onmicrosoft.com'

Exchange ハイブリッドサーバーをシャットダウンする前に、次の手順に従って Exchange 管理ツールを管理サーバーにインストールします。

インストール.NET フレームワーク 4.8(再起動が必要です)。
インストールVisual Studio 2012 用の Visual C++ 再頒布可能パッケージ.
PowerShell を使用して Windows リモートサーバー管理ツールをインストールします。

Install-WindowsFeature rsat-adds

出力が表示されます。

Success Restart Needed Exit Code      Feature Result
------- -------------- ---------      --------------
True    No             Success        {Remote Server Administration Tools, Activ...

ダウンロードExchange Server 2019 CU12 (2022H1)またはそれより新しい。

注記：常に最新の Exchange Server CU バージョンをダウンロードしてください。

Exchange Server ISO をドメインに参加しているコンピューターまたはサーバーにマウントします。

注記：管理ツールは、Exchange Server 2013、2016、または 2019 を実行しているあらゆる環境で使用できます。

マウントされた Exchange Server ドライブをダブルクリックしてウィザードを開始します。

選択今はアップデートをチェックしないでください.
クリック次.

セットアップでは、Exchange Server 管理ツールのインストールに必要なファイルがコピーされます。

クリック次.

を選択します。ライセンス契約.
クリック次.

選択推奨設定を使用する.
クリック次.

選択管理ツール.
選択Exchange Server のインストールに必要な Windows Server の役割と機能を自動的にインストールします。.
クリック次.

クリック次.

セットアップを続行できるかどうかを確認するチェックが行われるまで待ちます。

クリックインストール.

Exchange 管理ツールをインストール中です。

クリック仕上げる.

管理サーバーを再起動します。
Exchange 管理ツールがスタートメニューに表示されることを確認します。

ステップ 3. 受信者管理 EMT セキュリティグループを作成する

管理ツールがインストールされているコンピューターにサインインします。ドメイン管理者そして Windows PowerShell を開きます。

Windows PowerShell を起動します。
受信者管理スナップインを読み込みます。

Add-PSSnapin *RecipientManagement

注記：受信者を管理する場合は、毎回 PowerShell を開いて受信者管理を読み込む必要があります。

ディレクトリを Exchange Server スクリプトフォルダーに変更します。

cd "C:Program FilesMicrosoftExchange ServerV15Scripts"

走るAdd-PermissionForEMT.ps1Exchange Server スクリプトフォルダーから。

.Add-PermissionForEMT.ps1

注記：このスクリプトは、受信者管理 EMT というセキュリティグループを作成します。このグループのメンバーは受信者管理権限を持っています。ドメイン管理者権限を持たず、受信者管理を実行する必要があるすべての管理者をこのセキュリティグループに追加する必要があります。

構成が正常に完了したことを出力で確認します。

始めるActive Directory ユーザーとコンピュータ.
を展開します。ドメインそして、次の場所に移動しますユーザー.
ことを確認します。受信者管理EMTセキュリティグループが表示されます。

ドメイン管理者権限がない場合は、サインインするグループにユーザーを追加します。

注記：このグループに管理者を追加したばかりの場合、新しいグループメンバーシップを有効にするには、ユーザーは管理サーバーからログアウトして再度ログインする必要があります。

すべての受信者管理コマンドレットをテストし、次の手順で期待どおりの結果が表示されることを確認します。

ステップ 4. 受信者管理をテストする

Exchange ハイブリッドサーバーを一時的にシャットダウンして、すべての受信者コマンドが期待どおりに動作することを確認します。

更新された Exchange 管理ツールを使用すると、ドメイン管理者と受信者管理 EMT グループ (前の手順で作成した) のメンバーは、Windows PowerShell を使用して、Exchange サーバーを実行していなくても次のコマンドレットを実行できます。

Set-MailUser、Get-MailUser、New-MailUser、Remove-MailUser、Disable-MailUser、および Enable-MailUser。
Set-MailContact、Get-MailContact、New-MailContact、Remove-MailContact、Disable-MailContact、Enable-MailContact。
Set-RemoteMailbox、Get-RemoteMailbox、New-RemoteMailbox、Remove-RemoteMailbox、Disable-RemoteMailbox、および Enable-RemoteMailbox。
Set-DistributionGroup、Get-DistributionGroup、New-DistributionGroup、Remove-DistributionGroup、Disable-DistributionGroup、および Enable-DistributionGroup (Upgrade-DistributionGroup を除く)。
Get-DistributionGroupMember、Add-DistributionGroupMember、Remove-DistributionGroupMember、および Update-DistributionGroupMember。
Set-EmailAddressPolicy、Get-EmailAddressPolicy、New-EmailAddressPolicy、Remove-EmailAddressPolicy、および Update-EmailAddressPolicy。
Set-User と Get-User。

管理サーバー上で管理者として PowerShell を実行し、受信者管理スナップインを読み込みます。

Add-PSSnapin *RecipientManagement

以下のコマンドを実行し、結果が得られることを確認します。

Get-RemoteMailbox

他のすべての受信者コマンドレットをテストし、機能することを確認します。

注記：Exchange 管理シェルがオフになっているため、Exchange 管理シェルを起動しても Exchange Server に接続しません。これは予期された動作です。コマンドレットを実行する前に、受信者管理スナップインを PowerShell に読み込む必要があります。

ステップ 5. Exchange ハイブリッドサーバー構成を削除する

最後の Exchange Server を完全にシャットダウンする場合は、次の手順を実行して、環境のセキュリティ体制をクリーンアップして改善することをお勧めします。

最後の Exchange サーバーの電源を入れます。
Exchange 管理シェルを起動します。
以下のコマンドを実行し、リモートに設定されていないことを確認します。リモートに設定されており、パブリックフォルダーに引き続きアクセスしたい場合は、パブリックフォルダーを Exchange Online に移行する必要があります。

Get-OrganizationConfig | Format-List PublicFoldersEnabled

MX レコードと自動検出 DNS レコードを、オンプレミスの電子メール組織ではなく Exchange Online に向けます。内部 DNS と外部 DNS の両方を更新してください。
エントリをクリアして、Exchange サーバー上の自動検出サービス接続ポイント (SCP) を削除します。これにより、SCP が返されなくなります。

Get-ClientAccessService | Set-ClientAccessService -AutoDiscoverServiceInternalUri $null

今後ハイブリッド構成が再作成されないように、Active Directory からハイブリッド構成オブジェクトを削除します。

Remove-HybridConfiguration -Confirm:$false

ハイブリッド構成が正常に削除されたことを確認します。出力は空になります。

Get-HybridConfiguration

オンプレミスからの OAuth 構成が存在する場合は無効にします。

Get-IntraOrganizationConnector | Set-IntraOrganizationConnector -Enabled $false

OAuth を無効にした場合は、オンプレミスから OAuth が無効になっていることを確認します。「有効」列には値が表示されている必要があります間違い.

Get-IntraOrganizationConnector | Format-Table Name,Enabled,TargetAddressDomains

Windows PowerShell を管理者として実行し、Exchange Online PowerShell に接続します。

Connect-ExchangeOnline

Microsoft 365 からの OAuth 構成が存在する場合は無効にします。

Get-IntraOrganizationConnector | Set-IntraOrganizationConnector -Enabled $false

OAuth を無効にした場合は、Microsoft 365 から OAuth が無効になっていることを確認します。「有効」列には値が表示されている必要があります間違い.

Get-IntraOrganizationConnector | Format-Table Name,Enabled,TargetAddressDomains

にサインインしますMicrosoft 365 Exchange 管理センター.
拡大するメールの流れそしてクリックしてくださいコネクタ.
という名前のコネクタを削除します<一意の識別子> からの受信そして<一意の識別子> へのアウトバウンド.
拡大する組織そしてクリックしてください共有.
という名前の組織を削除しますO365 からオンプレミスへ – <一意の識別子>.
フェデレーショントラストが存在する場合は削除します。

Remove-FederationTrust "Microsoft Federation Gateway"

フェデレーション証明書が存在する場合は、それを見つけて削除します。

$fedThumbprint = (Get-ExchangeCertificate | Where-Object {$_.Subject -eq "CN=Federation"}).Thumbprint
Remove-ExchangeCertificate -Thumbprint $fedThumbprint

OAuth 用に作成されたサービスプリンシパルの資格情報を削除します。これを行うには、Exchange 管理シェルで OAuth 証明書のキー値と一致する KeyId を特定する必要があります。

$thumbprint = (Get-AuthConfig).CurrentCertificateThumbprint
$oAuthCert = (dir Cert:LocalMachineMy) | where {$_.Thumbprint -match $thumbprint}
$certType = [System.Security.Cryptography.X509Certificates.X509ContentType]::Cert
$certBytes = $oAuthCert.Export($certType)
$credValue = [System.Convert]::ToBase64String($certBytes)

Windows PowerShell を管理者として実行し、Microsoft Graph PowerShell に接続します。

Connect-MgGraph -Scopes "Application.Read.All"

上記の $credValue と同じ KeyId を見つけます。 Microsoft Graph PowerShell を使用して、テナント管理者として次のコマンドを実行します。

$ServiceName = "00000002-0000-0ff1-ce00-000000000000"
$p = Get-MgServicePrincipalByAppId -AppId $ServiceName
$keyId = (Get-MgServicePrincipal -ServicePrincipalId $p.Id).KeyCredentials $true | Where-Object {$_.Value -eq $credValue}).KeyId

サービスプリンシパルの資格情報を削除します。

Import-Module Microsoft.Graph.Applications
$params = @{
   KeyId = $keyId
}
Remove-MgServicePrincipalKey -ServicePrincipalId $p.Id -BodyParameter $params

環境に最新のハイブリッド構成がある場合は、ハイブリッドエージェントをアンインストールします。それ以外の場合は、この手順をスキップしてください。

ハイブリッドエージェントがインストールされているコンピューターで、Exchange 管理シェルを開き、ディレクトリをスクリプト C:Program FilesMicrosoft Hybrid ServiceHybridManagement.psm1 の場所に変更し、ハイブリッドエージェント PowerShell モジュールをインポートします。

cd "C:Program FilesMicrosoft Hybrid Service"
Import-Module .HybridManagement.psm1

アプリを削除するには、AppId が必要です。 Exchange Online PowerShell で次のコマンドレットのいずれかを使用して、AppId を見つけます。

Get-OrganizationRelationship ((Get-OnPremisesOrganization).OrganizationRelationship) | Select-Object TargetSharingEpr

AppId をコピーし、以下のコマンドに貼り付けてアプリを削除します。

Remove-HybridApplication -AppId "163e4562-n126-15c8-a482-422214173012" -Credential (Get-Credential)

インストールを実行したのと同じコンピューターからハイブリッド構成ウィザードを実行してハイブリッドエージェントをアンインストールし、クラシック接続を選択します。クラシック接続を選択すると、コンピュータと Entra からハイブリッドエージェントがアンインストールおよび登録解除されます。

最後の Exchange サーバーをシャットダウンします。

ステップ 6. Active Directory のクリーンアップ

オンプレミス Exchange サーバーを二度と実行しない予定がある場合は、不要な Exchange オブジェクトを削除して Active Directory をクリーンアップすることをお勧めします。

重要：このステップは元に戻すことはできません。 Exchange Server を二度と実行したくない場合にのみ続行してください。

AD クリーンアップは、次のコマンドを実行して行うことができます。ActiveDirectoryEMT.ps1のクリーンアップ管理ツールに同梱されているスクリプト。このスクリプトは、システムメールボックス、不要な Exchange コンテナ、ドメインおよび構成パーティション上の Exchange セキュリティグループのアクセス許可、および Exchange セキュリティグループを削除します。このスクリプトはドメイン管理者の資格情報を使用して実行する必要があります。

管理サーバーで PowerShell を開き、ディレクトリに移動します。

cd $env:ExchangeInstallPathScripts

以下のコマンドを実行します。

.CleanupActiveDirectoryEMT.ps1

出力が表示されます。

Removing system mailboxes
Removing un-nesessary Exchange containers in Configuration partition
Removing permissions for Exchange Security Groups on DC=exoip,DC=local
Removing permissions for Exchange Security Groups on CN=AdminSDHolder,CN=System,DC=exoip,DC=local
Removing permissions for Exchange Security Groups on CN=Configuration,DC=exoip,DC=local
Removing permissions for Exchange Security Groups on CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=exoip,DC=local
Removing permissions for Exchange Security Groups on CN=EXOIP,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=exoip,DC=local
Removing permissions for Exchange Security Groups on CN=Recipient Policies,CN=EXOIP,CN=Microsoft Exchange,CN=Services,CN=Configuration,DC=exoip,DC=local
Removing permissions for Exchange Security Groups on CN=Microsoft Exchange Autodiscover,CN=Services,CN=Configuration,DC=exoip,DC=local
Removing permissions for Exchange Security Groups on CN=Sites,CN=Configuration,DC=exoip,DC=local
Removing Exchange Security Groups container
Removing Exchange System Objects container
Cleanup script completed successfully

これで、Exchange Hybrid AD コンピュータオブジェクトを Active Directory ユーザーとコンピュータから削除できるようになりました。

重要：Exchange Server をアンインストールしないでください。代わりに、AD コンピューターオブジェクトを削除します。

最新の Exchange Server CU および Exchange Server SU がリリースされるたびに、管理ツールを最新の状態に保つ必要があります。

Exchange Serverの累積的な更新プログラム

管理サーバーに累積的な更新プログラムをインストールするには、管理者としてコマンドプロンプトを実行します。

PrepareADを実行します。

E:Setup.exe /PrepareAD /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF

管理ツールの役割をアップグレードします。

E:Setup.exe /m:Upgrade /IAcceptExchangeServerLicenseTerms_DiagnosticDataOFF

以前に環境内で .CleanupActiveDirectoryEMT.ps1 を実行していた場合は、Active Directory EMT をクリーンアップします。 /PrepareAD によって一部のオブジェクトが再作成され、CleanupActiveDirectoryEMT.ps1 によって削除されるため、これを実行する必要があります。

重要：CleanupActiveDirectoryEMT.ps1 によって加えられた変更は元に戻すことができません。これは、稼働している Exchange サーバーが存在しない組織でのみ実行することが重要です。

管理サーバーで PowerShell を開き、ディレクトリに移動します。

cd $env:ExchangeInstallPathScripts

以下のコマンドを実行します。

.CleanupActiveDirectoryEMT.ps1

Exchangeサーバーのセキュリティアップデート

Exchange Server セキュリティ更新プログラムを管理サーバーにインストールするには、セキュリティ更新プログラムパッケージをダウンロードして実行し、管理ツールの役割を新しい SU に更新します。特別なアクションは必要ありません。

最後の Exchange ハイブリッドサーバーの削除に関するよくある質問

Exchange Server 2019 管理ツールのシステム要件は何ですか?

Exchange 管理ツールは軽量のインストールであり、ドメインに参加している任意の Windows マシンにインストールできます。これは、ドメインに参加しているワークステーションである可能性があります。

最後の Exchange サーバーをアンインストールできないのはなぜですか?

最後の Exchange Server をアンインストールすると、Exchange 組織コンテナが Active Directory から削除されるなど、さまざまな構成が変更され、管理ツールパッケージで Exchange 属性を管理できなくなります。サーバーをシャットダウンし、必要に応じて別の用途に再利用することをお勧めします。

CleanupActiveDirectoryEMT.ps1 を実行すると、Exchange サーバーを再度インストールできますか?

はい。 CleanupActiveDirectoryEMT.ps1 は、セキュリティグループ、Exchange コンテナ、およびシステムメールボックスを削除し、セキュリティ侵害が発生した場合に攻撃者によって悪用されないようにします。後で Exchange サーバーが必要になった場合は、Active Directory を準備してから Exchange Server 2019 をインストールする必要があります。古いバージョンの Exchange をインストールすることはできません (Exchange Server 2019 の追加のみがサポートされています)。

当社には Exchange Server が存在したことはなく、すべてのユーザーは Exchange Online を使用しています。ユーザーのプロビジョニングには Active Directory を使用します。新しい Exchange Server 2019 管理ツールパッケージは私たちにとって関係ありますか? 「はい」の場合、サポートされるために Exchange サーバーをインストールする必要がありますか?

このシナリオでは、更新された Exchange 管理ツールがサポートされており、それらを使用するために Exchange サーバーをインストールする必要はありません。 Active Directory フォレストを拡張していない場合は、Active Directory スキーマを拡張する必要があります。その後、ドメインに参加しているマシンに管理ツールをインストールできます。

最後の Exchange サーバーをシャットダウンしたことによる長期的な問題はありますか?

今後 Exchange サーバーを使用する予定がない場合は、最後のサーバーをシャットダウンして再フォーマットし、マシンを再利用またはリサイクルできます。よくわからない場合は、サーバーをアーカイブできます。 Exchange サーバーをアンインストールしないでください。

サブドメインを持つドメインがあり、Exchange がルートドメインとサブドメインにインストールされており、これらが 2 つの異なるテナントによるハイブリッド構成である場合はどうなりますか?

それはワークステーションと接続されたドメインによって異なります。 Exchange 管理ツールは、両方のドメインの受信者管理に使用できます。

最後の Exchange サーバーはかなり前に削除 (アンインストール) しました。 Azure AD Connect を使用している場合、受信者の管理に役立つ最新の Exchange Server 2019 管理ツールをインストールできますか?

はい。 Active Directory を準備し、ドメインに参加しているマシンに Exchange 2019 サーバー管理ツールをインストールするだけです。

新しい Exchange Server 2019 管理ツールパッケージをインストールするとき、最後の Exchange サーバーをすぐに削除する必要がありますか?

最後の Exchange サーバーをシャットダウンし、新しい管理ツールが機能することを確認することをお勧めします。削除スクリプトを使用して最後のサーバーの削除を急ぐ必要はありません。サーバーがもう必要ないことが確認できたら、CleanupActiveDirectoryEMT.ps1 スクリプトを使用して Active Directory をクリーンアップできます。

私たちの組織では、Exchange Server 2019 サーバーをインストールしたことはありません。このソリューションを使用して Exchange 受信者を管理できますか?これを行うには、最初に Exchange 2019 Server をインストールする必要がありますか?

Exchange 2019 管理ツールは、現在 Exchange Server 2013 以降のバージョンを使用している組織にインストールできます。管理ツールを使用する前に Exchange Server 2019 を実行する必要はありません。 Exchange Server 2019 用の Active Directory (2022 H1 Exchange Server 2019 CU 以降を使用) を準備し、ドメインに参加しているマシンに管理ツールをインストールするだけです。

私たちの組織は現在、最後の Exchange サーバーをユーザー管理だけでなく SMTP リレーの目的でも使用しています。最後の Exchange サーバーを削除した場合、SMTP リレーはどうすればよいですか?

最後の Exchange サーバーがシャットダウンされている場合は、SMTP 電子メールの中継に Exchange エッジトランスポートサーバーを使用することをお勧めします。

代わりにサードパーティの管理ツールを使用できますか?

サードパーティの管理ツールまたは ADSIEDIT を使用できるかどうかという質問がよくあります。答えは、使用することはできますが、サポートされていないということです。 Exchange 管理ツールは、最後の Exchange サーバーを削除した後に Exchange 受信者とオブジェクトを管理できる唯一のサポートされているツールです。サードパーティの管理ツールを使用する場合は、自己責任で行ってください。サードパーティの管理ツールは多くの場合正常に機能しますが、Microsoft はこれらのツールを検証していません。

すべてのメールボックスを Exchange Online に移動した後、オンプレミスの Exchange サーバーを削除したいと考えています。ただし、アプリケーションの SMTP (Simple Mail Transfer Protocol) リレーやパブリックフォルダーへのアクセスなど、他の目的で Exchange を使用していることがわかりました。

組織の現在のニーズを満たすためにオンプレミスの Exchange サーバーが必要な場合、オンプレミスサーバーを削除することは最善の策ではない可能性があります。

Exchange Online で Microsoft Entra Cloud Sync または Microsoft Entra Connect Sync を使用している場合でも、オンプレミスの Exchange サーバーは必要ですか?

Microsoft Entra Cloud Sync または Microsoft Entra Connect Sync が展開されており、Exchange Online を使用している場合は、ユーザー管理のためにオンプレミスの Exchange サーバーまたは Exchange 管理ツールをインストールする必要があります。

Microsoft Entra Connect Cloud Sync または Microsoft Entra Connect Sync と Exchange Online をオンプレミス AD でセットアップしています。 Exchange 管理ツールをインストールする必要がありますか?

はい。テナントに対してディレクトリ同期が有効になっており、ユーザーがオンプレミスから同期されている場合、Exchange Online からほとんどの属性を管理できません。代わりに、これらの属性をオンプレミスから管理する必要があります。

組織内で実行されている Exchange サーバーがなくなった場合、管理ツールを新しい累積更新プログラム (CU) またはセキュリティ更新プログラム (SU) に更新する必要がありますか?

はい。