📩

AWS 構成で MTA-STS を有効にする

2022/09/19に公開

はじめに

MTA-STS を有効にするためには https://mta-sts.<メールドメイン>/.well-known/mta-sts.txt という指定の URL にテキストファイルを配置する必要があります。これをできるだけ簡単に済ませたいので AWS のマネージドサービスだけで完結させます。

多分これが一番早いと思います。

ドメインの所有権検証は、ドメイン管理に Route 53 を利用している場合、 DNS 検証にすれば 2, 3 クリックで完了します。

mta-sts.<メールドメイン> を以下の設定で作成します。

オリジン
- オリジンドメイン: 作成した S3 バケット
- S3 バケットアクセス: Origin access control settings (recommended)
- Origin access control: 新規作成
ビヘイビア
- ビューワープロトコルポリシー: HTTPS Only
- 許可された HTTP メソッド: GET, HEAD
設定
- 代替ドメイン名 (CNAME): mta-sts.<メールドメイン>
- カスタム SSL 証明書: 作成した証明書

メールドメインを管理するホストゾーンを開きます。
以下のレコードを作成します。
- mta-sts.<メールドメイン> A レコード: CloudFront のエイリアス
- mta-sts.<メールドメイン> AAAA レコード: CloudFront のエイリアス
- _mta-sts.<メールドメイン> TXT レコード: v=STSv1;id=<1-32 桁の英数字列>;
- _smtp._tls.<メールドメイン> TXT レコード: v=TLSRPTv1;rua=mailto:<レポート送付先メールアドレス>

CloudFront を利用することにより A/AAAA レコードの作成が簡単になります。

S3 バケットと CloudFront を 1:1 構成にしていますが、複数ドメインの MTA-STS を一括で管理したい場合、 S3 にドメインごとのプレフィックスを切ってそれぞれ mta-sts.txt ファイルを配置し、プレフィックスごとにオリジンを作成することができます。

Google Workspace を利用している場合、管理コンソールの Gmail のコンプライアンス設定から DNS にや mta-sts.txt に設定する値を確認できます。

脚注