Amazon WorkMail

解決する課題

• 自前のメールサーバ（Exchangeなど）の構築・運用負荷から解放されたい
• Outlookやモバイルなどの既存メールクライアントをそのまま使い続けたい
• 業務メールとカレンダーをAWS管理下のセキュアな環境で運用し、保存場所やリージョンを把握したい

主要概念と用語

• 組織（Organization）: WorkMailの管理単位。ユーザやグループ、ドメインをまとめて管理する
• ユーザ: メールボックスを持つ利用者。ディレクトリのアカウントに紐づく
• グループ: 複数ユーザへ一括配信するための配布リスト
• リソース: 会議室や備品など、カレンダーで予約対象にできる存在
• ドメイン: 送受信に使うメールアドレスのドメイン。自社ドメインを登録・検証して利用できる
• ディレクトリ: ユーザ認証の基盤。AWS Directory Serviceや既存のActive Directoryと連携できる
• Exchange互換（EWSなど）: Exchange由来のプロトコルに対応し、Outlookやモバイルの自動設定で接続できる

仕様・制限・クォータ

• ユーザはWebクライアントに加え、Exchange互換プロトコルによりOutlookや各種モバイルメールアプリから接続できる
• 自社のカスタムドメインを登録・検証してメールアドレスに利用できる
• ユーザ管理は**ディレクトリ（AWS Directory ServiceやAD連携）**を基盤に行う
• メールボックスには容量上限があり、ユーザ単位で割り当てられる
• 利用できるリージョンは限定的で、データはその選択リージョンに保管される
• 添付ファイルサイズや組織あたりのユーザ数などにはサービス側のクォータがある

内部の仕組み

Amazon WorkMailは、メール送受信・カレンダー・連絡先といった機能をAWSがマネージドに提供するサービスです。ユーザのメールボックス実体はAWS側に保管され、利用者はWebクライアントやExchange互換クライアントからアクセスします。Exchange互換のプロトコルに対応しているため、Outlookやモバイルの**自動構成（オートディスカバリ相当）**でメールボックスへ接続でき、専用クライアントを配布せずに済むのが特徴です。

ユーザ認証はディレクトリを起点に行われます。新規にWorkMail用のディレクトリを作る方法のほか、既存のActive DirectoryやAWS Managed Microsoft ADと連携し、社内アカウントでサインインさせる構成も取れます。受信メールに対しては、送信ドメイン認証や迷惑メール・マルウェア対策などの処理が組み込まれており、運用者がメールゲートウェイを別途構築しなくても基本的な保護が働きます。

設計パターン / ベストプラクティス

• 既存のActive Directoryと連携し、社内アカウント体系のままユーザを管理する
• 自社ドメインを登録・検証し、正規の送信ドメイン認証を整えて到達性を高める
• 会議室や備品をリソースとして登録し、カレンダーから予約できるようにする
• 配布リストはグループで表現し、個別アドレス指定の運用を避ける
• 移行時は段階的にユーザを切り替え、並行運用期間を設けて影響を局所化する

運用・監視

• ユーザ・グループ・リソースの追加や削除といった管理操作は管理コンソールやAPIで行う
• メール関連の操作記録はCloudTrailで追跡し、監査に利用する
• メールフローへの追加処理が必要な場合は、所定の連携で受信メールをイベントとして扱い自動処理に回す
• メールボックス容量や利用状況を定期的に確認し、上限超過の前に対処する
• ドメイン検証や送信ドメイン認証の設定が崩れていないかを継続的に点検する

コスト

• 課金は基本的にメールボックス（ユーザ）単位の月額が中心となる
• 利用ユーザ数に比例するため、退職者や不要アカウントの整理が直接コストに効く
• カスタムドメインの利用そのものは追加要件だが、メール基盤としてはサーバ運用コストが不要になる点が利点
• 具体的な料金は変動するため、最新の公式料金で見積もる

セキュリティ

• メールデータは保存時に暗号化され、鍵管理にはKMSを利用できる
• クライアントとの通信は**転送時に暗号化（TLS）**される
• ユーザ認証はディレクトリに集約し、既存のADのパスワードポリシーを適用できる
• 受信メールに対する迷惑メール・マルウェア対策が組み込まれている
• データの保管リージョンを把握でき、所在地に関する要件に対応しやすい
• 管理操作はIAMで権限を制御し、操作証跡はCloudTrailで残す

Well-Architected の観点

• セキュリティ: 保存時・転送時の暗号化、ディレクトリ集中認証、迷惑メール対策で業務メールを保護する
• 運用上の優秀性: サーバのパッチ適用や冗長化をAWSに任せ、運用者は管理操作に集中できる
• 信頼性: メールボックスの可用性と耐久性をマネージドに確保し、自前運用の単一障害点を避ける

試験で問われるポイント

関連サービス・比較

ハンズオン / CLI例

# 組織を作成（ディレクトリと連携した管理単位）
aws workmail create-organization \
  --alias my-company \
  --directory-id "$DIRECTORY_ID"

# 組織の一覧を確認して組織IDを取得
aws workmail list-organizations

# ユーザを作成し、メールボックスを有効化する
aws workmail create-user \
  --organization-id "$ORG_ID" \
  --name taro \
  --display-name "Taro Yamada" \
  --password "ChangeMe12345"