Exchange ActiveSync 用 Endpoint Management コネクタ

最終公開日 : Oct 21, 2026

XenMobile Mail Manager は、Exchange ActiveSync 用 Endpoint Management コネクタになりました。Citrix の統合ポートフォリオの詳細については、Citrix 製品ガイドを参照してください。

このコネクタは、XenMobile® の機能を次の方法で拡張します。

Exchange Active Sync（EAS）デバイスの動的アクセス制御。EAS デバイスは、Exchange サービスへのアクセスを自動的に許可またはブロックできます。
XenMobile が Exchange によって提供される EAS デバイスのパートナーシップ情報にアクセスする機能。
XenMobile が EAS ステータスに基づいてモバイルデバイスをワイプする機能。
XenMobile が Blackberry デバイスに関する情報にアクセスし、ワイプやパスワードのリセットなどの制御操作を実行する機能。

EAS ステータスに基づいてデバイスをワイプするには、ActiveSync トリガーを使用して自動アクションを構成します。自動アクションを参照してください。

Exchange ActiveSync 用 Endpoint Management コネクタをダウンロードするには：

<https://www.citrix.com/downloads>にアクセスします。
Citrix Endpoint Management™ (および Citrix XenMobile Server) > XenMobile Server (オンプレミス) > 製品ソフトウェア > XenMobile Server 10 > サーバーコンポーネント に移動します。
Citrix Endpoint Management connector for Exchange ActiveSync タイルで、Download File をクリックします。

重要：

2022年10月以降、Microsoft がこちらで発表した認証変更に伴い、Exchange ActiveSync 用 Endpoint Management および Citrix Gateway コネクタは Exchange Online をサポートしなくなります。Exchange 用 Endpoint Management コネクタは、Microsoft Exchange Server（オンプレミス）で引き続き動作します。

新機能

以下のセクションでは、以前はXenMobile Mail Managerと呼ばれていたExchange ActiveSync用Endpoint Managementコネクタの新機能について説明します。

バージョン10.1.10の新機能

バージョン10.1.10では、以下の問題が修正されています。

頻繁にネットワークの問題が発生するお客様は、以前提供されていた3回の試行回数ではスナップショットを完了できない場合があります。このリリースでは、管理者が最大試行回数（1～10回）を設定できます。この修正により、スナップショットプロセスを完全に中断することなく、通信の中断が複数回発生してもスナップショットを続行できるようになります。
以前のバージョンでは、スナップショットタイプがExchange構成のリストに表示されませんでした。今回のバージョンでは、スナップショットタイプが表示されるようになりました。
PowerShellによって報告されるPSRemotingTransport例外は、Exchangeへのセッションがもはや有効ではないことを示します。このステータスは、デフォルトで構成ファイルの「重大なエラー」リストに追加されます。これにより、PSRemotingTransportExceptionが検出されると、接続は後で破棄するためにエラー状態としてマークされます。次回の通信では、有効な接続が使用されるか、新しい接続が作成されます。
構成の変更が保存される際、新しい構成をロードする前に、以前に構成されたすべての内部コンポーネントが適切に破棄されない可能性があります。この問題は、予測不能な動作につながる可能性があります。動作は、特定の変更と、その変更が以前の構成と競合したかどうかに依存します。このリリースでは、新しい構成をロードする前にすべての内部コンポーネントが破棄されます。

以前のバージョンの新機能

以下のセクションでは、Exchange ActiveSync用Endpoint Managementコネクタの以前のバージョンの機能と修正された問題について説明します。

バージョン10.1.9の新機能

バージョン10.1.9では、以下の問題が修正されています。

構成の変更がより一貫した方法で処理されるようになりました。サービスが構成の変更を検出すると、各内部サブシステムが停止され、アクティブまたはスケジュールされた処理が中断されます。次に、新しい構成がロードされ、サブシステムが再起動されます。これにより、すべてのスケジュールおよびその他の内部インフラストラクチャが新しい設定で再確立されます。この問題は、バージョン10.1.8の既知の問題を修正します。
アップグレード中に、既存のデータベース構成が新しい構成ファイルにマージされませんでした。データベース構成は、アップグレードされた構成ファイルにマージされるようになりました。
スナップショット関連の診断ファイルで、列ヘッダーが欠落していました。ヘッダーが復元されました。
以前のバージョンからアップグレードする際、構成ファイルのデフォルトセクションが、使用中の構成ファイルの類似セクションによって上書きされていました。この問題により、アップグレード後にデフォルトセクションへの追加や改善がサービスによってロードされませんでした。このバージョン以降、デフォルトセクションは常に最新の構成を反映します。
アプリケーションの実行中にShiftキーを押しても、管理者は特定のオプションにアクセスできなくなりました。これらのオプションは以前、Citrixの許可があれば利用可能でした。「リダイレクトの許可 (Allow Redirection)」などの一部のオプションは完全に利用可能になり、「ハング検出 (Hang Detection)」や「カウント修正 (Count Correction)」などの他のオプションは非推奨になりました。

バージョン10.1.8の新機能

バージョン10.1.8で修正された問題は次のとおりです。

Exchangeは、Exchange ActiveSyncサービス用のCitrix Endpoint Managementコネクタがコマンドを頻繁に発行しすぎないようにスロットリングする可能性があります。これはOffice 365への接続でよく見られます。スロットリングの影響により、サービスは次のコマンドを送信する前に指定された期間一時停止する必要があります。Configureコンソールに、一時停止の残り時間が表示されるようになりました。
構成ファイル (config.xml) の「Watchdog」または「SpecialistsDefaults」セクションに変更が加えられた場合、アップグレード後にその変更が構成ファイルに反映されません。このリリースでは、変更が新しい構成ファイルに正しくマージされます。
Google Analyticsに送信される分析情報に、特にスナップショットに関する詳細が追加されました。
Exchangeの接続テスト機能は、接続の初期化を1回だけ試行していました。Office 365接続はスロットリングされる可能性があるため、スロットリング時に接続テストが失敗したように見えることがありました。Exchange ActiveSync用Citrix Endpoint Managementコネクタは、接続を最大3回試行するようになりました。
Exchangeでポリシーを適用するには、Exchange ActiveSync用Citrix Endpoint Managementコネクタが、各メールボックスに関連するすべてのデバイスを許可リストとブロックリストの2つのリストに含めるSet-CASMailboxコマンドをコンパイルする必要があります。デバイスがどちらのリストにも含まれていない場合、Exchangeはデフォルトのアクセス状態に戻ります。そのデフォルトのアクセス状態がデバイスの望ましい状態と異なる場合、そのデバイスはコンプライアンス違反になります。その結果、Exchangeのデフォルトのアクセス状態がブロックされており、許可されるべきである場合に、ユーザーがメールへのアクセスを失う可能性があります。あるいは、メールへのアクセスがブロックされるべきユーザーにアクセスが許可される可能性もあります。Exchange ActiveSync用Citrix Endpoint Managementコネクタは、有効な望ましい状態を持つすべてのデバイスが各Set-CasMailboxコマンドに含まれるようにします。

バージョン10.1.8で確認されている問題は次のとおりです。

管理者がConfigureアプリケーションで構成データを変更する際に、サービスがスナップショットやポリシー評価などの長時間かかる操作を実行している場合、サービスが不定の状態になる可能性があります。起こりうる症状としては、ポリシーの変更が処理されない、またはスナップショットが開始されないなどが考えられます。サービスを動作状態に戻すには、サービスを再起動する必要があります。サービスを開始する前に、Windowsサービスマネージャーを使用してサービスプロセスを終了する必要がある場合があります。

バージョン10.1.7の新機能

XenMobile Mail Managerは、Exchange ActiveSync用Endpoint Managementコネクタになりました。
Exchange構成ダイアログボックスのDisable Pipeliningオプションは非推奨になりました。config.xmlファイルで各コマンドに複数のステップを構成することで、同じ機能を実現できます。

バージョン10.1.7で修正された問題は次のとおりです。

スナップショット履歴ウィンドウでは、エラーメッセージがほとんどコンテキストなしで表示される場合があります。現在、エラーメッセージには、発生した場所のコンテキストがプレフィックスとして付けられます。
XmmGoogleAnalytics .dll には、リリースに対応するファイルバージョンがありませんでした。
診断を改善するため、メールボックスの許可/ブロック状態を設定するために使用されるデバイスIDのリストの文字列形式を最近変更しました。しかし、あまりにも多くのデバイスを指定すると、最大文字列サイズを超えてしまいました。現在、内部配列データ構造を使用しています。この構造にはサイズ制限がなく、診断目的でデータを適切にフォーマットします。
Exchangeと同期していないデバイスポリシーが検出された場合、そのコマンドには関連するメールボックスに属さないデバイスが含まれる可能性があります。Endpoint Management connector for Exchange ActiveSync は、Exchangeへのコマンドがそれぞれのメールボックスに属するデバイスのみを表すようにします。
一部の環境では、Microsoftアセンブリが利用できません。必要なアセンブリは、アプリケーションとともに明示的にインストールされるようになりました。
デバイスまたはメールボックスの識別名に、属性名と等号の間にスペースがある場合、および/または等号の後と値の前にスペースがある場合、Endpoint Management connector for Exchange ActiveSync はデバイスをそのメールボックスと適切に照合できない可能性があり、その逆も同様です。その結果、スナップショットの調整中に一部のデバイスやメールボックスが拒否される可能性があります。

注:

以下のセクションでは、Endpoint Management connector for Exchange ActiveSync を旧称のXenMobile Mail Managerで参照しています。名称はバージョン10.1.7から変更されました。

バージョン10.1.6.20での更新

10.1.6への更新には、バージョン10.1.6.20の以下の修正が含まれています。

Exchangeと同期していないデバイスポリシーが検出された場合、そのコマンドには関連するメールボックスに属さないデバイスが含まれる可能性があります。XenMobile Mail Manager は、Exchangeへのコマンドがそれぞれのメールボックスに属するデバイスのみを表すようにします。

バージョン10.1.6の新機能

XenMobile Mail Manager バージョン10.1.6には、以下の修正された問題と機能強化が含まれています。

スナップショット履歴ウィンドウが、更新されなくなる状態になることがあります。ウィンドウの更新メカニズムが改善され、より確実に更新されるようになりました。
パーティション化されたスナップショットとパーティション化されていないスナップショットには、2つの異なるモードとコードパスが使用されていました。パーティション化されていないスナップショットは、単一の「*」パーティションを使用する構成のパーティション化されたスナップショットと同等であるため、パーティション化されていないスナップショットモードは廃止されました。デフォルトのスナップショットモードは、36個のパーティション（0～9、A～Z）を持つパーティション化されたスナップショットになりました。
スナップショット履歴ウィンドウでは、エラーメッセージがステータスメッセージによって上書きされていました。現在、XenMobile Mail Managerは2つの別々のフィールドを提供し、ユーザーがステータスとエラーを同時に表示できるようにしています。
Exchange Online (Office 365) に接続する際、スナップショット関連のクエリがデータセットの切り捨てを引き起こす可能性があります。この問題は、XenMobile Mail Managerが複数コマンドのパイプラインスクリプトを実行する際に発生する可能性があります。アップストリームコマンドがダウンストリームコマンドにデータを十分に速く渡せず、ダウンストリームコマンドが prematurely に処理を完了してしまうためです。その結果、不完全なデータが発生します。XenMobile Mail Managerは、パイプライン自体を模倣し、アップストリームコマンドが完了するまで待ってからダウンストリームコマンドを呼び出すことができるようになりました。この変更により、すべてのデータが処理され、キャプチャされるはずです。
Exchangeへのポリシー更新コマンドで解決不可能なエラーが発生した場合、同じコマンドが長期間にわたって繰り返しワークキューに戻されていました。この状況により、コマンドがExchangeに何度も送信されていました。このバージョンのXenMobile Mail Managerでは、エラーが発生したコマンドは、ワークキューに特定の回数だけ戻されるようになりました。
特定のメールボックスに対するポリシー更新で、すべてのデバイスの許可またはブロックが含まれる場合: 発行された Set-CASMailbox コマンドは、空のリストが NULL ではなく空の文字列に変換されるため、失敗していました。適切なデータが送信されるようになりました。
新しいデバイスを処理する際、Exchangeはしばらくの間（通常15分間）状態を「DeviceDiscovery」として返すことがあります。XenMobile Mail Managerはこの状態を具体的に処理していませんでした。XenMobile Mail Managerは現在この状態を処理します。UIの「監視」タブで、ユーザーはこの状態のデバイスをフィルタリングできます。
XenMobile Mail Managerは、XenMobile Mail Managerデータベースへの書き込み権限をチェックしていませんでした。その結果、権限が制限されている場合、動作を予測できませんでした。XenMobile Mail Managerは現在、データベースから必要な権限をキャプチャして検証します。XenMobile Mail Managerは、接続テスト時（メッセージが表示されます）またはメインの「構成」ウィンドウの下部にあるデータベースインジケーター（メッセージを表示するにはホバーします）で、権限が削減されていることを示します。
現在のワークロードによっては、指示されたときにXenMobile Mail Managerサービスがすぐに停止しない場合があります。そのため、サービスが応答しない状態にあるように見えます。改善により、進行中のタスクを中断できるようになり、より正常なシャットダウンが可能になります。

バージョン10.1.5の新機能

XenMobile Mail Managerバージョン10.1.5には、以下の修正された問題が含まれています。

ExchangeがXenMobile Mail Managerのアクティビティにスロットリングを適用している場合、スロットリングが発生していることを示す表示（ログ以外）がありませんでした。このリリースでは、ユーザーがアクティブなスナップショットにカーソルを合わせると、「スロットリング」状態が表示されます。また、XenMobile Mail Managerがスロットリングされている間は、Exchangeがスロットリングの禁止を解除するまで、メジャースナップショットの開始が禁止されます。
メジャースナップショット中にXenMobile Mail ManagerがExchangeによってスロットリングされている場合: 次のスナップショット試行を実行する前に、十分な時間が経過しない可能性があります。この問題は、さらなるスロットリングとスナップショットの失敗につながります。XenMobile Mail Managerは現在、Exchangeがスナップショット試行間に待機するよう指定した時間の最小値を待機します。
診断が有効になっている場合、コマンドファイルには、各プロパティ名の前にハイフンが欠落している Set-CasMailbox コマンドが表示されます。この問題は、診断ファイルのフォーマットのみで発生し、Exchangeへの実際のコマンドでは発生しません。ハイフンが欠落しているため、ユーザーはコマンドを切り取ってPowerShellプロンプトに直接貼り付けてテストや検証を行うことができませんでした。ハイフンが追加されました。
メールボックスのIDが「lastname, firstname」の形式である場合、Exchangeはクエリからデータを返す際にコンマの前にバックスラッシュを追加します。XenMobile Mail ManagerがそのIDを使用してさらにデータをクエリする場合、このバックスラッシュを削除する必要があります。

既知の制限事項

注:

以下の制限はバージョン10.1.6で解決されています。

XenMobile Mail Managerには、Exchangeへのコマンドが失敗する原因となる既知の制限があります。Exchangeにポリシー変更を適用するために、XenMobile Mail ManagerによってSet_CASMailboxコマンドが発行されます。このコマンドは、許可するデバイスとブロックするデバイスの2つのリストを受け取ることができます。このコマンドは、メールボックスと提携しているデバイスに適用されます。

これらのリストは、Microsoft APIによってそれぞれ256文字に制限されています。いずれかのリストがこの制限を超えると、コマンド全体が失敗し、そのメールボックスのデバイスに対するすべてのポリシーが設定されなくなります。XenMobile Mail Managerのログに表示されるエラーは、次のようになります。この例はブロックされたリストに関するものです。

「メッセージ: 'ActiveSyncBlockedDeviceIDs' パラメーターをターゲットにバインドできません。"ActiveSyncBlockedDeviceIDs" の設定中に例外が発生しました: "プロパティの長さが長すぎます。最大長は256ですが、指定された値の長さは…"」

デバイスIDの長さは様々ですが、約10台以上のデバイスが同時に許可またはブロックされると、制限を超える可能性があるという目安があります。特定のメールボックスに関連付けられているデバイスがそれほど多くなることは稀ですが、可能性はあります。XenMobile Mail Managerがこのようなシナリオを処理できるように改善されるまで、ユーザーとメールボックスに関連付けられるデバイスの数を10以下に制限することをお勧めします。

バージョン10.1.4の新機能

XenMobile Mail Managerバージョン10.1.4には、以下の修正された問題が含まれています。

セキュリティの脆弱化のため、PCI協議会によってTLS 1.0は非推奨とされています。XenMobile Mail ManagerにTLS 1.1および1.2のサポートが追加されました。
XenMobile Mail Managerには新しい診断ファイルが含まれています。Exchangeの仕様でEnable Diagnosticsが選択されている場合、新しいスナップショット履歴ファイルが生成されます。スナップショットの試行ごとに、スナップショットの結果を示す行がファイルに追加されます。
コマンド診断ファイルでは、Set-CASMailboxコマンドに対して許可またはブロックされたデバイスのリストが表示されませんでした。代わりに、関連する引数に対して内部クラス名がファイルに表示されていました。XenMobile Mail Managerは、デバイスIDのリストをカンマ区切りのリストとして表示するようになりました。
不正な仕様が原因でExchangeへの接続の取得に失敗した場合、エラーメッセージが「すべての接続が使用中です」という誤ったメッセージで上書きされていました。現在では、「すべての接続が動作不能です」、「接続プールが空です」、「すべての接続がスロットリングされています」、「利用可能な接続がありません」などの、より詳細なメッセージが表示されます。
XenMobile Mail Managerの内部キャッシュに、許可/ブロック/ワイプコマンドが複数回キューに入れられることがありました。この問題により、Exchangeへのコマンド送信が遅延していました。XenMobile Mail Managerは、各コマンドのインスタンスを1つだけキューに入れるようになりました。

バージョン10.1.3の新機能

Google Analyticsのサポート: お客様がXenMobile Mail Managerをどのように使用しているかを知ることで、製品をより良くするための改善点に注力できます。
診断を有効にする設定: 構成ダイアログボックスの構成コンソールに、診断を有効にするチェックボックスが表示されます。

エンドポイントマネジメントコネクタ for エクスチェンジアクティブシンクコンソールの画像(/en-us/xenmobile/server/media/mail-manager-diagnostics-checkbox.png)

バージョン10.1.3で修正された問題

「スナップショット履歴」ウィンドウで、スナップショットの現在の状態を示すツールヒントが実際の状態を反映していません。まれに、XenMobile Mail ManagerがCommands診断ファイルに書き込めないことがあります。この場合、コマンド履歴が完全にログに記録されません。
接続でエラーが発生した場合、その接続が「エラー状態」としてマークされないことがあります。その結果、後続のコマンドがその接続を使用しようとして、別のエラーを引き起こす可能性があります。
Exchange Serverからのスロットリングが発生すると、Check Healthルーチンで例外がスローされることがあります。その結果、エラーが発生した接続や期限切れの接続がパージされない可能性があります。また、スロットリング時間が経過するまで、XenMobile Mail Managerが接続を作成しない可能性があります。
Exchangeの最大セッション数を超過すると、XenMobile Mail Managerは「Device Capture Failed」というエラーを報告しますが、これは正確なメッセージではありません。代わりに、XenMobile Mail Managerが通常Exchange通信に使用する2つのセッションが使用中であることを示すメッセージであるべきです。

バージョン10.1.2の新機能

Exchangeへの接続の改善: XenMobile Mail ManagerはPowerShellセッションを使用してExchangeと通信します。PowerShellセッションは、特にOffice 365を扱う場合、しばらくすると不安定になり、後続のコマンドの成功を妨げることがあります。XenMobile Mail Managerは、接続の有効期限を設定できるようになりました。接続が有効期限に達すると、XenMobile Mail ManagerはPowerShellセッションを正常にシャットダウンし、新しいセッションを作成します。これにより、PowerShellセッションが不安定になる可能性が低くなり、スナップショットの失敗の可能性が大幅に減少します。
スナップショットワークフローの改善: メジャースナップショットは時間とプロセスを大量に消費する操作です。スナップショット中にエラーが発生した場合、XenMobile Mail Managerはスナップショットを完了するために複数回（最大3回）試行するようになりました。後続の試行は最初から開始されません。XenMobile Mail Managerは中断したところから続行します。この機能強化により、スナップショットが進行中でも一時的なエラーを通過させることで、スナップショットの成功率が全体的に向上します。
診断機能の改善: スナップショット操作のトラブルシューティングが、スナップショット中にオプションで生成される3つの新しい診断ファイルによって容易になりました。これらのファイルは、PowerShellコマンドの問題、情報が不足しているメールボックス、メールボックスに関連付けられないデバイスの特定に役立ちます。管理者はこれらのファイルを使用して、Exchangeで正しくない可能性のあるデータを特定できます。
メモリ使用量の改善: XenMobile Mail Managerは、メモリ使用においてより効率的になりました。管理者は、システムをクリーンな状態にするために、XenMobile Mail Managerを自動的に再起動するようにスケジュールできます。
Microsoft .NET Framework 4.6の前提条件: Microsoft .NET Frameworkの前提条件がバージョン4.6になりました。

修正された問題

資格情報のプロンプトエラー: Office 365セッションの不安定性がこのエラーの主な原因でした。「Exchangeへの接続の改善」機能強化により、この問題が解決されます。(XMHELP-293, XMHELP-311, XMHELP-801)
メールボックスとデバイス数の不正確さ: XenMobile Mail Managerは、メールボックスとデバイスの関連付けアルゴリズムを改善しました。「診断機能の改善」機能は、XenMobile Mail Managerがその責任範囲外と見なすメールボックスとデバイスの特定に役立ちます。(XMHELP-623)
許可/ブロック/ワイプコマンドが認識されない: XenMobile Mail Managerの許可/ブロック/ワイプコマンドが認識されない場合があるバグが修正されました。(XMHELP-489)
メモリ管理: メモリ管理と軽減策が改善されました。(XMHELP-419)

アーキテクチャ

次の図は、Exchange ActiveSync用Endpoint Managementコネクタの主要コンポーネントを示しています。詳細な参照アーキテクチャ図については、「アーキテクチャ」を参照してください。

主な3つのコンポーネントは次のとおりです。

Exchange ActiveSyncアクセス制御管理: XenMobileと通信してXenMobileからExchange ActiveSyncポリシーを取得し、このポリシーをローカルで定義されたポリシーとマージして、Exchangeへのアクセスを許可または拒否すべきExchange ActiveSyncデバイスを決定します。ローカルポリシーにより、Active Directoryグループ、ユーザー、デバイスタイプ、またはデバイスユーザーエージェント（通常はモバイルプラットフォームのバージョン）によるアクセス制御を許可するようにポリシー規則を拡張できます。
リモートPowerShell管理: Exchange ActiveSyncアクセス制御管理によってコンパイルされたポリシーを実行するために、リモートPowerShellコマンドのスケジュール設定と呼び出しを担当します。定期的にExchange ActiveSyncデータベースのスナップショットを取得し、新規または変更されたExchange ActiveSyncデバイスを検出します。
モバイルサービスプロバイダー: XenMobileがExchange ActiveSyncのクエリ、Blackberryデバイスのクエリ、およびActiveSyncデバイスとBlackberryデバイスに対するワイプなどの制御操作を発行できるように、Webサービスインターフェイスを提供します。

システム要件と前提条件

Exchange ActiveSync用Endpoint Managementコネクタを使用するには、以下の最小システム要件が必要です。

Windows Server 2016、Windows Server 2012 R2、またはWindows Server 2008 R2 Service Pack 1。英語ベースのサーバーである必要があります。Windows Server 2008 R2 Service Pack 1のサポートはJanuary 14, 2020に終了し、Windows Server 2012 R2のサポートはOctober 10, 2023に終了します。
Microsoft SQL Server 2016 サービスパック 2 または SQL Server 2014 サービスパック 3。
Microsoft .NET フレームワーク 4.6。
Blackberry Enterprise Service、バージョン5（オプション）。

Microsoft Exchange Server の最小サポートバージョン:

マイクロソフトオフィス 365
エクスチェンジサーバー 2016
エクスチェンジサーバー 2013 (サポート終了 April 11, 2023)
エクスチェンジサーバー 2010 サービスパック 3 (サポート終了 January 14, 2020)

前提条件

Windows Management Framework がインストールされている必要があります。
- PowerShell V5、V4、および V3
PowerShell の実行ポリシーは、Set-ExecutionPolicy RemoteSigned を使用して RemoteSigned に設定する必要があります。
Endpoint Management connector for Exchange ActiveSync を実行しているコンピューターとリモートの Exchange Server の間で、TCP ポート 80 が開いている必要があります。
デバイスのメールクライアント: すべてのメールクライアントがデバイスに対して常に同じ ActiveSync ID を返すわけではありません。Endpoint Management connector for Exchange ActiveSync は各デバイスに対して一意の ActiveSync ID を期待するため、各デバイスに対して常に同じ一意の ActiveSync ID を生成するメールクライアントのみがサポートされます。以下のメールクライアントはCitrixによってテストされ、エラーなしで動作しました:
- Samsung ネイティブメールクライアント
- iOS ネイティブメールクライアント
Exchange: Exchange を実行しているオンプレミスコンピューターの要件は次のとおりです。

Exchange 構成UIで指定された資格情報は、Exchange Serverに接続でき、以下のExchange固有のPowerShellコマンドレットを実行するためのフルアクセス権が付与されている必要があります。
- Exchange Server 2010 SP2 の場合:
  - ゲット-CASメールボックス
  - セット-CASメールボックス
  - ゲット-メールボックス
  - Get-ActiveSyncDevice
  - Get-ActiveSyncDeviceStatistics
  - クリア-アクティブシンクデバイス
  - Get-ExchangeServer
  - Get-ManagementRole
  - Get-ManagementRoleAssignment
- Exchange Server 2013 および Exchange Server 2016 の場合:
  - ゲット-CASメールボックス
  - セット-CASメールボックス
  - ゲット-メールボックス
  - Get-MobileDevice
  - Get-MobileDeviceStatistics
  - クリア-モバイルデバイス
  - Get-ExchangeServer
  - Get-ManagementRole
  - Get-ManagementRoleAssignment
- Endpoint Management connector for Exchange ActiveSyncがフォレスト全体を表示するように構成されている場合、Set-AdServerSettings -ViewEntireForest $trueを実行する権限が付与されている必要があります。
- 提供された資格情報には、リモートシェル経由でExchange Serverに接続する権限が付与されている必要があります。デフォルトでは、Exchangeをインストールしたユーザーがこの権限を持っています。
- リモート接続を確立し、リモートコマンドを実行するには、資格情報はリモートマシン上の管理者であるユーザーに対応している必要があります。Set-PSSessionConfigurationを使用して管理要件を排除できますが、そのコマンドに関する説明はこのドキュメントの範囲外です。詳細については、Microsoftの記事「セッション構成について」を参照してください。
- Exchange Serverは、HTTP経由のリモートPowerShellリクエストをサポートするように構成されている必要があります。通常、Exchange Serverで次のPowerShellコマンドを実行する管理者がいれば十分です: WinRM QuickConfig。
- Exchangeには多くのスロットリングポリシーがあります。そのポリシーの1つは、ユーザーごとに許可される同時PowerShell接続の数を制御します。Exchange 2010では、ユーザーに許可される同時接続のデフォルト数は18です。接続制限に達すると、Endpoint Management connector for Exchange ActiveSyncはExchange Serverに接続できません。PowerShell経由で許可される同時接続の最大数を変更する方法がありますが、それらはこのドキュメントの範囲外です。興味がある場合は、PowerShellによるリモート管理に関連するExchangeのスロットリングポリシーを調べてください。

Office 365 Exchangeの要件

権限: Exchange構成UIで指定された資格情報は、Office 365に接続でき、以下のExchange固有のPowerShellコマンドレットを実行するためのフルアクセス権が付与されている必要があります。
- ゲット-CASメールボックス
- セット-CASメールボックス
- ゲット-メールボックス
- Get-MobileDevice
- Get-MobileDeviceStatistics
- Clear-MobileDevice
- Get-ExchangeServer
- Get-ManagementRole
- Get-ManagementRoleAssignment
特権: 指定された資格情報には、リモートシェルを介してOffice 365サーバーに接続する権限が付与されている必要があります。デフォルトでは、Office 365のオンライン管理者が必要な特権を持っています。
スロットリングポリシー: Exchangeには多くのスロットリングポリシーがあります。そのポリシーの1つは、ユーザーごとに許可されるPowerShellの同時接続数を制御します。Office 365では、ユーザーに許可される同時接続のデフォルト数は3です。接続制限に達すると、Exchange ActiveSync用Endpoint ManagementコネクタはExchange Serverに接続できません。PowerShellを介して許可される同時接続の最大数を変更する方法がありますが、これはこのドキュメントの範囲外です。興味がある場合は、PowerShellによるリモート管理に関連するExchangeのスロットリングポリシーを調べてください。

インストールと構成

XmmSetup.msiファイルをクリックし、インストーラーの指示に従ってExchange ActiveSync用Endpoint Managementコネクタをインストールします。
セットアップウィザードの最後の画面で、構成ユーティリティを起動が選択されたままにします。または、スタートメニューからExchange ActiveSync用Endpoint Managementコネクタを開きます。
次のデータベースプロパティを構成します。
- 構成 > データベースタブを選択します。
- SQL Serverの名前を入力します（デフォルトはlocalhost）。
- データベースはデフォルトのCitrixXmmのままにします。
SQLで使用する以下の認証モードのいずれかを選択します。
- SQL: 有効なSQLユーザーのユーザー名とパスワードを入力します。
- Windows Integrated: このオプションを選択した場合、Endpoint Management connector for Exchange ActiveSync Serviceのログオン資格情報を、SQL Serverにアクセスする権限を持つWindowsアカウントに変更する必要があります。これを行うには、コントロールパネル > 管理ツール > サービスを開き、Endpoint Management connector for Exchange ActiveSync Serviceのエントリを右クリックして、ログオンタブをクリックします。
BlackBerryデータベース接続にもWindows Integratedが選択されている場合、ここで指定されたWindowsアカウントにもBlackBerryデータベースへのアクセス権を付与する必要があります。
Test ConnectivityをクリックしてSQL Serverへの接続が可能であることを確認し、Saveをクリックします。
サービスを再起動するようメッセージが表示されます。Yesをクリックします。

Endpoint Management connector for Exchange ActiveSyncセットアップ画面の画像(/en-us/xenmobile/server/media/xmm-install-2.png)
1つ以上のExchange Serverを構成します。
- 単一のExchange環境を管理している場合は、単一のサーバーのみを指定します。複数のExchange環境を管理している場合は、各Exchange環境に対して単一のExchange Serverを指定します。
- Configure > Exchangeタブをクリックし、Addをクリックします。
Exchange Server環境のタイプを選択します: On PremiseまたはOffice 365。
- On Premiseを選択した場合は、Remote PowerShellコマンドに使用するExchange Serverの名前を入力します。
- 「要件」セクションで指定されているように、Exchange Server上で適切な権限を持つWindows IDのユーザー名を入力し、そのユーザーのパスワードを入力します。
- メジャーなスナップショットを実行するスケジュールを選択します。メジャーなスナップショットは、すべてのExchange ActiveSyncパートナーシップを検出します。
- マイナースナップショットを実行するスケジュールを選択します。マイナースナップショットは、新しく作成されたExchange ActiveSyncパートナーシップを検出します。
- スナップショットの種類を、ディープまたはシャローから選択します。シャロースナップショットは通常はるかに高速で、Endpoint Management connector for Exchange ActiveSync のすべての Exchange ActiveSync アクセス制御機能を実行するのに十分です。ディープスナップショットは時間がかかる場合があり、ActiveSync でモバイルサービスプロバイダーが有効になっている場合にのみ必要です。このオプションにより、XenMobile は管理対象外のデバイスを照会できます。
- デフォルトアクセスを、許可、ブロック、または変更なしから選択します。この設定は、明示的なXenMobileまたはローカルルールによって識別されたデバイス以外のすべてのデバイスがどのように扱われるかを制御します。許可を選択すると、そのようなすべてのデバイスへのActiveSyncアクセスが許可されます。ブロックを選択すると、アクセスが拒否されます。変更なしを選択すると、変更は行われません。
- ActiveSyncコマンドモードを、PowerShellまたはシミュレーションから選択します。
- PowerShellモードでは、Endpoint Management connector for Exchange ActiveSync は、目的のアクセス制御を実行するためにPowerShellコマンドを発行します。シミュレーションモードでは、Endpoint Management connector for Exchange ActiveSync はPowerShellコマンドを発行しませんが、意図されたコマンドと意図された結果をデータベースにログ記録します。シミュレーションモードでは、ユーザーは監視タブを使用して、PowerShellモードが有効になっていた場合に何が起こったかを確認できます。
- 接続の有効期限で、接続の有効期間を時間と分で設定します。接続が指定された期間に達すると、その接続は期限切れとしてマークされ、二度と使用されなくなります。期限切れの接続が使用されなくなると、Endpoint Management connector for Exchange ActiveSync はその接続を正常にシャットダウンします。接続が再度必要になった場合、利用可能な接続がない場合は新しい接続が初期化されます。指定がない場合、デフォルトの30分が使用されます。
- フォレスト全体を表示を選択して、Exchange環境内のActive Directoryフォレスト全体を表示するようにEndpoint Management connector for Exchange ActiveSync を構成します。
- 認証プロトコルを、Kerberosまたは基本から選択します。Endpoint Management connector for Exchange ActiveSync は、オンプレミス展開の基本認証をサポートしています。これにより、Endpoint Management connector for Exchange ActiveSync サーバーがExchangeサーバーが存在するドメインのメンバーではない場合でも、Endpoint Management connector for Exchange ActiveSync を使用できます。
- 接続テストをクリックしてExchange Serverへの接続が可能であることを確認し、保存をクリックします。
- サービスを再起動するようメッセージが表示されます。はいをクリックします。
アクセスルールを構成します。構成 > アクセスルールタブを選択し、XMSルールタブをクリックして、追加をクリックします。

Exchange ActiveSync 用 Endpoint Management コネクタのルールの画像(/en-us/xenmobile/server/media/connector-access-rules.png)
XenMobileサーバーサービスプロパティページで、URL文字列をXenMobileサーバーを指すように変更します。たとえば、インスタンス名がzdmの場合、https://<XdmHostName>/zdm/services/MagConfigServiceと入力します。この例では、XdmHostNameをXenMobileサーバーのIPアドレスまたはDNSアドレスに置き換えます。

Endpoint Management connector for Exchange ActiveSync コンソールページの画像(/en-us/xenmobile/server/media/xmm-install-7.png)
- サーバーの認証済みユーザーを入力します。
- ユーザーのパスワードを入力します。
- Baseline Interval、Delta Interval、およびTimeoutの値はデフォルトのままにします。
- Test Connectivityをクリックしてサーバーへの接続を確認し、OKをクリックします。
Disabledチェックボックスが選択されている場合、XenMobile Mail ServiceはXenMobileからポリシーを収集しません。
Local Rulesタブをクリックします。

Endpoint Management connector for Exchange ActiveSyncコンソールページの画像(/en-us/xenmobile/server/media/connector-access-rules-local.png)
- ActiveSyncデバイスID、デバイスの種類、ADグループ、ユーザー、またはデバイスのUserAgentに基づいてローカルルールを追加できます。リストから適切な種類を選択します。
- テキストボックスにテキストまたはテキストフラグメントを入力します。必要に応じて、クエリボタンをクリックして、フラグメントに一致するエンティティを表示します。
グループ以外のすべての種類について、システムはスナップショットで検出されたデバイスに依存します。したがって、開始したばかりでスナップショットを完了していない場合、利用可能なエンティティはありません。
- テキスト値を選択し、AllowまたはDenyをクリックして、右側のRule Listペインに追加します。Rule Listペインの右側にあるボタンを使用して、ルールの順序を変更したり、削除したりできます。特定のユーザーとデバイスの場合、ルールは表示されている順序で評価され、上位のルール（上部に近い）に一致すると、それ以降のルールは無効になるため、順序は重要です。たとえば、すべてのiPadデバイスを許可するルールがあり、その後にユーザーMattをブロックするルールがある場合、iPadルールがMattルールよりも高い実効優先度を持つため、MattのiPadは引き続き許可されます。
- ルールリスト内のルールを分析して、潜在的なオーバーライド、競合、または補足的な構成を見つけるには、Analyzeをクリックし、Saveをクリックします。
Active Directoryグループに対して機能するローカルルールを構築する場合は、Configure LDAPをクリックし、LDAP接続プロパティを構成します。

Endpoint Management connector for Exchange ActiveSyncコンソールページの画像(/en-us/xenmobile/server/media/xmm-install-8.png)
モバイルサービスプロバイダーを構成します。

モバイルサービスプロバイダーはオプションです。この設定は、XenMobileが管理対象外のデバイスを照会するためにモバイルサービスプロバイダーインターフェイスを使用するように構成されている場合にのみ必要です。
- 「Configure > MSP」タブをクリックします。
Endpoint Management connector for Exchange ActiveSync コンソールページの画像(/en-us/xenmobile/server/media/connector_msp.png)
- モバイルサービスプロバイダーサービスに対して、サービストランスポートタイプをHTTPまたはHTTPSに設定します。
- モバイルサービスプロバイダーサービスに対して、サービスポート（通常は80または443）を設定します。ポート443を使用する場合、そのポートにはIISでバインドされたSSL証明書が必要です。
- 承認グループまたはユーザーを設定します。これにより、XenMobileからモバイルサービスプロバイダーサービスに接続できるユーザーまたはユーザーのセットが設定されます。
- ActiveSyncクエリを有効にするかどうかを設定します。XenMobile ServerでActiveSyncクエリが有効になっている場合、1つ以上のExchange ServerのスナップショットタイプをDeepに設定する必要があります。この設定は、スナップショットの取得に大きなパフォーマンスコストがかかる可能性があります。
- デフォルトでは、正規表現WorxMail.*に一致するActiveSyncデバイスはXenMobileに送信されません。この動作を変更するには、必要に応じてActiveSyncのフィルターフィールドを変更します。空白の場合、すべてのデバイスがXenMobileに転送されます。
- 「保存」をクリックします。
オプションで、BlackBerry Enterprise Server (BES) のインスタンスを1つ以上構成します。「追加」をクリックし、BES SQL Serverのサーバー名を入力します。

Endpoint Management connector for Exchange ActiveSync コンソールページの画像(/en-us/xenmobile/server/media/xmm-install-10.png)
- BES管理データベースのデータベース名を入力します。
- 認証モードを選択します。Windows統合認証を選択した場合、Endpoint Management connector for Exchange ActiveSyncサービスのユーザーアカウントが、BES SQL Serverへの接続に使用されるアカウントになります。Endpoint Management connector for Exchange ActiveSyncデータベース接続にもWindows統合を選択した場合、ここで指定されたWindowsアカウントにもEndpoint Management connector for Exchange ActiveSyncデータベースへのアクセス権を付与する必要があります。
- SQL認証を選択した場合は、ユーザー名とパスワードを入力します。
- 同期スケジュールを設定します。これは、BES SQL Serverに接続し、デバイスの更新を確認するために使用されるスケジュールです。
- 「接続テスト」をクリックして、SQL Serverへの接続を確認します。Windows統合を選択した場合、このテストは現在ログオンしているユーザーを使用し、Endpoint Management connector for Exchange ActiveSyncサービスユーザーは使用しないため、SQL認証を正確にテストするものではありません。
- XenMobileからBlackBerryデバイスのリモートワイプとパスワードリセットをサポートするには、Enabledチェックボックスをオンにします。
- BESの完全修飾ドメイン名 (FQDN) を入力します。
- 管理Webサービスに使用されるBESポートを入力します。
- BESサービスに必要な完全修飾ユーザーとパスワードを入力します。
- BESへの接続をテストするには、Test Connectivityをクリックします。
- Saveをクリックします。

ActiveSync IDでメールポリシーを適用する

企業のメールポリシーによっては、特定のデバイスが企業メールの使用を承認されていない場合があります。このポリシーに従うために、従業員がそのようなデバイスから企業メールにアクセスできないようにする必要があります。Endpoint Management connector for Exchange ActiveSync と XenMobile は連携して、このようなメールポリシーを適用します。XenMobile は企業メールアクセスに関するポリシーを設定し、未承認のデバイスが XenMobile に登録されると、Endpoint Management connector for Exchange ActiveSync がポリシーを適用します。

デバイス上のメールクライアントは、デバイスの識別に使用されるデバイスID（ActiveSync IDとも呼ばれる）を使用して、Exchange Server（またはOffice 365）に自身を通知します。Secure Hubは同様の識別子を取得し、デバイスが登録されるとXenMobileにその識別子を送信します。2つのデバイスIDを比較することで、Exchange ActiveSync用Endpoint Managementコネクタは、特定のデバイスが企業メールアクセスを持つべきかどうかを判断できます。次の図はこの概念を示しています。

ActiveSync ID検出ワークフローの図(/en-us/xenmobile/server/media/enforce-email-policies-figure.png)

XenMobileが、デバイスがExchangeに公開するIDとは異なるActiveSync IDをEndpoint Management connector for Exchange ActiveSyncに送信した場合、Endpoint Management connector for Exchange ActiveSyncはExchangeにそのデバイスをどうすべきかを指示できません。

ActiveSync IDの一致は、ほとんどのプラットフォームで確実に機能します。しかし、Citrixは一部のAndroid実装において、デバイスからのActiveSync IDがメールクライアントがExchangeに通知するIDと異なることを発見しました。この問題を軽減するために、次のことができます。

Samsung SAFEプラットフォームでは、XenMobileからデバイスのActiveSync構成をプッシュします。

企業メールアクセスポリシーが適切に適用されることを保証するために、防御的なセキュリティ体制を採用し、Endpoint Management connector for Exchange ActiveSync を構成して、静的ポリシーをデフォルトで拒否に設定することでメールをブロックできます。これは、従業員が Android デバイスでメールクライアントを構成し、ActiveSync ID 検出が適切に機能しない場合、その従業員は企業メールアクセスを拒否されることを意味します。

アクセス制御ルール

Endpoint Management connector for Exchange ActiveSyncは、Exchange ActiveSyncデバイスのアクセス制御を動的に構成するためのルールベースのアプローチを提供します。Endpoint Management connector for Exchange ActiveSyncのアクセス制御ルールは、一致式と目的のアクセス状態（許可またはブロック）の2つの部分で構成されます。特定のExchange ActiveSyncデバイスに対してルールが適用されるか、デバイスと一致するかを判断するために、ルールが評価される場合があります。一致式には複数の種類があります。たとえば、特定のデバイスタイプのすべてのデバイス、特定のExchange ActiveSyncデバイスID、特定のユーザーのすべてのデバイスなどにルールが一致する場合があります。

ルールリスト内のルールの追加、削除、再配置のどの時点でも、キャンセルボタンをクリックすると、ルールリストは最初に開いたときの状態に戻ります。保存をクリックしない限り、このウィンドウで行われた変更は、構成ツールを閉じると失われます。

Endpoint Management connector for Exchange ActiveSyncには、ローカルルール、XenMobile Serverルール（XDMルールとも呼ばれます）、およびデフォルトアクセスルールの3種類のルールがあります。

ローカルルール: ローカルルールは最も高い優先順位を持ちます。デバイスがローカルルールに一致した場合、ルール評価は停止します。XenMobile Serverルールもデフォルトアクセスルールも参照されません。ローカルルールは、構成 > アクセスルール > ローカルルールタブを介して、Endpoint Management connector for Exchange ActiveSyncにローカルで構成されます。サポートの一致は、特定のActive Directoryグループ内のユーザーのメンバーシップに基づいています。サポートの一致は、次のフィールドの正規表現に基づいています。

Active SyncデバイスID
ActiveSyncデバイスタイプ
ユーザープリンシパル名（UPN）
ActiveSyncユーザーエージェント（通常はデバイスプラットフォームまたはメールクライアント）

メジャーなスナップショットが完了し、デバイスが検出されている限り、通常ルールまたは正規表現ルールのいずれかを追加できます。メジャーなスナップショットが完了していない場合は、正規表現ルールのみを追加できます。

XenMobileサーバールール: XenMobile Serverルールは、管理対象デバイスに関するルールを提供する外部XenMobile Serverへの参照です。XenMobile Serverは、デバイスがジェイルブレイクされているか、禁止されたアプリが含まれているかなど、XenMobileに既知のプロパティに基づいて許可またはブロックするデバイスを識別する独自の高レベルルールで構成できます。XenMobileは高レベルルールを評価し、許可またはブロックされたActiveSyncデバイスIDのセットを生成し、それらはEndpoint Management connector for Exchange ActiveSyncに配信されます。

デフォルトアクセスルール: デフォルトアクセスルールは、すべてのデバイスに一致する可能性があり、常に最後に評価されるという点でユニークです。このルールはキャッチオールルールであり、特定のデバイスがローカルルールまたはXenMobile Serverルールに一致しない場合、デバイスの目的のアクセス状態はデフォルトアクセスルールの目的のアクセス状態によって決定されることを意味します。

デフォルトアクセス – 許可: ローカルルールまたはXenMobile Serverルールのいずれにも一致しないデバイスはすべて許可されます。
デフォルトアクセス – ブロック: ローカルルールまたはXenMobile Serverルールのいずれにも一致しないデバイスはすべてブロックされます。
デフォルトアクセス - 変更なし: ローカルルールまたはXenMobile Serverルールのいずれにも一致しないデバイスは、Endpoint Management connector for Exchange ActiveSyncによってアクセス状態が変更されることはありません。デバイスがExchangeによって検疫モードに置かれている場合、アクションは実行されません。たとえば、検疫モードからデバイスを削除する唯一の方法は、明示的なローカルルールまたはXDMルールで検疫を上書きすることです。

ルール評価について

ExchangeがEndpoint Management connector for Exchange ActiveSyncに報告する各デバイスについて、ルールは優先度の高いものから低いものへと、次の順序で評価されます。

ローカルルール
XenMobile Serverルール
デフォルトアクセスルール

一致が見つかると、評価は停止します。たとえば、ローカルルールが特定のデバイスに一致する場合、そのデバイスはXenMobile Serverルールやデフォルトアクセスルールのいずれに対しても評価されません。これは、特定のルールタイプ内でも同様です。たとえば、ローカルルールリストで特定のデバイスに対して複数の一致がある場合、最初の一致が見つかった時点で評価は停止します。

Endpoint Management connector for Exchange ActiveSyncは、デバイスのプロパティが変更された場合、デバイスが追加または削除された場合、あるいはルール自体が変更された場合に、現在定義されているルールセットを再評価します。メジャースナップショットは、構成可能な間隔でデバイスのプロパティの変更と削除を検出します。マイナースナップショットは、構成可能な間隔で新しいデバイスを検出します。

Exchange ActiveSyncにもアクセスを管理するルールがあります。これらのルールがEndpoint Management connector for Exchange ActiveSyncのコンテキストでどのように機能するかを理解することが重要です。Exchangeは、個人免除、デバイスルール、組織設定の3つのレベルのルールで構成されている場合があります。Endpoint Management connector for Exchange ActiveSyncは、Remote PowerShellリクエストをプログラムで発行して個人免除リストに影響を与えることにより、アクセス制御を自動化します。これらは、特定のメールボックスに関連付けられた許可またはブロックされたExchange ActiveSyncデバイスIDのリストです。展開されると、Endpoint Management connector for Exchange ActiveSyncは、Exchange内の免除リスト機能の管理を効果的に引き継ぎます。詳細については、Microsoftの記事「Controlling Device Access」を参照してください。

分析は、同じフィールドに対して複数のルールが定義されている状況で役立ちます。ルール間の関係をトラブルシューティングできます。ルールフィールドの観点から分析を実行します。たとえば、ActiveSyncデバイスID、ActiveSyncデバイスタイプ、ユーザー、ユーザーエージェントなど、一致するフィールドに基づいてルールがグループで分析されます。

ルールの用語

上書きルール: 1つのデバイスに複数のルールが適用できる場合に上書きが発生します。ルールはリスト内の優先度によって評価されるため、後から適用される可能性のあるルールインスタンスは評価されない場合があります。
競合ルール: 1つのデバイスに複数のルールが適用される可能性があるが、アクセス（許可/ブロック）が一致しない場合に競合が発生します。競合するルールが正規表現ルールでない場合、競合は常に暗黙的に上書きを意味します。
補足ルール: 複数のルールが正規表現ルールであり、2つ（またはそれ以上）の正規表現を単一の正規表現ルールに結合できるか、または機能が重複していないことを確認する必要がある場合に補足が発生します。補足ルールは、そのアクセス（許可/ブロック）において競合する可能性もあります。
プライマリルール: プライマリルールは、ダイアログボックス内でクリックされたルールです。このルールは、周囲を囲む実線の境界線によって視覚的に示されます。また、上向きまたは下向きの緑色の矢印が1つまたは2つ表示されます。矢印が上を指している場合、それはプライマリルールの前に補助ルールがあることを示します。矢印が下を指している場合、これはプライマリルールの後に補助ルールがあることを示します。一度にアクティブにできるプライマリルールは1つだけです。
補助ルール: 補助ルールは、上書き、競合、または補足関係を通じて、何らかの形でプライマリルールに関連しています。これらのルールは、周囲を囲む破線の境界線によって視覚的に示されます。各プライマリルールには、1つから多数の補助ルールが存在する可能性があります。下線付きのエントリをクリックすると、強調表示される補助ルールは常にプライマリルールの観点からのものです。たとえば、補助ルールはプライマリルールによって上書きされるか、および/または補助ルールはプライマリルールとのアクセスで競合するか、および/または補助ルールはプライマリルールを補足します。

ルール分析ダイアログボックスでのルールの種類の表示方法

競合、オーバーライド、または補足がない場合、ダイアログボックスには下線付きのエントリはありません。いずれかの項目をクリックしても影響はありません。たとえば、通常選択された項目の視覚効果が表示されます。

ウィンドウにはチェックボックスがあり、これを選択すると、競合、オーバーライド、冗長、または補足であるルールのみが表示されます。

Endpoint Management connector for Exchange ActiveSync コンソールページの画像

オーバーライドが発生すると、少なくとも2つのルール（プライマリルールと補助ルールまたは複数のルール）に下線が引かれます。少なくとも1つの補助ルールは、より薄いフォントで表示され、そのルールがより優先度の高いルールによってオーバーライドされていることを示します。オーバーライドされたルールをクリックすると、どのルールがそのルールをオーバーライドしたかを確認できます。オーバーライドされたルールが、プライマリルールまたは補助ルールであるために強調表示されている場合、その横に黒い丸が表示され、そのルールが非アクティブであることをさらに視覚的に示します。たとえば、ルールをクリックする前は、ダイアログボックスは次のように表示されます。

最も優先度の高いルールをクリックすると、ダイアログボックスは次のように表示されます。

この例では、正規表現ルール WorkMail.* がプライマリルール（実線で示される）であり、通常のルール workmailc633313818 が補助ルール（破線で示される）です。補助ルールの横にある黒い点は、そのルールが先行するより優先度の高い正規表現ルールによって非アクティブ（評価されることはない）であることをさらに示す視覚的な合図です。オーバーライドされたルールをクリックすると、ダイアログボックスは次のように表示されます。

前の例では、正規表現ルール WorkMail.* が補助ルール（破線で示される）であり、通常のルール workmailc633313818 がプライマリルール（実線で示される）です。この単純な例では、大きな違いはありません。より複雑な例については、このトピックの後半にある複雑な式の例を参照してください。多くのルールが定義されているシナリオでは、オーバーライドされたルールをクリックすることで、どのルールがそれをオーバーライドしたかを迅速に特定できます。

競合が発生すると、少なくとも2つのルール（プライマリルールと補助ルールまたは複数のルール）に下線が引かれます。競合しているルールは赤い点で示されます。互いにのみ競合するルールは、2つ以上の正規表現ルールが定義されている場合にのみ可能です。他のすべての競合シナリオでは、競合だけでなく、オーバーライドも発生します。単純な例でいずれかのルールをクリックする前は、ダイアログボックスは次のように表示されます。

2つの正規表現ルールを検査すると、最初のルールが「App」を含むデバイスIDを持つすべてのデバイスを許可し、2番目のルールが「Appl」を含むデバイスIDを持つすべてのデバイスを拒否することが明らかです。さらに、2番目のルールが「Appl」を含むデバイスIDを持つすべてのデバイスを拒否するにもかかわらず、許可ルールの優先度が高いため、その条件に一致するデバイスが拒否されることはありません。最初のルールをクリックすると、ダイアログボックスは次のように表示されます。

前のシナリオでは、プライマリルール（正規表現ルール App.*）と補助ルール（正規表現ルール Appl.*）の両方が黄色で強調表示されています。これは、単一の一致可能なフィールドに複数の正規表現ルールを適用していることを警告する単なる視覚的な警告であり、冗長性の問題やより深刻な問題を示している可能性があります。

競合と上書きの両方があるシナリオでは、プライマリールール（正規表現ルール App.*）と補助ルール（正規表現ルール Appl.*）の両方が黄色で強調表示されます。これは、単一の一致可能なフィールドに複数の正規表現ルールを適用したという事実を警告するための視覚的な警告であり、冗長性の問題、またはより深刻な問題を示している可能性があります。

Endpoint Management connector for Exchange ActiveSync コンソールページの画像 (/en-us/xenmobile/server/media/xenmobilemailmanager-accessrules18.png)

前の例では、最初のルール（正規表現ルール SAMSUNG.*）が次のルール（通常のルール SAMSUNG-SM-G900A/101.40402）を上書きするだけでなく、2つのルールでアクセスが異なること（プライマリは許可、補助はブロックを指定）が容易にわかります。2番目のルール（通常のルール SAMSUNG-SM-G900A/101.40402）は、上書きされて非アクティブになっていることを示すために、薄いテキストで表示されます。

正規表現ルールをクリックすると、ダイアログボックスは次のように表示されます。

Endpoint Management connector for Exchange ActiveSync コンソールページの画像 (/en-us/xenmobile/server/media/xenmobilemailmanager-accessrules19.png)

プライマリールール（正規表現ルール SAMSUNG.*）には赤い点が付いており、そのアクセス状態が1つ以上の補助ルールと競合していることを示します。補助ルール（通常のルール SAMSUNG-SM-G900A/101.40402）には赤い点が付いており、そのアクセス状態がプライマリールールと競合していることを示します。そのルールには黒い点も付いており、上書きされて非アクティブになっていることを示します。

少なくとも2つのルール、つまりプライマリールールと補助ルールが下線で示されます。互いに補完し合うだけのルールには、正規表現ルールのみが関係します。ルールが互いに補完し合う場合、それらは黄色のオーバーレイで示されます。いずれかのルールをクリックする前の簡単な例では、ダイアログボックスは次のように表示されます。

Endpoint Management connector for Exchange ActiveSync コンソールページの画像 (/en-us/xenmobile/server/media/xenmobilemailmanager-accessrules20.png)

目視検査により、両方のルールが正規表現ルールであり、Endpoint Management connector for Exchange ActiveSync のActiveSyncデバイスIDフィールドに両方とも適用されていることが容易に明らかになります。最初のルールをクリックすると、ダイアログボックスは次のように表示されます。

Endpoint Management connector for Exchange ActiveSync コンソールページの画像 (/en-us/xenmobile/server/media/xenmobilemailmanager-accessrules21.png)

プライマリールール（正規表現ルール WorkMail.*）は、少なくとももう1つの正規表現である補助ルールが存在することを示すために、黄色のオーバーレイで強調表示されます。補助ルール（正規表現ルール SAMSUNG.*）は、それとプライマリールールの両方が、Endpoint Management connector for Exchange ActiveSync 内の同じフィールドに適用されている正規表現ルールであることを示すために、黄色のオーバーレイで強調表示されます。この場合、そのフィールドはActiveSyncデバイスIDです。正規表現は重複する場合としない場合があります。正規表現が適切に作成されているかどうかを判断するのはあなた次第です。

複雑な式の例

多くの潜在的な上書き、競合、または補足が発生する可能性があり、すべての可能なシナリオの例を示すことは不可能です。次の例では、すべきでないことについて説明するとともに、ルール分析の視覚的構成の全能力を示す役割も果たします。次の図では、ほとんどの項目に下線が引かれています。多くの項目が薄いフォントで表示されますが、これは、問題のルールが何らかの方法でより優先度の高いルールによって上書きされていることを示します。さまざまな正規表現ルールも、

アイコンで示されているように、リストに含まれています。

Endpoint Management connector for Exchange ActiveSync コンソールページの画像 (/en-us/xenmobile/server/media/xenmobilemailmanager-accessrules22.png)

上書きを分析する方法

特定のルールを上書きしたルールを確認するには、そのルールをクリックします。

例1: この例では、zentrain01@zenprise.comが上書きされた理由を調べます。

Endpoint Management connector for Exchange ActiveSyncコンソールページの画像(/en-us/xenmobile/server/media/xenmobilemailmanager-accessrules23.png)

プライマリルール（ADグループルールzenprise/TRAINING/ZenTraining B、zentrain01@zenprise.comはそのメンバー）には、次の特徴があります。

青色で強調表示され、実線で囲まれています。
上向きの緑色の矢印があります（補助ルールがすべてその上にあることを示します）。
赤い丸と黒い丸の両方が続き、それぞれ1つ以上の補助ルールがそのアクセスと競合していること、およびプライマリルールが上書きされて非アクティブになっていることを示します。

上にスクロールすると、次の内容が表示されます。

Endpoint Management connector for Exchange ActiveSyncコンソールページの画像(/en-us/xenmobile/server/media/xenmobilemailmanager-accessrules24.png)

この場合、プライマリルールを上書きする2つの補助ルールがあります。正規表現ルールzen.*と通常ルールzentrain01@zenprise.com（zenprise/TRAINING/ZenTraining Aの）です。後者の補助ルールの場合、Active DirectoryグループルールZenTraining Aにユーザーzentrain01@zenprise.comが含まれており、Active DirectoryグループルールZenTraining Bにもユーザーzentrain01@zenprise.comが含まれています。しかし、補助ルールはプライマリルールよりも優先順位が高いため、プライマリルールは上書きされています。プライマリルールのアクセスは「許可」ですが、両方の補助ルールのアクセスは「ブロック」であるため、すべて赤い丸が続き、アクセス競合がさらに示されます。

例2: この例では、ActiveSyncデバイスIDが069026593E0C4AEAB8DE7DD589ACED33のデバイスが上書きされた理由を示します。

Endpoint Management connector for Exchange ActiveSyncコンソールページの画像(/en-us/xenmobile/server/media/xenmobilemailmanager-accessrules25.png)

プライマリルール（通常のデバイスIDルール069026593E0C4AEAB8DE7DD589ACED33）には、次の特徴があります。

青色で強調表示され、実線で囲まれています。
上向きの緑色の矢印があります（補助ルールがその上にあることを示します）。
補助ルールがプライマリルールを上書きし、その結果非アクティブになっていることを示す黒い丸がその後に続きます。

Endpoint Management connector for Exchange ActiveSync コンソールページの画像(/en-us/xenmobile/server/media/xenmobilemailmanager-accessrules26.png)

この場合、単一の補助ルールがプライマリルールを上書きします。正規表現のActiveSyncデバイスIDルールは3E.*です。正規表現3E.*が069026593E0C4AEAB8DE7DD589ACED33に一致するため、プライマリルールは評価されません。

補足と競合を分析する方法

この場合、プライマリルールは正規表現のActiveSyncデバイスタイプルールtouch.*です。特徴は次のとおりです。

特定のルールフィールド（この場合はActiveSyncデバイスタイプ）に対して複数の正規表現ルールが動作していることを警告する、黄色のオーバーレイが付いた実線の境界線で示されます。
それぞれ上向きと下向きの2つの矢印は、優先度の高い補助ルールが少なくとも1つと、優先度の低い補助ルールが少なくとも1つ存在することを示しています。
その隣の赤い丸は、少なくとも1つの補助ルールがアクセスを「許可」に設定しており、それがプライマリルールの「ブロック」アクセスと競合していることを示しています。
2つの補助ルールがあります。正規表現のActiveSyncデバイスタイプルールSAM.*と、正規表現のActiveSyncデバイスタイプルールAndro.*です。
両方の補助ルールは、補助であることを示すために破線で囲まれています。
両方の補助ルールは、ActiveSyncデバイスタイプのルールフィールドにも適用されることを示すために、黄色でオーバーレイされています。
このようなシナリオでは、正規表現ルールが冗長でないことを確認する必要があります。

Endpoint Management connector for Exchange ActiveSync コンソールページの画像(/en-us/xenmobile/server/media/xenmobilemailmanager-accessrules27.png)

ルールをさらに分析する方法

この例では、ルール間の関係が常にプライマリルールの視点からどのように見られるかを探ります。前の例では、値がtouch.*のデバイスタイプのルールフィールドに適用される正規表現ルールをクリックする方法を示しました。補助ルールAndro.*をクリックすると、異なる一連の補助ルールが強調表示されます。

「Endpoint Management connector for Exchange ActiveSync コンソールページ」の画像(/en-us/xenmobile/server/media/xenmobilemailmanager-accessrules28.png)

この例は、ルール関係に含まれる上書きされたルールを示しています。このルールは、通常のActiveSyncデバイスタイプルールAndroidであり、上書きされており（薄くなったフォントと隣の黒い丸で示されています）、プライマリルールの正規表現ActiveSyncデバイスタイプルールAndro.*とのアクセスで競合もしています。このルールは、クリックされる前は補助ルールでした。前の例では、通常のActiveSyncデバイスタイプルールAndroidは、その時点でのプライマリルール（正規表現ActiveSyncデバイスタイプルールtouch.*）の観点から、関連性がなかったため、補助ルールとして表示されませんでした。

通常の式ローカルルールを構成するには

「アクセスルール」タブをクリックします。

「Endpoint Management connector for Exchange ActiveSync コンソールページ」の画像(/en-us/xenmobile/server/media/connector-exchangeactivesync-local-rule.png)
「デバイスID」リストで、ローカルルールを作成するフィールドを選択します。
虫眼鏡アイコンをクリックして、選択したフィールドの一意の一致をすべて表示します。この例では、「デバイスの種類」フィールドが選択されており、選択肢は以下のリストボックスに表示されています。

「Endpoint Management connector for Exchange ActiveSync コンソールページ」の画像(/en-us/xenmobile/server/media/connector-exchangeactivesync-localrules-unique.png)
結果リストボックスの項目を1つクリックし、次のいずれかのオプションをクリックします。
- 許可は、一致するすべてのデバイスに対してActiveSyncトラフィックを許可するようにExchangeが構成されることを意味します。
- 拒否は、一致するすべてのデバイスに対してActiveSyncトラフィックを拒否するようにExchangeが構成されることを意味します。
この例では、デバイスの種類がSamsungSPhl720であるすべてのデバイスがアクセスを拒否されます。

「Endpoint Management connector for Exchange ActiveSync コンソールページ」の画像(/en-us/xenmobile/server/media/connector-exchangeactivesync-accessrules-deny-samsung.png)

正規表現を追加するには

正規表現ローカルルールは、その横に表示されるアイコン - アイコンの画像(/en-us/xenmobile/server/media/xenmobilemailmanager-regexpression-icon.png) - で区別できます。

正規表現ルールを追加するには、特定のフィールドの結果リストから既存の値を使用して正規表現ルールを作成するか（主要なスナップショットが完了している限り）、または単に目的の正規表現を入力することができます。

既存のフィールド値から正規表現を作成するには

アクセスルールタブをクリックします。

Endpoint Management connector for Exchange ActiveSync コンソールページの画像(/en-us/xenmobile/server/media/connector-exchangeactivesync-local-rule.png)
デバイスIDリストで、正規表現ローカルルールを作成したいフィールドを選択します。
虫眼鏡アイコンをクリックして、選択したフィールドの一意の一致をすべて表示します。この例では、デバイスタイプフィールドが選択されており、選択肢は以下のリストボックスに表示されています。

Endpoint Management connector for Exchange ActiveSync コンソールページの画像(/en-us/xenmobile/server/media/connector-exchangeactivesync-magnifier.png)
結果リストのいずれかの項目をクリックします。この例では、SAMSUNGSPHL720が選択され、デバイスタイプの横のテキストボックスに表示されています。

Endpoint Management connector for Exchange ActiveSync コンソールページの画像(/en-us/xenmobile/server/media/connector-exchangeactivesync-localrules-samsung-regex.png)
デバイスタイプ値に「Samsung」を含むすべてのデバイスタイプを許可するには、以下の手順に従って正規表現ルールを追加します。
1. 選択した項目テキストボックス内をクリックします。
2. テキストをSAMSUNGSPHL720から**SAMSUNG.***に変更します。
3. 正規表現チェックボックスが選択されていることを確認します。
4. 許可をクリックします。
Endpoint Management connector for Exchange ActiveSync コンソールページの画像(/en-us/xenmobile/server/media/connector-exchangeactivesync-accessrules-allow-samsung.png)

アクセスルールを作成するには

タブをクリックします。
正規表現を入力するには、デバイスIDリストと選択した項目テキストボックスの両方を使用する必要があります。

Endpoint Management connector for Exchange ActiveSyncコンソールページの画像(/en-us/xenmobile/server/media/connector-exchangeactivesync-local-rule.png)
照合するフィールドを選択します。この例では、デバイスの種類を使用します。
正規表現を入力します。この例では、samsung.*を使用します。
正規表現チェックボックスが選択されていることを確認し、またはをクリックします。この例では、を選択します。最終結果は次のとおりです。

Endpoint Management connector for Exchange ActiveSyncコンソールページの画像(/en-us/xenmobile/server/media/connector-exchangeactivesync-samsung-asterisk.png)

デバイスを検索するには

正規表現チェックボックスを選択すると、指定された表現に一致する特定のデバイスを検索できます。この機能は、メジャースナップショットが正常に完了した場合にのみ利用できます。正規表現ルールを使用する予定がない場合でも、この機能を使用できます。たとえば、ActiveSyncデバイスIDに「workmail」というテキストが含まれるすべてのデバイスを検索したいとします。これを行うには、次の手順に従います。

タブをクリックします。
デバイス一致フィールドセレクターがデバイスID（デフォルト）に設定されていることを確認します。

Endpoint Management connector for Exchange ActiveSyncコンソールページの画像(/en-us/xenmobile/server/media/connector-exchangeactivesync-accessrules-tab.png)
選択した項目テキストボックス内（前の図で青色で示されている部分）をクリックし、workmail.* と入力します。
正規表現チェックボックスが選択されていることを確認し、虫眼鏡アイコンをクリックして、次の図に示すように一致するものを表示します。

「Endpoint Management connector for Exchange ActiveSync」コンソールページの画像(/en-us/xenmobile/server/media/connector-exchangeactivesync-accessrules-localrules-regex.png)

個々のユーザー、デバイス、またはデバイスタイプを静的ルールに追加するには

ActiveSync Devicesタブで、ユーザー、デバイスID、またはデバイスタイプに基づいて静的ルールを追加できます。

ActiveSync Devicesタブをクリックします。
リストで、ユーザー、デバイス、またはデバイスタイプを右クリックし、選択を許可するか拒否するかを選択します。

次の画像は、user1が選択されたときの許可/拒否オプションを示しています。

「Endpoint Management connector for Exchange ActiveSync」コンソールページの画像(/en-us/xenmobile/server/media/connector-exchangeactivesync-devices-allowdeny.png)

デバイス監視

Endpoint Management connector for Exchange ActiveSyncのMonitorタブでは、検出されたExchange ActiveSyncおよびBlackBerryデバイスと、発行された自動PowerShellコマンドの履歴を参照できます。Monitorタブには、次の3つのタブがあります。

ActiveSync デバイス:
- Exportボタンをクリックして、表示されているActiveSyncデバイスパートナーシップをエクスポートできます。
- User、Device ID、またはType列を右クリックし、適切な許可またはブロックルールタイプを選択することで、ローカル（静的）ルールを追加できます。
- 展開された行を折りたたむには、展開された行をCtrlキーを押しながらクリックします。
Blackberry デバイス
自動化履歴

「構成」タブには、すべてのスナップショットの履歴が表示されます。スナップショット履歴には、スナップショットがいつ実行されたか、かかった時間、検出されたデバイスの数、および発生したエラーが表示されます。

Exchangeタブで、目的のExchange Serverの「情報」アイコンをクリックします。
MSPタブの下で、目的のBlackBerry Serverの「情報」アイコンをクリックします。

トラブルシューティングと診断

Exchange ActiveSync用Endpoint Managementコネクタは、エラーやその他の運用情報をログファイル（インストールフォルダー\log\XmmWindowsService.log）に記録します。Exchange ActiveSync用Endpoint Managementコネクタは、重要なイベントもWindowsイベントログに記録します。

ログレベルを変更するには

Exchange ActiveSync用Endpoint Managementコネクタには、次のログレベルが含まれています：Error、Info、Warn、Debug、Trace。

注：

各レベルは、次のレベルに進むにつれてより詳細な情報（より多くのデータ）を生成します。たとえば、Errorレベルは最も詳細度が低く、Traceレベルは最も詳細度が高くなります。

ログレベルを変更するには、次の手順を実行します。

C:\Program Files\Citrix\Citrix Endpoint Management connectorで、nlog.configファイルを開きます。
<rules>セクションで、minilevelパラメーターを希望のログレベルに変更します。例：
<rules> <logger name="*" writeTo="file" minlevel="Debug" /> </rules>
ファイルを保存します。

変更はすぐに有効になります。Exchange ActiveSync用コネクタを再起動する必要はありません。

一般的なエラー

以下に一般的なエラーを示します。

Endpoint Management connector for Exchange ActiveSyncサービスが起動しない

ログファイルとWindowsイベントログでエラーを確認してください。一般的な原因は次のとおりです。
- Exchange ActiveSyncサービス用Endpoint ManagementコネクタがSQL Serverにアクセスできません。これは以下の問題が原因である可能性があります。
  - SQL Serverサービスが実行されていません。
  - 認証の失敗。
  Windows統合認証が構成されている場合、Exchange ActiveSyncサービス用Endpoint Managementコネクタのユーザーアカウントは、許可されたSQLログオンである必要があります。Exchange ActiveSyncサービス用Endpoint Managementコネクタのアカウントは、デフォルトではローカルシステムですが、ローカル管理者権限を持つ任意のアカウントに変更できます。SQL認証が構成されている場合、SQLログオンはSQLで適切に構成されている必要があります。
- モバイルサービスプロバイダー（MSP）用に構成されたポートが利用できません。システム上の他のプロセスで使用されていないリスニングポートを選択する必要があります。
XenMobileがMSPに接続できません

Endpoint Management connector for Exchange ActiveSyncコンソールのConfigure > MSPタブで、MSPサービスポートとトランスポートが適切に構成されていることを確認してください。承認グループまたはユーザーが適切に設定されていることを確認してください。

HTTPSが構成されている場合、有効なSSLサーバー証明書がインストールされている必要があります。IISがインストールされている場合、IISマネージャーを使用して証明書をインストールできます。IISがインストールされていない場合は、証明書のインストール方法の詳細について「SSL証明書を使用してポートを構成する方法」を参照してください。

Endpoint Management connector for Exchange ActiveSyncには、MSPサービスへの接続をテストするためのユーティリティプログラムが含まれています。InstallFolder\MspTestServiceClient.exeプログラムを実行し、URLと資格情報をXenMobileで構成されているURLと資格情報に設定し、Test Connectivityをクリックします。これにより、XenMobile Serverが発行するWebサービスリクエストがシミュレートされます。HTTPSが構成されている場合、サーバーの実際のホスト名（SSL証明書で指定されている名前）を指定する必要があります。

Test Connectivityを使用する際は、少なくとも1つのActiveSyncDeviceレコードがあることを確認してください。そうしないとテストが失敗する可能性があります。

トラブルシューティングツール

トラブルシューティング用のPowerShellユーティリティのセットは、Support\PowerShellフォルダーにあります。

トラブルシューティングツールは、ユーザーのメールボックスとデバイスの詳細な分析を実行し、エラー状態や潜在的な障害領域を検出し、ユーザーの詳細なRBAC分析を行います。すべてのコマンドレットの生出力をテキストファイルに保存できます。

XenMobile

新機能