ServiceNow のメール配信に使用する Sender Policy Framework（SPF）レコードの設定方法Issue ServiceNow は、共有メールインフラストラクチャから送信メールを送信します。組織が送信者の IP アドレスに基づいてメールをフィルタリングまたはブロックする場合は、SPF レコードを使用して ServiceNow の IP アドレスを許可するようにメールシステムを設定する必要があります。 SPF（Sender Policy Framework）は、ドメイン所有者が、自身に代わってメールを送信することを許可されているメールサーバーを公開できるようにする DNS ベースのメカニズムです。これは、RFC 7208 で標準化されています。 SPF の詳細については、次を参照してください。 OpenSPFRFC 7208 お客様責任に関する通知 SPF レコードの設定は DNS インフラストラクチャの変更であり、組織のメールまたは DNS 管理チームが計画、テスト、および実装する必要があります。ServiceNow テクニカルサポートは、お客様の環境における DNS 設定、SPF レコードの構文、または許可リストの管理に関するガイダンスを提供しておらず、この種の支援を求めて送信されたケースは、この記事にリダイレクトされます。 これらの変更の実装について支援が必要な場合は、社内 IT チームまたは資格のあるサードパーティーのメールインフラストラクチャプロバイダーに依頼してください。 カスタム SMTP 構成 この記事で説明する ServiceNow メールサーバーの IP は、インスタンスが送信メールに ServiceNow 提供の SMTP アカウントを使用している場合にのみ適用されます。インスタンスがカスタム SMTP 設定を使用している場合は、代わりに「Source address used for integrations into customer network with NO VPN」に記載されているノード IP が適用されます。詳細については、IP address information - Access and Integration を参照してください。 ServiceNow SPF レコード service-now.comドメインの信頼できるSPFレコードは次のとおりです。 v=spf1 exists:%{ir}.spf.mail.service-now.com ~all このレコードは、マクロで exists: メカニズムを使用しています。接続しているメールサーバーの IP ごとに、受信システムは .spf.mail.service-now.com の DNS ルックアップを実行します。そのホスト名が解決されると、IP は service-now.comの代わりに送信することが許可されます。 注意:このレコードは、-all (ハードフェイル) ではなく ~all (ソフトフェイル) 修飾子を使用しています。softfailを使用すると、SPFが失敗してもSMTPトランザクションを続行できるため、最終的な処分を決定する前に他の認証メカニズム(DKIMとDMARC)を評価することができます。SPFの失敗だけで、メールを拒否する唯一の根拠になるべきではありません。詳細については、「 M3AAWG メール認証の推奨ベストプラクティス (2020 年 9 月) 」を参照してください。 SPF認証の仕組み 受信メールサーバーが ServiceNow の IP からメッセージを受信すると、次の処理を実行します。 service-now.com の SPF TXT レコードを取得します。送信元 IP アドレスを逆順にします（たとえば、199.91.140.26 は 26.140.91.199 になります）。26.140.91.199.spf.mail.service-now.com の DNS A ルックアップを実行します。ルックアップで解決される場合（ServiceNow は、成功を示すために戻り値 127.0.0.2 を使用します）、その IP は許可されます。レコードが存在しない場合、SPF は失敗します。 このアプローチにより、ServiceNow は、お客様に設定の更新を求めることなく、いつでもメールサーバーの IP を追加または削除できます。 Release<!-- /*NS Branding Styles*/ --> .ns-kb-css-body-editor-container { p { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } span { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } h2 { font-size: 24pt; font-family: Lato; color: var(--now-color--text-primary, black); } h3 { font-size: 18pt; font-family: Lato; color: var(--now-color--text-primary, black); } h4 { font-size: 14pt; font-family: Lato; color: var(--now-color--text-primary, black); } a { font-size: 12pt; font-family: Lato; color: var(--now-color--link-primary, #00718F); } a:hover { font-size: 12pt; color: var(--now-color--link-primary, #024F69); } a:target { font-size: 12pt; color: var(--now-color--link-primary, #032D42); } a:visited { font-size: 12pt; color: var(--now-color--link-primary, #00718f); } ul { font-size: 12pt; font-family: Lato; } li { font-size: 12pt; font-family: Lato; } img { display: ; max-width: ; width: ; height: ; } } サポートされているすべてのリリース Resolution<!-- /*NS Branding Styles*/ --> .ns-kb-css-body-editor-container { p { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } span { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } h2 { font-size: 24pt; font-family: Lato; color: var(--now-color--text-primary, black); } h3 { font-size: 18pt; font-family: Lato; color: var(--now-color--text-primary, black); } h4 { font-size: 14pt; font-family: Lato; color: var(--now-color--text-primary, black); } a { font-size: 12pt; font-family: Lato; color: var(--now-color--link-primary, #00718F); } a:hover { font-size: 12pt; color: var(--now-color--link-primary, #024F69); } a:target { font-size: 12pt; color: var(--now-color--link-primary, #032D42); } a:visited { font-size: 12pt; color: var(--now-color--link-primary, #00718f); } ul { font-size: 12pt; font-family: Lato; } li { font-size: 12pt; font-family: Lato; } img { display: ; max-width: ; width: ; height: ; } } メールシステムの設定 ユースケースに応じて、2つの異なる設定要件があります。続行する前に、環境に適用される要件を確認してください。 ユースケース 1：ServiceNow がお客様のドメインに代わって送信するメール ServiceNow は、From アドレスで組織のドメインを使用してメールを送信できます（例：notifications@yourcompany.com）。このメールが受信サーバーで SPF に合格するには、お客様のドメインの SPF レコードで、ServiceNow メールサーバーがお客様に代わって送信することを許可する必要があります。 お客様のドメインの SPF レコードに include:service-now.com を追加します。たとえば、現在の SPF レコードが次の場合： v=spf1 include:mail.yourcompany.com ~all 次のように更新します。 v=spf1 include:mail.yourcompany.com include:service-now.com ~all service-now.com の SPF レコードでは exists: マクロメカニズムが使用されるため、include:service-now.com を追加しても、ポリシーの10回のルックアップ制限に対して追加される DNS ルックアップは2回のみです。1回は include: 自体に対するもので、もう1回は exists: の評価に対するものです。ほとんどの設定では、これによって SPF レコードが制限を超えることはありません。 注：組織ドメインの SPF レコードに include:service-now.com を追加することが望ましくない場合、たとえば、既存の SPF ポリシーとの相互作用を避ける場合は、代わりにサブドメインから送信するように ServiceNow を設定することを検討してください（例：notifications@sn.yourcompany.com）。サブドメインには、組織ドメインのポリシーから独立した独自の SPF レコードを設定できます。 SPF TXT レコードの長さに関する問題が発生した場合は、Configure long SPF TXT records（AWS）を参照してください。 ServiceNow がお客様のドメインに代わってメールを送信している場合は、カスタム DKIM 署名を設定することも強く推奨されます。DKIM は、メールの転送または中継の影響を受けない追加の認証レイヤーを提供し、SPF のみに依存できない場合の DMARC アラインメントに必要です。詳細については、Now Support の Service Catalog を使用した DKIM カスタムドメイン用公開鍵のリクエストを参照してください。 ユースケース 2：ServiceNow システムからお客様のメールゲートウェイに到着するメール 組織が ServiceNow インフラストラクチャから送信されたメールを受信する場合があります。たとえば、@service-now.com から送信されるシステム通知や、ServiceNow インスタンスによってお客様のドメインに代わって送信されるメールです。メールゲートウェイが送信元 IP アドレスに基づいて受信メールをフィルタリングまたはブロックする場合は、ServiceNow メールサーバーの IP を許可するように設定してください。 推奨されるアプローチは、SPF を動的に評価し、service-now.com の SPF チェックに合格したメールを許可するようにゲートウェイを設定することです。SPF の合格結果に基づいて許可リストに登録する方法については、メールサーバーのドキュメントを参照してください。 動的な SPF 評価を使用できない場合は、次のホスト名を照会して静的 IP 許可リストを作成します。このホスト名は、現在の ServiceNow メールサーバーの完全な IP セットに解決されます。 dig A senders.mail.service-now.com +short 返されたすべての IP を許可リストに含めます。 警告：ServiceNow は、いつでもこのレコードに IP アドレスを追加したり、このレコードから IP アドレスを削除したりする場合があります。配信の中断を回避するため、このホスト名を再照会して許可リストを更新する定期的なプロセスを実装してください。 dig コマンドにアクセスできない場合（たとえば、Windows の場合）は、MxToolbox SPF Lookup または同様の DNS ツールを使用して、このホスト名の A レコードを取得できます。 SPFレコードの確認 service-now.com の現在の SPF レコードを確認するには、次を実行します。 dig service-now.com TXT +short v=spf1 で始まるレコードを探します。 新しい SPF レコードを DNS に公開する前に、その構文が正しく、10回の DNS ルックアップを超えていないことを検証するには、Kitterman SPF Validator または同様のツールを使用します。 データセンターフェイルオーバー ServiceNow メールサーバーは、データセンター間で相互にバックアップします。1つのデータセンターで容量または接続の問題が発生した場合、メールが別のデータセンターを経由してルーティングされることがあります。このフェイルオーバーは自動的に発生し、個々のインスタンスに対して無効にすることはできません。 マクロベースの SPF レコードと senders.mail.service-now.com ホスト名はどちらも、データセンターに関係なく、すべての service-now.com メールサーバーの IP を対象とします。フェイルオーバーに対応するための追加設定は必要ありません。 従来のSPFレコード この記事の以前のバージョンでは、次の SPF サブドメインを参照していました。 b.spf.service-now.com（カナダのデータセンター） c.spf.service-now.com（米国およびヨーロッパのデータセンター） d.spf.service-now.com（その他すべてのデータセンター） これらのレコードは既存の設定では引き続き有効ですが、非推奨であり、メンテナンスされなくなりました。新しいデプロイでは、上記の include: メカニズムを使用してください。ServiceNow は、IP アドレスが変更された場合に、レガシーレコードが最新の状態に維持されることを保証しません。 特殊なケース:ハイブリッドシンガポールインスタンス ハイブリッドシンガポールのインスタンスでは、@service-now.com ではなく、送信者ドメイン @sg.service-now.com を使用する必要があります。このドメインには、個別の SPF レコードがあります。 v=spf1 a:spf.sg.service-now.com -all シンガポールの現在の IP を確認するには、次を照会します。 dig A spf.sg.service-now.com +short これらの IP アドレスが変更された場合、変更を反映するように SPF レコードが更新されます。 規制対象市場:SPP-SG シンガポールを拠点とする規制対象市場環境のインスタンスでは、@service-now.com ではなく、送信者ドメイン @servicenowcloud.com.sg を使用する必要があります。このドメインには、個別の SPF レコードがあります。 v=spf1 a:spf.servicenowcloud.com.sg ~all シンガポールの現在の IP を確認するには、次を照会します。 dig A spf.servicenowcloud.com.sg +short これらの IP アドレスが変更された場合、変更を反映するように SPF レコードが更新されます。 規制対象市場:SPP-AU オーストラリアを拠点とする規制対象市場環境のインスタンスでは、@service-now.com ではなく、送信者ドメイン @servicenowcloud.com.au を使用する必要があります。このドメインには、個別の SPF レコードがあります。 v=spf1 a:spf.servicenowcloud.com.au -all シンガポールの現在の IP を確認するには、次を照会します。 dig A spf.servicenowcloud.com.au +short これらの IP アドレスが変更された場合、変更を反映するように SPF レコードが更新されます。 Related Links<!-- /*NS Branding Styles*/ --> .ns-kb-css-body-editor-container { p { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } span { font-size: 12pt; font-family: Lato; color: var(--now-color--text-primary, #000000); } h2 { font-size: 24pt; font-family: Lato; color: var(--now-color--text-primary, black); } h3 { font-size: 18pt; font-family: Lato; color: var(--now-color--text-primary, black); } h4 { font-size: 14pt; font-family: Lato; color: var(--now-color--text-primary, black); } a { font-size: 12pt; font-family: Lato; color: var(--now-color--link-primary, #00718F); } a:hover { font-size: 12pt; color: var(--now-color--link-primary, #024F69); } a:target { font-size: 12pt; color: var(--now-color--link-primary, #032D42); } a:visited { font-size: 12pt; color: var(--now-color--link-primary, #00718f); } ul { font-size: 12pt; font-family: Lato; } li { font-size: 12pt; font-family: Lato; } img { display: ; max-width: ; width: ; height: ; } } OpenSPF RFC 7208IP アドレス情報 - アクセスと統合 M3AAWG メール認証の推奨ベストプラクティス (2020 年 9 月)長いSPF TXTレコードを設定する(AWS)Now Support のサービスカタログ経由で DKIM カスタムドメインの公開鍵を要求するMxToolbox SPF ルックアップKitterman SPFバリデーター GCC (servicenowservices.com) については、 https://hiwave.servicenowservices.com/kb_view.do?sysparm_article=KB20000578 を参照してください