SESとは？（突然postfixでSMTPリレー）

先日、突然EC2からのメール送信が必要ということが発覚したときの顛末を紹介します。

公開日当日に、突然以下のような内容のメールが届きました。

Dear EC2 Customer,
You recently reached a limit on the volume of email you were able to send out of SMTP port 25 on your instance:xxxxxxx

EC2内のMTAからメールを送信するプログラムでは、そのままだと上記のようなメールが届き、
メールの送信制限に引っかかります。
その為、メールの上限解除申請フォームから解除申請とメールドメインの逆引き申請を行う必要がありました。

この時点で、例えば以下の内容(メールアドレスやサーバー名などはサンプルです)で、メールを送信してみます。

  # php -a
> mail("memorycraft@gmail.com", "Subject1", "Body", "From: server@memorycraft.jp");

この時点ではメールヘッダの内容は、例として以下のようになっていました。

Return-Path: 
Received: from ip-10-132-10-146.localdomain (ec2-54-248-82-123.ap-northeast-1.compute.amazonaws.com. [54.248.82.123])
　　　　by mx.google.com with ESMTP id qc4si62972240pbb.326.2013.01.08.08.20.17;
　　　　Tue, 08 Jan 2013 08:20:17 -0800 (PST)
Received-SPF: neutral (google.com: 54.248.82.123 is neither permitted nor denied by best guess record for domain of root@ip-10-132-10-146.localdomain) client-ip=54.248.82.123;
Authentication-Results: mx.google.com; spf=neutral (google.com: 54.248.82.123 is neither permitted nor denied by best guess record for domain of root@ip-10-132-10-146.localdomain) smtp.mail=root@ip-10-132-10-146.localdomain
Received: by ip-10-132-10-146.localdomain (Postfix, from userid 0)
　id E5D5C1E1D; Wed,  9 Jan 2013 01:20:16 +0900 (JST)

Received-SPFとAuthentication-Resultsがneutralになっているのが問題のようで、
これらがpassになっていないとメーラーによっては迷惑メールとして扱われて
しまうことがあるようです。

一応申請したものの、すぐに解除されるわけではないので、次善策としてSESを利用するのはどうかという意見が
ありました。
そこで、まずプロダクション使用申請フォームからSESのプロダクション申請を行いました。
ただし、これもすぐには通らないので、既にプロダクションモードになっている別の社内アカウントのSESを
一時的に使うことにしました。

まず、SESで送信元のメールアドレスを認証させる為に、メールアドレスを登録します。

確認メールが送られてくるのでリンクをクリックして認証します。そうすると、以下のような画面が表示されます。

また、SESのAPIを使うようなプログラムの変更はなるべく避けたいのでメールを送信しているEC2内のpostfixから
リレーする必要があります。
ここで、suz-labブログの記事「PostfixからSESにリレー(stunnel使わない編)」が参考になりました。

この記事に従って設定していきます。
/etc/ssl/certs/ca-bundle.crtがあることを確認して、/etc/postfix/main.cfの末尾に以下を追記します。

relayhost = email-smtp.us-east-1.amazonaws.com:25
smtp_sasl_auth_enable = yes
smtp_sasl_security_options = noanonymous
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_use_tls = yes
smtp_tls_security_level = encrypt
smtp_tls_note_starttls_offer = yes
smtp_tls_CAfile = /etc/ssl/certs/ca-bundle.crt

次に、sasl_passwordファイルを作ります。
SMTP用のIAMを作るためにAWS ConsoleのSESのSMTP Settingsから「Create My SMTP Credentials」ボタンで
アクセスキーとシークレットキーを取得します。
muramasaさんによると、ここではIAMで普通に作成してもダメで、SESのSMTP Settingsから作成しないと
行けないそうです。

そして、取得したアクセスキー、シークレットキーを元に、sasl_passwordファイルを作成します。

  # echo "email-smtp.us-east-1.amazonaws.com:25 xxxxxxxxxxxxxxxxxxx:yyyyyyyyyyyyyyyyyyy" > /etc/postfix/sasl_password

sasl_passwordファイルを検索テーブルに設定します。

  # postmap hash:/etc/postfix/sasl_passwd

再起動します。

  # /etc/init.d/postfix restart

これでメールを送ってみます。

  # php -a
> mail("memorycraft@gmail.com", "Subject2", "Body", "From: server@memorycraft.jp");

この場合、メールが届きません。
そこで、/var/log/mailogを見てみると、SASL認証に必要なライブラリが無いようです。

  Jan  9 03:06:09 ip-10-132-134-107 postfix/smtp[11252]: warning: SASL authentication failure: No worthy mechs found
  Jan  9 03:06:09 ip-10-132-134-107 postfix/smtp[11252]: 9CA2413E5: SASL authentication failed; cannot authenticate to server email-smtp.us-east-1.amazonaws.com[54.243.73.188]: no mechanism available

以下のように、ライブラリをインストールします。

  # yum -y install cyrus-sasl-plain cyrus-sasl-md5

もう一度送信してみますが、メールは届きません。
maillogには以下のようになっていました。

  Jan  9 04:04:51 ip-10-132-10-146 postfix/qmgr[31664]: CE9C11E25: from=, size=362, nrcpt=1 (queue active)
  Jan  9 04:04:54 ip-10-132-10-146 postfix/smtp[31726]: CE9C11E25: to=, relay=email-smtp.us-east-1.amazonaws.com[23.21.84.203]:25, delay=2.5, delays=0.03/0/1.6/0.87, dsn=5.0.0, status=bounced (host email-smtp.us-east-1.amazonaws.com[23.21.84.203] said: 554 Message rejected: Email address is not verified. (in reply to end of DATA command))

Email address is not verified.となっており、メールアドレスが認証されていないようです。
これは、Fromヘッダでしか送信元を設定していない為で、Return-Path(エンベロープFrom)に
送信元メールアドレスをセットしてあげる必要があるようです。

この場合、送信コマンド側でMTAにReturnPathを渡します。
PHPのmailコマンドの場合は以下のように第4引数で-fオプションを渡します。

  # php -a
> mail("memorycraft@gmail.com", "Subject30", "Body", "From: server@memorycraft.jp", "-fserver@memorycraft.jp");

そうすると正常に送信され、届いたメールのヘッダも以下のようにpassになりました。

Received-SPF: pass (google.com: domain of 0000013c1b944998-1b5393d9-728a-496a-8c9d-2bbf57427150-000000@amazonses.com designates 199.255.194.183 as permitted sender) client-ip=199.255.194.183;
Authentication-Results: mx.google.com; spf=pass (google.com: domain of 0000013c1b944998-1b5393d9-728a-496a-8c9d-2bbf57427150-000000@amazonses.com designates 199.255.194.183 as permitted sender) smtp.mail=0000013c1b944998-1b5393d9-728a-496a-8c9d-2bbf57427150-000000@amazonses.com
Return-Path: 0000013c1b944998-1b5393d9-728a-496a-8c9d-2bbf57427150-000000@amazonses.com

因みにcakePHP、FuelPHPの場合は下記のようにするようです。

・cakePHP

$config['additionalParameters'] = '-f '.$from_address;
$email = new CakeEmail();
$email->transportClass()->config($config);
$email->from(array($from_address=>'Information'))
->to($target)
->subject($mail_title)
->send($mail_message);

・FuelPHP

$email = Email::forge();
$email->from($from_address);
$email->to($target);
$email->subject($mail_title);
$email->return_path($from_address);
$email->body($mail_message);
$mail->send();

なんとか解決し、安心しました。

意外と見落としがちなメール送信ですが、いざという時、どの方法を取っても新規からではなんらかの申請が
必要になり、即時反映は難しそうでした。
こういった場合の為に、常に一時的なリレー用のSESを確保しておくのは有りかも知れません。

こちらの記事はなかの人（memorycraft）監修のもと掲載しています。
元記事は、こちら

SESとは？（突然postfixでSMTPリレー）

アイレット中途採用グループに特化した独自の『リスキリング研修』

RHEL9にPHP8.3系をインストールする

https通信をtcpdumpでキャプチャしてWiresharkする方法

RHEL7を8に, 8を9にインプレースアップグレードする

Cloud Run に負荷試験するときに気をつけたいこと

SESとは？（突然postfixでSMTPリレー）

関連記事Related Articles

第6回 JAWS-UG札幌 勉強会 利用状況モニタリングサービス紹介

EC2起動時にEIPプールから利用していないEIPを取得&関連付け

OpenLDAPの冗長化(ミラーモード)

可視化して解る cgroup による CPU リソース制限

Sensuの通知をslackで受け取るインターネット入門

第6回 JAWS-UG札幌勉強会利用状況モニタリングサービス紹介