[アップデート] Amazon SES Mail Manager にバウンス応答の返信、Lambda 呼び出しルールアクションやオプショナル TLS、mTLS サポートが追加されました

いわさです。

Amazon SES には Mail Manager という受信メールのゲートウェイ機能があります。
イングレスエンドポイント でメールを受信し、Traffic Policy でフィルタリングした後、Rule Set に定義したルールに基づいてメールの処理を自動化することが出来ます。以前紹介しました。

https://dev.classmethod.jp/articles/ses-mail-manager/

そして本日のアップデートで、Mail Manager に以下の 4 つの機能が追加されました。

https://aws.amazon.com/about-aws/whats-new/2026/04/ses-mail-manager-introduces-new-features/

• イングレスエンドポイント の TLS ポリシーに「オプション」を追加（TLS 暗号化なしでもメールを受付可能に）
• イングレスエンドポイント で相互 TLS（mTLS）認証をサポート
• ルールアクションに「Lambda 関数を呼び出す」を追加
• ルールアクションに「バウンス応答の返信」を追加

それぞれの概要を紹介しつつ、コンソール上での設定項目の追加も確認してみました。
今回こちらを確認してみたので紹介します。

実際に確認してみる

イングレスエンドポイント の TLS ポリシーに「オプション」を追加

これまで イングレスエンドポイント の TLS ポリシーは「必須」がデフォルトで、接続元の SMTP クライアントは TLS を使用する必要がありました。

今回のアップデートで「オプション」ポリシーが追加されました。これは TLS 暗号化の有無にかかわらずメールを受け付ける設定で、TLS をサポートしていないレガシーシステムからも Mail Manager に接続出来るようになります。
なお、相互 TLS タイプの イングレスエンドポイント やパブリックネットワーク上の認証済みタイプの イングレスエンドポイント では「オプション」は使用出来ないみたいです。

コンソールで確認してみます。イングレスエンドポイント の作成画面を開くと、Transport Layer Security (TLS) ポリシーに「オプション」が追加されていることが確認出来ます。

イングレスエンドポイント の相互 TLS（mTLS）認証

イングレスエンドポイント のタイプとして「相互 TLS」が選択出来るようになりました。
相互 TLS を使うと、接続元の SMTP クライアントに対して TLS クライアント証明書の提示を要求し、証明書ベースの認証を行うことが出来ます。
設定時には CA バンドル（認証局バンドル）を指定します。オプションで証明書失効リスト（CRL）や KMS キーも設定可能です。

相互 TLS 接続時のクライアント証明書の属性（Common Name、シリアル番号、Subject Alternative Name など）はルール条件で使用出来るため、接続元のクライアントに応じたメールルーティングも実現出来ます。
なお、相互 TLS はパブリック イングレスエンドポイント でのみ利用可能で、VPC エンドポイントでは使用出来ないみたいです。

コンソールで確認してみます。イングレスエンドポイント の作成画面で、タイプに「相互 TLS」が追加されていることが確認出来ます。

「相互 TLS」を選択すると、CA バンドルと証明書失効リスト (CRL)、KMS キーの設定項目が表示されます。

「Lambda 関数を呼び出す」ルールアクション

ルールセットのアクションとして AWS Lambda 関数を直接呼び出せるようになりました。
これにより、受信メールに対してカスタムの処理ワークフローを実装出来ます。
Lambda に渡されるペイロードのフォーマットは Amazon SES Email Receiving と同じとのことです。

コンソールで確認してみます。ルールセットのルール編集画面で「新しいアクションを追加」を選択すると、アクションのドロップダウンに「Lambda 関数を呼び出す」が追加されていることが確認出来ます。

選択すると、Lambda 関数、呼び出しタイプ（イベント / RequestResponse）、IAM ロールの設定項目が表示されます。

「バウンス応答の返信」ルールアクション

ルールセットのアクションとして、送信元サーバーに対して RFC 準拠の SMTP バウンスレスポンスを返せるようになりました。
特定の条件に一致するメールに対して、NDR（Non-Delivery Report）を生成して送信元に返却出来ます。

先ほどと同じようにコンソールのアクションドロップダウンを見てみると「バウンス応答の返信」が追加されていることも確認出来ます。たぶんこれかな、前はなかったので。

選択すると、テンプレート、SMTP 応答コード、ステータスコード、診断メッセージ、メッセージ、送信者 E メールアドレス、IAM ロールなどの設定項目が表示されます。テンプレートを選択するとバウンス応答フィールドに自動的に入力されるようです。

さいごに

本日は Amazon SES Mail Manager にバウンス応答の返信、Lambda 呼び出しルールアクションやオプショナル TLS、mTLS サポートが追加されたので確認してみました。

特に「バウンス応答の返信」アクションは、これまでドロップアクションかあるいは別途仕組みを構築する必要がありましたが、ルールアクション一つで RFC 準拠のバウンスレスポンスを返せるようになったのは便利そうです。
「Lambda 関数を呼び出す」アクションも、受信メールをトリガーにしたカスタム処理の幅が広がりそうですね。