邮箱审核日志记录
适用于：Exchange Server 2013
由于邮箱可能包含一些敏感、对业务影响很大 (HBI) 的信息和个人的可识别信息 (PII)，因此，跟踪登录组织内邮箱的人员及其所执行的操作非常重要。 跟踪邮箱所有者之外的其他用户对邮箱的访问情况尤其重要。 这些用户称为“委派用户”。
使用邮箱审核日志记录可以记录邮箱所有者、委派用户（包含具有完全邮箱访问权限的管理员）和管理员对邮箱的访问。
为邮箱启用审核日志记录时，可以指定将记录一种登录类型（管理员、委派用户或所有者）的哪些用户操作。 审核日志条目还包含客户端 IP 地址、主机名以及用于访问邮箱的进程或客户端等重要信息。 对于移动的项目，条目中包含目标文件夹的名称。
邮箱审核日志
邮箱审核日志针对每个启用了邮箱审核日志记录功能的邮箱而生成。 日志条目存储在已审核邮箱"可恢复邮件"文件夹的"审核"子文件夹中。 这可确保从单个位置获取所有审核日志条目，无论使用哪种客户端访问方法访问邮箱，或者管理员用来访问邮箱审核日志的服务器或工作站。 如果将邮箱移至其他邮箱服务器，则由于邮箱中包含该邮箱的审核日志，因此这些审核日志也会移动到其他邮箱服务器。
默认情况下，邮箱审核日志条目在邮箱中保留 90 天，然后被删除。 可以通过将 AuditLogAgeLimit 参数与 Set-Mailbox cmdlet 结合使用来修改此保留期。 如果邮箱为就地保留或诉讼保留，审核日志条目仅保留到邮箱的审核日志保留期限为止。 若要将审核日志条目保留更长时间，必须通过更改 AuditLogAgeLimit 参数的值来延长保留期。 您也可以在保留期到期之前导出审核日志条目。 有关详细信息，请参阅：
启用邮箱审核日志记录
审核日志记录是按邮箱启用的。 使用 Set-Mailbox cmdlet 启用或禁用邮箱审核日志记录。 有关详细信息，请参阅 启用或禁用邮箱的邮箱审核日志记录。
当启用邮箱的邮箱审核日志记录功能时，默认情况下会记录对邮箱的访问以及管理员和委派用户执行的某些操作。 若要记录邮箱所有者执行的操作，必须指定应审核哪些所有者操作。
邮箱审核日志记录所记录的邮箱操作
下表列出了邮箱审核日志功能记录的操作，其中包括可以记录操作的登录类型。
| 操作 | 说明 | 管理员 | 委派用户 | 所有者 |
|---|---|---|---|---|
| 复制 | 将项目复制到另一个文件夹。 | 是 | 否 | 否 |
| Create | 在邮箱的日历、联系人、备注或任务文件夹中创建项目；例如，创建新的会议请求。 请注意，不审核邮件或文件夹创建。 | 是* | 是* | 是 |
| FolderBind | 访问邮箱文件夹。 | 是* | 是** | 否 |
| HardDelete | 从"可恢复的项目"文件夹中永久删除项目。 | 是* | 是* | 是 |
| MessageBind | 在读取窗格中访问或打开项目。 | 是 | 否 | 否 |
| 移动 | 将项目移动到另一个文件夹。 | 是* | 是 | 是 |
| MoveToDeletedItems | 将项目移动到"已删除邮件"文件夹中。 | 是* | 是 | 是 |
| SendAs | 使用 Send As 权限发送邮件。 | 是* | 是* | 不适用 |
| SendOnBehalf | 使用 Send on Behalf 权限发送邮件。 | 是* | 是 | 不适用 |
| SoftDelete | 从"已删除邮件"文件夹中删除项目。 | 是* | 是* | 是 |
| 更新 | 更新项目的属性。 | 是* | 是* | 是 |
* 如果为邮箱启用了审核功能，则默认为已审核。
** 合并由委派用户执行的文件夹绑定操作的条目。 在 24 小时的时间跨度内为每个文件夹访问生成一个日志条目。
如果不再需要审核某些类型的邮箱操作，应修改邮箱的审核日志记录配置，以禁用这些操作。 在达到审核日志条目期限之前，不会清除现有日志条目。
搜索邮箱审核日志条目
可以使用下列方法搜索邮箱审核日志条目：
同步搜索单个邮箱：可以使用 Search-MailboxAuditLog cmdlet 同步搜索单个邮箱的邮箱审核日志条目。 此 cmdlet 在 Exchange 命令行管理程序窗口中显示搜索结果。 有关详细信息，请参阅 搜索邮箱邮箱审核日志。
异步搜索一个或多个邮箱：可以创建邮箱审核日志搜索，以异步搜索一个或多个邮箱的邮箱审核日志，然后将搜索结果发送到指定的电子邮件地址。 搜索结果以 XML 附件的形式发送。 要创建搜索，请使用 New-MailboxAuditLogSearch cmdlet。 有关详细信息，请参阅 创建邮箱审核日志搜索。
使用 Exchange 管理中心的审核报告 (EAC) ：可以使用 EAC 中的“ 审核 ”选项卡运行非所有者邮箱访问报告或从邮箱审核日志导出条目。 有关详细信息，请参阅：
邮箱审核日志条目
下表说明在邮箱审核日志记录条目中记录的字段。
| 字段 | 填入内容 |
|---|---|
| 操作 | 下列操作之一：
|
| OperationResult | 下列结果之一：
|
| LogonType | 执行操作的用户的登录类型。 登录类型包括：
|
| DestFolderId | 移动操作的目标文件夹 GUID。 |
| DestFolderPathName | 移动操作的目标文件夹路径。 |
| FolderId | 文件夹 GUID。 |
| FolderPathName | 文件夹路径。 |
| ClientInfoString | 可确定是哪个客户端或 Exchange 组件执行了此操作的详细信息。 |
| ClientIPAddress | 客户端计算机 IP 地址。 |
| ClientMachineName | 客户端计算机名称。 |
| ClientProcessName | 客户端应用程序进程的名称。 |
| ClientVersion | 客户端应用程序版本。 |
| InternalLogonType | 执行操作的用户的登录类型。 登录类型包括：
|
| MailboxOwnerUPN | 邮箱所有者用户主体名称 (UPN)。 |
| MailboxOwnerSid | 邮箱所有者安全标识符 (SID)。 |
| DestMailboxOwnerUPN | 目标邮箱所有者 UPN（为跨邮箱操作而记录）。 |
| DestMailboxOwnerSid | 目标邮箱所有者 SID（为跨邮箱操作而记录）。 |
| DestMailboxOwnerGuid | 目标邮箱所有者 GUID。 |
| CrossMailboxOperation | 关于记录的操作是否是跨邮箱操作（例如，在多个邮箱间复制或移动邮件）的信息。 |
| LogonUserDisplayName | 显示登录用户的名称。 |
| DelegateUserDisplayName | 委派用户显示名称。 |
| LogonUserSid | 登录用户的 SID。 |
| SourceItems | 对其执行了所记录的操作（例如移动或删除）的邮箱项目的 ItemID。 对于在许多项目上执行的操作，该字段会返回一个项目集合。 |
| SourceFolders | 源文件夹 GUID。 |
| ItemId | 项目 ID。 |
| ItemSubject | 项目主题。 |
| MailboxGuid | 邮箱 GUID。 |
| MailboxResolvedOwnerName | 邮箱用户解析名称的格式 为 DOMAIN_SamAccountName_。 |
| LastAccessed | 执行操作的时间。 |
| Identity | 审核日志条目 ID。 |
更多信息
管理员对邮箱的访问权限：只有在以下情况下，管理员才认为邮箱可供管理员访问：
- 就地电子数据展示 用于搜索邮箱。
- 使用 New-MailboxExportRequest cmdlet 导出邮箱。
- Microsoft Exchange Server MAPI 客户端和协作数据对象用于访问邮箱。
绕过邮箱审核日志记录：通过授权的自动化过程（例如第三方工具使用的帐户或用于合法监视的帐户）访问邮箱可能会创建大量邮箱审核日志条目，并且可能不对组织感兴趣。 可以将这些帐户配置为绕过邮件审核日志功能。 有关详细信息，请参阅 绕过用户帐户从邮箱审核日志记录。
记录邮箱所有者操作：对于“发现搜索邮箱”等可能包含更多敏感信息的邮箱，请考虑为邮箱所有者操作（如邮件删除）启用邮箱审核日志记录。