易宝典——玩转O365中的EXO服务 之四十七 怎样获取邮箱审核日志

企业中已经为Office 365中Exchange Online启用了审核日志，而且配置好了须要审核的操做。当在正常的运行过程当中，默认状况下邮箱的审核日志将保留90天。如今只要是符合审核条件的操做，都将被记录的日志中。好比有管理员访问的用户的邮箱操做、有委派用户删除了用户邮箱中的邮件等。每一条日志中都会包含：访问的时间、访问的用户、执行的操做、该操做是否执行成功等信息。

经过使用Exchange管理中心（EAC）能够获取邮箱审核日志的内容。可是，因为Exchange Online的邮箱审核日志是经过XML格式提供的，而且是做为附件形式发送到指定接收邮箱的。默认状况下，Exchange Online的Outlook Web App（OWA）是不支持XML附件的，所以，若是使用OWA做为客户端则须要额外配置启用容许XML附件。

1、配置OWA容许XML附件

默认状况下，Exchange Online的OWA只容许以下扩展名的邮件附件：

而明确标记为阻止的扩展名有：

1、如何了解Exchange Online的OWA默认支持或拒绝的附件格式

能够经过Get-OwaMailboxPolicy命令获取当前Exchange Online的OWA支持或拒绝的全部附件文件扩展名格式

Get-OwaMailboxPolicy | Select-Object -ExpandProperty AllowedFileTypes

Get-OwaMailboxPolicy | Select-Object -ExpandProperty BlockedFileTypes

2、添加OWA支持XML附件格式文件

使用Set-OwaMailboxPolicy设置OWA邮箱策略，将XML格式扩展名添加到Exchange Online的OWA容许列表中。

Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -AllowedFileTypes @{add='.xml'}

经过Get-OwaMailboxPolicy查看结果，能够看见xml已经出如今容许列表中了。

若是再也不须要支持那么能够将其从容许列表中移除。

Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -AllowedFileTypes @{remove='.xml'}

3、保证XML不在OWA阻止附件格式文件列表中

一样能够使用Set-OwaMailboxPolicy设置OWA邮箱策略，将指定格式的扩展名从Exchange Online的OWA阻止列表中移除。

Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -BlockedFileTypes @{remove='.xml'}

固然若是须要阻止一个特定格式的文件，能够直接用add在阻止列表中进行添加便可。

2、导出邮箱审核日志

在Exchange管理中心（EAC）中，点击左侧导航栏中的“合规性管理”，在右边窗口中点击“审核”，而后点击“导出邮箱审核日志”。

在弹出的“导出邮箱审核日志”页面中，须要前后设置以下参数：

日志的开始时间和结束时间，指定须要导出哪一个用户的邮箱审核日志或全部邮箱的审核日志。

默认状况下是搜索“所有非全部者”访问日志，此外还能够选择其它类型。

• 所有非全部者：将包含组织内的管理员和受委派用户的访问，以及运行Exchange Online的微软数据中心的管理员的访问；

• 外部用户：仅包含运行Exchange Online的微软数据中心的管理员的访问；

• 管理员和收委派用户：仅包含组织内的管理员和受委派用户的访问；

• 管理员：仅包含组织内的管理员的访问。

最后，指定接收审核日志的邮箱，点击“导出”完成配置。

须要注意的是，收到邮件的过程较为缓慢，EAC中提示“会在24小时内”发送给指定的收件人。

3、如何分析邮箱审核日志

当Exchange Online执行审核日志导出后，指定接收邮箱将收到以下格式的电子邮件：

附件中包含一个SearchResult.xml的文件。在该xml文件中，每个事件都是以条目的形式出现的，一个条目是以“<Event”开头，以“</Evnet>”结尾。

在一条事件中，比较有用的字段以下：

• Owner：邮箱的全部者；

• LastAccessd：该事件访问邮箱的时间；

• Operation：访问者在邮箱中进行的操做；

• OperationResult：操做是否成功？仍是失败；

• Logon Type：非全部者访问的类型，包括：管理员、受委派用户和外部用户；

• FolderPathName：这次访问受影响的文件夹路径名称；

• ClientInfoString：这次访问使用的客户端软件信息；

• ClientIPAddress：这次访问是从那个IP地址发起的；

• InternalLogonType：这次访问所使用的帐户登陆类型；

• MailboxOwnerUPN：这次访问的邮箱的全部者的邮件地址；

• LogonUserDN：这次访问者的显示名；

• Subject：这次访问涉及到的邮件主题。

经过上述信息，能够帮助企业很快定位用户邮箱被非全部者访问的具体状况，从而帮助企业进行合规、法务，以及诉讼方面的取得相关利益。