易寶典——玩轉O365中的EXO服務 之四十七 怎樣獲取郵箱審覈日誌

企業中已經爲Office 365中Exchange Online啓用了審覈日誌，而且配置好了須要審覈的操做。當在正常的運行過程當中，默認狀況下郵箱的審覈日誌將保留90天。如今只要是符合審覈條件的操做，都將被記錄的日誌中。好比有管理員訪問的用戶的郵箱操做、有委派用戶刪除了用戶郵箱中的郵件等。每一條日誌中都會包含：訪問的時間、訪問的用戶、執行的操做、該操做是否執行成功等信息。

經過使用Exchange管理中心（EAC）能夠獲取郵箱審覈日誌的內容。可是，因爲Exchange Online的郵箱審覈日誌是經過XML格式提供的，而且是做爲附件形式發送到指定接收郵箱的。默認狀況下，Exchange Online的Outlook Web App（OWA）是不支持XML附件的，所以，若是使用OWA做爲客戶端則須要額外配置啓用容許XML附件。

1、配置OWA容許XML附件

默認狀況下，Exchange Online的OWA只容許以下擴展名的郵件附件：

而明確標記爲阻止的擴展名有：

1、如何瞭解Exchange Online的OWA默認支持或拒絕的附件格式

能夠經過Get-OwaMailboxPolicy命令獲取當前Exchange Online的OWA支持或拒絕的全部附件文件擴展名格式

Get-OwaMailboxPolicy | Select-Object -ExpandProperty AllowedFileTypes

Get-OwaMailboxPolicy | Select-Object -ExpandProperty BlockedFileTypes

2、添加OWA支持XML附件格式文件

使用Set-OwaMailboxPolicy設置OWA郵箱策略，將XML格式擴展名添加到Exchange Online的OWA容許列表中。

Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -AllowedFileTypes @{add='.xml'}

經過Get-OwaMailboxPolicy查看結果，能夠看見xml已經出如今容許列表中了。

若是再也不須要支持那麼能夠將其從容許列表中移除。

Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -AllowedFileTypes @{remove='.xml'}

3、保證XML不在OWA阻止附件格式文件列表中

一樣能夠使用Set-OwaMailboxPolicy設置OWA郵箱策略，將指定格式的擴展名從Exchange Online的OWA阻止列表中移除。

Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -BlockedFileTypes @{remove='.xml'}

固然若是須要阻止一個特定格式的文件，能夠直接用add在阻止列表中進行添加便可。

2、導出郵箱審覈日誌

在Exchange管理中心（EAC）中，點擊左側導航欄中的「合規性管理」，在右邊窗口中點擊「審覈」，而後點擊「導出郵箱審覈日誌」。

在彈出的「導出郵箱審覈日誌」頁面中，須要前後設置以下參數：

日誌的開始時間和結束時間，指定須要導出哪一個用戶的郵箱審覈日誌或全部郵箱的審覈日誌。

默認狀況下是搜索「所有非全部者」訪問日誌，此外還能夠選擇其它類型。

• 所有非全部者：將包含組織內的管理員和受委派用戶的訪問，以及運行Exchange Online的微軟數據中心的管理員的訪問；

• 外部用戶：僅包含運行Exchange Online的微軟數據中心的管理員的訪問；

• 管理員和收委派用戶：僅包含組織內的管理員和受委派用戶的訪問；

• 管理員：僅包含組織內的管理員的訪問。

最後，指定接收審覈日誌的郵箱，點擊「導出」完成配置。

須要注意的是，收到郵件的過程較爲緩慢，EAC中提示「會在24小時內」發送給指定的收件人。

3、如何分析郵箱審覈日誌

當Exchange Online執行審覈日誌導出後，指定接收郵箱將收到以下格式的電子郵件：

附件中包含一個SearchResult.xml的文件。在該xml文件中，每個事件都是以條目的形式出現的，一個條目是以「<Event」開頭，以「</Evnet>」結尾。

在一條事件中，比較有用的字段以下：

• Owner：郵箱的全部者；

• LastAccessd：該事件訪問郵箱的時間；

• Operation：訪問者在郵箱中進行的操做；

• OperationResult：操做是否成功？仍是失敗；

• Logon Type：非全部者訪問的類型，包括：管理員、受委派用戶和外部用戶；

• FolderPathName：這次訪問受影響的文件夾路徑名稱；

• ClientInfoString：這次訪問使用的客戶端軟件信息；

• ClientIPAddress：這次訪問是從那個IP地址發起的；

• InternalLogonType：這次訪問所使用的帳戶登陸類型；

• MailboxOwnerUPN：這次訪問的郵箱的全部者的郵件地址；

• LogonUserDN：這次訪問者的顯示名；

• Subject：這次訪問涉及到的郵件主題。

經過上述信息，能夠幫助企業很快定位用戶郵箱被非全部者訪問的具體狀況，從而幫助企業進行合規、法務，以及訴訟方面的取得相關利益。