Отслеживание сообщений

ПРИМЕНЯЕТСЯ К:2016 2019 по подписке

Журнал отслеживания сообщений представляет собой подробную запись всех действий по перемещению почты через транспортный конвейер на серверах почтовых ящиков и пограничных транспортных серверах. Вы можете использовать отслеживание сообщений для криминалистической экспертизы сообщений, анализа потока почты, составления отчетов и устранения неполадок.

По умолчанию Exchange использует циклическое ведение журнала для ограничения журнала отслеживания сообщений в зависимости от размера и возраста файла, чтобы контролировать место на жестком диске, используемом файлами журнала. Сведения о настройке журнала отслеживания сообщений см. в разделе Настройка отслеживания сообщений.

Поиск в журнале отслеживания сообщений

Журналы отслеживания сообщений содержат огромные объемы данных, поскольку сообщения проходят через сервер почтовых ящиков или пограничный транспортный сервер. При поиске в журналах отслеживания сообщений у вас есть параметры:

• Get-MessageTrackingLog: администраторы могут использовать этот командлет командной консоли Exchange для поиска сведений о сообщениях в журнале отслеживания сообщений, используя широкий набор условий фильтрации. Дополнительные сведения см. в разделе Журналы отслеживания поисковых сообщений.

• Отчеты о доставке для администраторов: администраторы могут использовать вкладку "Отчеты о доставке " в Центре администрирования Exchange или соответствующие командлеты Search-MessageTrackingReport и Get-MessageTrackingReport в командной консоли Exchange для поиска сведений о сообщениях, отправленных или полученных определенным почтовым ящиком в организации. Дополнительные сведения см. в статье "Отчеты о доставке для администраторов".

Структура файлов журналов отслеживания сообщений

По умолчанию файлы журнала отслеживания сообщений существуют в %ExchangeInstallPath%TransportRoles\Logs\MessageTracking. Папка содержит файлы журналов с разными именами, но все они соответствуют соглашению MSGTRKServiceyyyyMMdd-nnnn.logоб именовании. Различные имена файлов журнала описаны в следующей таблице.

Другие заполнители в именах файлов журнала представляют следующие сведения:

• yyyyMMdd — дата создания файла журнала в формате UTC. yyyy = год, MM = месяц, а dd = день.

• nnnn — это номер экземпляра, который начинается со значения 1 каждый день для каждого журнала.

Данные записываются в файл журнала, пока не будет достигнут его максимальный размер. Затем открывается новый файл журнала с увеличенным номером экземпляра (-1 для первого, -2 для второго и т. Циклическое ведение журнала удаляет самые старые файлы журнала для службы, если выполняется одно из следующих условий:

• достигнут максимальный срок хранения файла журнала;

• Папка журнала отслеживания сообщений достигает максимального размера.

  Примечания.

  • Максимальный размер папки журнала отслеживания сообщений вычисляется как общий размер всех файлов журнала с таким же префиксом. Другие файлы, не соблюдающие соглашение о присвоении имен, не учитываются при расчете общего размера папки. Переименование старых файлов журнала или копирование других файлов в папку журнала отслеживания сообщений может привести к превышению указанного максимального размера папки.

  • На серверах почтовых ящиков максимальный размер папки журнала отслеживания сообщений в три раза превышает указанное значение. Хотя файлы журнала отслеживания сообщений генерируются четырьмя различными службами и имеют четыре разных префикса имен, объем и частота данных, записываемых в модерируемый журнал переноса (MSGTRKMA), ничтожно малы по сравнению с тремя другими журналами.

Файлы журналов отслеживания сообщений представляют собой текстовые файлы с данными в формате CSV. Каждый файл журнала отслеживания сообщений имеет заголовок, содержащий следующие сведения:

• #Software: значение равно Microsoft Exchange Server.

• #Version — номер версии сервера Exchange, создавшего файл журнала отслеживания сообщений. Значение имеет формат 15.01.nnnn.nnn.

• #Log-тип: значение равно Message Tracking Log.

• #Date — дата и время в формате UTC, когда был создан файл журнала. Дата и время в формате UTC представлены в формате даты-времени ISO 8601: гггг-ММ-ддTчч:мм:сс.фффZ, где гггг = год, ММ = месяц, дд = день, T обозначает начало временной составляющей, hh = час, mm = минута, ss = секунда, fff = доли секунды, а Z означает зулу, что является другим способом обозначения UTC.

• #Fields: имена полей с разделителями-запятыми, которые используются в файлах журнала отслеживания сообщений.

Поля в файлах журналов отслеживания сообщений

В журнале отслеживания сообщений каждое событие, связанное с сообщением, заносится в отдельную строку. Информация о событиях с сообщениями упорядочена по полям, разделенным запятыми. Обычно имя поля достаточно полно характеризует информацию, которая в нем хранится. Однако некоторые поля могут быть пустыми, или тип сведений в поле может меняться в зависимости от типа события сообщения и службы, записавшей событие. В следующей таблице приводятся общие описания полей, которые используются для классификации каждого события отслеживания сообщений.

Типы событий в журнале отслеживания сообщений

Различные типы событий в поле event-id используются для классификации событий, связанных с сообщениями, в журнале отслеживания сообщений. Некоторые события, связанные с сообщениями, отображаются только в одном типе файлов журнала отслеживания сообщений, а некоторые — во всех типах файлов. Типы событий, используемые для классификации каждого события, приведены в следующей таблице.

Значения источника в журнале отслеживания сообщений

Значения в поле source в журнале отслеживания сообщений указывает на компонент транспорта, ответственный за событие отслеживания сообщений. В следующей таблице описаны значения поля source.

Примеры записей в журнале отслеживания сообщений

Не вызвавшее событий сообщение, отправленное между двумя пользователями, создает несколько записей в журнале отслеживания сообщений. Результаты можно просмотреть с помощью командлета Get-MessageTrackingLog. Дополнительные сведения см. в разделе Журналы отслеживания поисковых сообщений.

Это пример записей журнала отслеживания сообщений, которые создаются, когда пользователь chris@contoso.com успешно отправляет пользователю michelle@contoso.comтестовое сообщение. У обоих пользователей есть почтовые ящики на одном и том же сервере.

EventId    Source      Sender            Recipients             MessageSubject
-------    ------      ------            ----------             --------------
NOTIFYMAPI STOREDRIVER                   {}
RECEIVE    STOREDRIVER chris@contoso.com {michelle@contoso.com} test
SUBMIT     STOREDRIVER chris@contoso.com {michelle@contoso.com} test
HAREDIRECT SMTP        chris@contoso.com {michelle@contoso.com} test
RECEIVE    SMTP        chris@contoso.com {michelle@contoso.com} test
AGENTINFO  AGENT       chris@contoso.com {michelle@contoso.com} test
SEND       SMTP        chris@contoso.com {michelle@contoso.com} test
DELIVER    STOREDRIVER chris@contoso.com {michelle@contoso.com} test

Журнал отслеживания сообщений и вопросы безопасности

В журнале отслеживания сообщений не хранится содержимое сообщений. По умолчанию в этот журнал заносятся темы сообщений электронной почты. Для соблюдения повышенных требований к безопасности или конфиденциальности может потребоваться отключить ведение журнала субъекта. Инструкции по отключению ведения журнала темы см. в разделе Настройка отслеживания сообщений.