Compartilhar via

Exportar registos de auditoria de caixas de correio no Exchange 2013

Aplica-se a: Exchange Server 2013

Quando a auditoria de caixas de correio é habilitada para uma caixa de correio, o Microsoft Exchange registra informações no log de auditoria de caixas de correio sempre que um usuário, que não for o proprietário, acessar a caixa de correio. Cada entrada de log inclui informações sobre quem acessou a caixa de correio e quando ela foi acessada, as ações executadas pelo não proprietário e se a ação foi bem-sucedida. Entradas no log de auditoria de caixa de correio são mantidas por 90 dias, por padrão. Você poderá usar o log de auditoria de caixas de correio quando um usuário, que não for o proprietário, tiver acessado uma caixa de correio.

Quando você exporta entradas dos logs de auditoria de caixas de correio, o Microsoft Exchange salva as entradas em um arquivo XML e o anexa a uma mensagem de email enviada aos destinatários especificados.

Antes de começar

  • Tempo estimado para concluir cada procedimento: Os tempos variam.

  • Os procedimentos neste tópico exigem permissões específicas. Consulte cada procedimento para ver informações sobre permissões.

  • Para obter informações sobre os atalhos de teclado que podem ser aplicados aos procedimentos neste tópico, consulte Atalhos de teclado para o Centro de administração do Exchange no Exchange 2013.

Dica

Está com problemas? Peça ajuda nos fóruns do Exchange. Visite os fóruns no Exchange Server.

Configurar o log de auditoria de caixas correio

Você precisa habilitar o log de auditoria de caixas de correio em cada caixa de correio que desejar auditar para poder exportar e exibir os logs de auditoria de caixas de correio. É necessário configurar também o Microsoft Outlook Web App para permitir que anexos de XML utilizem o Outlook Web App para acessar o log de auditoria.

Etapa 1: Habilitar log de auditoria de caixas de correio

Você precisa habilitar o log de auditoria de caixas de correio em cada caixa de correio para a qual desejar executar um relatório de acesso não proprietário. Se o log de auditoria de caixas de correio não for habilitado para uma caixa de correio, você não obterá nenhum resultado para ela ao exportar o log de auditoria de caixas de correio.

Para executar este procedimento ou estes procedimentos, você precisa receber permissões. Para ver as permissões necessárias, consulte a entrada "Registo de auditoria da caixa de correio" no tópico Permissões de política de mensagens e conformidade .

Para habilitar o log de auditoria de caixas de correio para uma única caixa de correio, execute o seguinte comando no Shell:

Set-Mailbox <Identity> -AuditEnabled $true

Para habilitar os logs de auditoria de caixas de correio para todas as caixas de correio de usuário da sua organização, execute os seguintes comandos:

$UserMailboxes = Get-mailbox -Filter "RecipientTypeDetails -eq 'UserMailbox'"

$UserMailboxes | ForEach {Set-Mailbox $_.Identity -AuditEnabled $true}

Etapa 2: Configurar o Outlook Web App para permitir anexos de XML

Quando você exporta o log de auditoria de caixas de correio, o Microsoft Exchange anexa o log de auditoria, que é um arquivo XML, a uma mensagem de email. No entanto, o Outlook Web App bloqueia anexos de XML por padrão. Para acessar o log de auditoria exportado, é necessário usar o Microsoft Outlook ou configurar o Outlook Web App para permitir anexos de XML.

Para executar este procedimento ou estes procedimentos, você precisa receber permissões. Para ver que permissões precisa, consulte a entrada "Outlook Web App políticas de caixa de correio" no tópico Permissões de clientes e dispositivos móveis.

Execute os procedimentos a seguir para permitir anexos XML no Outlook Web App. No Exchange Server 2013, utilize o valor Default para o parâmetro Identidade.

  1. Execute o seguinte comando para adicionar XML à lista de tipos de arquivos permitidos no Outlook Web App.

    Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -AllowedFileTypes @{add='.xml'}

  2. Execute o seguinte comando para remover XML da lista de tipos de arquivos bloqueados no Outlook Web App.

    Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -BlockedFileTypes @{remove='.xml'}

Como saber se funcionou?

Para verificar se o log de auditoria de caixas de correio foi configurado com sucesso, faça o seguinte:

  1. Execute o comando a seguir para verificar se os logs de auditoria foram configurados para as caixas de correio.

    Get-Mailbox | Format-List Name,AuditEnabled

    Um valor de True para a propriedade AuditEnabled verifica se o registo de auditoria está ativado.

  2. Execute o seguinte comando para verificar se são permitidos anexos XML no Outlook Web App.

    Get-OwaMailboxPolicy | Select-Object -ExpandProperty AllowedFileTypes

    Verifique se .xml está incluído na lista de tipos de ficheiro permitidos.

  3. Execute o seguinte comando para garantir que anexos XML sejam removidos da lista de arquivos bloqueados no Outlook Web App.

    Get-OwaMailboxPolicy | Select-Object -ExpandProperty BlockedFileTypes

    Verifique se .xml não está incluído na lista de tipos de ficheiro bloqueados.

Exportar o log de auditoria de caixas de correio

Para executar este procedimento ou estes procedimentos, você precisa receber permissões. Para ver as permissões necessárias, veja a entrada "Registo de auditoria de administrador só de visualização" no tópico permissões de infraestrutura do Exchange e shell .

  1. No Centro de administração do Exchange (EAC), aceda aAuditoria de Gestão> de Conformidade.

  2. Clique em Exportar os logs de auditoria de caixas de correio.

  3. Configure os seguintes critérios de pesquisa para exportar as entradas do log de auditoria de caixas de correio:

    • Datas de início e de fim: selecione o intervalo de datas das entradas a incluir no ficheiro exportado.

    • Caixas de correio para procurar registo de auditoria: selecione as caixas de correio para as que pretende obter entradas de registo de auditoria.

    • Tipo de acesso não proprietário: selecione uma das seguintes opções para definir o tipo de acesso não proprietário para obter entradas para:

    • Todos os não proprietários: procure acesso por administradores e utilizadores delegados dentro da sua organização.

    • Utilizadores externos: procure acesso por administradores do datacenter da Microsoft.

    • Administradores e utilizadores delegados: procure acesso por administradores e utilizadores delegados dentro da sua organização.

    • Administradores: procure acesso por administradores na sua organização.

    • Destinatários: selecione os utilizadores para onde enviar o registo de auditoria da caixa de correio.

  4. Clique em Exportar.

    O Exchange obtém entradas no registo de auditoria da caixa de correio que cumprem os critérios de pesquisa, guarda-as num ficheiro com o nome SearchResult.xml e, em seguida, anexa o ficheiro XML a uma mensagem de e-mail enviada aos destinatários que especificou.

Como saber se funcionou?

Entre na caixa de correio para a qual o log de auditoria de caixas de correio foi enviado. Se você exportou com êxito o log de auditoria, receberá uma mensagem enviada do Exchange. O log de auditoria de caixa de correio (chamado SearchResult.xml) será anexado a esta mensagem. Se você configurou corretamente o Outlook Web App para permitir anexos XML, pode baixar o arquivo XML anexado.

Exibir o log de auditoria de caixas de correio

Para executar este procedimento ou estes procedimentos, você precisa receber permissões. Para ver as permissões necessárias, veja a entrada "Registo de auditoria de administrador só de visualização" no tópico permissões de infraestrutura do Exchange e shell .

Para salvar e exibir o arquivo SearchResult.xml:

  1. Entre na caixa de correio para a qual o log de auditoria de caixas de correio foi enviado.

  2. Na Caixa de Entrada, abra a mensagem com o anexo de arquivo XML enviado pelo Microsoft Exchange. Observe que o corpo da mensagem de email contém os critérios de pesquisa.

  3. Clique no anexo e selecione para baixar o arquivo XML.

  4. Abra o SearchResult.xml no Microsoft Excel.

Mais informações

  • Entradas no registo de auditoria da caixa de correio: o exemplo seguinte mostra uma entrada do registo de auditoria da caixa de correio contido no ficheiro SearchResult.xml. Cada entrada é precedida pela marca XML <Event> e termina com a marca XML </Event>. Essa entrada mostra que o administrador eliminou a mensagem com o assunto "Notification of litigation hold" da pasta Itens Recuperáveis na caixa de correio de David no dia 30 de abril de 2010.

    <Event MailboxGuid="6d4fbdae-e3ae-4530-8d0b-f62a14687939"
  Owner="PPLNSL-dom\david50001-1363917750"
  LastAccessed="2010-04-30T11:01:55.140625-07:00"
  Operation="HardDelete"
  OperationResult="Succeeded"
  LogonType="Admin"
FolderId="0000000073098C3277988F4CB882F5B82EBF64610100A7C317F68C24304BBD18ABE1F185E79B00000026BD4F0000"
  FolderPathName="\Recoverable Items\Deletions"
  ClientInfoString="Client=OWA;Action=ViaProxy"
  ClientIPAddress="10.196.241.168"
  InternalLogonType="Owner"
  MailboxOwnerUPN="david@contoso.com"
  MailboxOwnerSid="S-1-5-21-290112810-296651436-1966561949-1151"
  CrossMailboxOperation="false"
  LogonUserDN="Administrator"
  LogonUserSid="S-1-5-21-290112810-296651436-1966561949-1149">
  <SourceItems>
   <ItemId="0000000073098C3277988F4CB882F5B82EBF64610700A7C317F68C24304BBD18ABE1F185E79B00000026BD4F0000A7C317F68C24304BBD18ABE1F185E79B00000026BD540"
    Subject="Notification of litigation hold"
    FolderPathName="\Recoverable Items\Deletions" />
  </SourceItems>
</Event>

  • Campos úteis no registo de auditoria da caixa de correio: eis uma descrição dos campos úteis no registo de auditoria da caixa de correio. Eles podem ajudar a identificar informações específicas sobre cada instância de acesso não proprietário de uma caixa de correio.

    Campo Descrição
    Proprietário O proprietário da caixa de correio que foi acessada por um não proprietário.
    Último Acesso A data e a hora em que a caixa de correio foi acessada.
    Operation A ação que foi executada pelo não proprietário. Para obter mais informações, consulte a secção "O que é registado no registo de auditoria da caixa de correio?" em Executar um relatório de acesso de caixa de correio não proprietário no Exchange 2013.
    OperationResult Se a ação executada pelo não proprietário foi bem-sucedida ou falhou.
    LogonType O tipo de acesso não proprietário. Isso inclui administrador, delegado e externo.
    FolderPathName O nome da pasta que continha a mensagem que foi afetada pelo não proprietário.
    ClientInfoString Informações sobre o cliente de email usado pelo não proprietário para acessar a caixa de correio.
    ClientIPAddress O endereço IP do computador usado pelo não proprietário para acessar a caixa de correio.
    InternalLogonType O tipo de logon da conta usado pelo não proprietário para acessar essa caixa de correio.
    MailboxOwnerUPN O endereço de email do proprietário da caixa de correio.
    LogonUserDN O nome para exibição do não proprietário.
    Subject A linha de assunto da mensagem de email que foi afetada pelo não proprietário.