Estrutura do registo de auditoria do administrador no Exchange Server

APLICA-SE A:2016 2019 Subscription Edition

Os registos de auditoria do administrador contêm um registo de todos os cmdlets e parâmetros que foram executados na Shell de Gestão do Exchange e pelo Centro de administração do Exchange (EAC). São criados a pedido quando executa o relatório de registo de auditoria de administrador no EAC ou quando executa o cmdlet New-AdminAuditLogSearch na Shell de Gestão do Exchange. Para obter mais informações sobre os registos de auditoria, veja Registo de auditoria do administrador no Exchange Server.

Atributos e etiquetas XML de registo de auditoria

Os registos de auditoria são ficheiros XML e podem conter múltiplas entradas de registo de auditoria. A tabela seguinte descreve cada etiqueta XML e os respetivos atributos associados.

Elemento	Atributo	Descrição
<?xml version="1.0" encoding="utf-8"?>	N/D	Esta é a etiqueta de declaração de documento XML. Está incluído em todos os ficheiros XML de registo de auditoria e contém o número da versão XML e o valor de codificação de carateres.
SearchResults	N/D	Esta etiqueta contém todas as entradas de registo de auditoria no ficheiro XML. A Event etiqueta é um elemento subordinado desta etiqueta. Existe apenas uma SearchResults etiqueta por ficheiro XML.
Event		Esta etiqueta contém a entrada de registo de auditoria de um cmdlet individual. Esta etiqueta contém os Calleratributos , , ObjectModifiedCmdlet, RunDate, Succeeded, Errore OriginatingServer . As CmdletParameters etiquetas e ModifiedProperties são subordinadas desta etiqueta. Existe uma Event etiqueta por entrada de registo de auditoria.
	Caller	Este atributo contém a conta de utilizador do utilizador que executou o cmdlet no Cmdlet atributo .
	Cmdlet	Este atributo contém o nome do cmdlet que foi executado pelo utilizador no Caller atributo .
	ObjectModified	Este atributo contém o objeto que foi modificado pelo cmdlet especificado no Cmdlet atributo . A ModifiedProperties etiqueta mostra as propriedades que foram modificadas neste objeto.
	RunDate	Este atributo contém a data e hora em que o cmdlet no Cmdlet atributo foi executado.
	Succeeded	Este atributo especifica se o cmdlet no Cmdlet atributo foi executado com êxito. O valor é ou TrueFalse.
	Error	Este atributo contém a mensagem de erro gerada se o cmdlet no Cmdlet atributo não tiver sido concluído com êxito. Se não tiver sido encontrado nenhum erro, o valor será definido como None.
	OriginatingServer	Este atributo contém o servidor no qual o cmdlet especificado no Cmdlet atributo foi executado.
CmdletParameters	N/D	Esta etiqueta contém todos os parâmetros especificados quando o cmdlet foi executado. A Parameter etiqueta é um elemento subordinado desta etiqueta. Existe uma CmdletParameters etiqueta por Event etiqueta.
Parameter		Esta etiqueta contém um parâmetro individual que foi especificado quando o cmdlet foi executado. Esta etiqueta contém os Name atributos e Value . Podem existir várias Parameter etiquetas por CmdletParameters etiqueta.
	Name	Este atributo contém o nome do parâmetro especificado no cmdlet que foi executado.
	Value	Este atributo contém o valor que foi fornecido no parâmetro especificado no Name atributo .
ModifiedProperties	N/D	Esta etiqueta contém todas as propriedades que foram modificadas pelo cmdlet que foi executado. A Property etiqueta é um elemento subordinado desta etiqueta. Existe uma ModifiedProperties etiqueta por Event etiqueta. Importante: esta etiqueta só é preenchida se o parâmetro LogLevel no cmdlet Set-AdminAuditLogConfig estiver definido como Verbose.
Property		Esta etiqueta contém uma propriedade individual que foi especificada quando o cmdlet foi executado. Esta etiqueta contém os Nameatributos , OldValuee NewValue . Podem existir várias Property etiquetas por ModifiedProperties etiqueta.
	Name	Este atributo contém o nome da propriedade que foi modificada quando o cmdlet foi executado.
	OldValue	Este atributo contém o valor que estava contido na propriedade especificada no Name atributo antes de ser alterado.
	NewValue	Este atributo contém o valor para o qual a propriedade no Name atributo foi alterada.

Exemplo de uma entrada de registo de auditoria de administrador

Segue-se um exemplo de uma entrada de registo típica no registo de auditoria de administrador.

<?xml version="1.0" encoding="utf-8"?>
<SearchResults>
  <Event Caller="corp.e16.contoso.com/Users/Administrator" Cmdlet="Set-Mailbox" ObjectModified="corp.e16.contoso.com/Users/david" RunDate="2015-10-18T15:48:15-07:00" Succeeded="true" Error="None" OriginatingServer="WIN8MBX (15.01.0396.030)">
    <CmdletParameters>
      <Parameter Name="Identity" Value="david" />
      <Parameter Name="ProhibitSendReceiveQuota" Value="10 GB (10,737,418,240 bytes)" />
    </CmdletParameters>
    <ModifiedProperties>
      <Property Name="ProhibitSendReceiveQuota" OldValue="35 GB (37,580,963,840 bytes)" NewValue="10 GB (10,737,418,240 bytes)" />
    </ModifiedProperties>
  </Event>
</SearchResults>

Com base nas informações nesta entrada de registo, sabemos que ocorreu o seguinte:

• A 18/10/2017 às 15:48 Hora de Verão do Pacífico (UTC-7), o utilizador Administrator executou o cmdlet Set-Mailbox.

• Os dois parâmetros seguintes foram fornecidos quando o cmdlet Set-Mailbox foi executado:

  • Identidade com um valor de david

  • ProhibitSendReceiveQuota com um valor de 10GB

• A propriedade ProhibitSendReceiveQuota no objeto david foi modificada com um novo valor de 10GB, que substituiu o valor antigo de 35GB.

  Observação

  As propriedades modificadas são guardadas no registo de auditoria porque o parâmetro LogLevel no Set-AdminAuditLogConfig cmdlet foi definido como Verbose neste exemplo.

• A operação foi concluída com êxito sem erros.