New-MailboxAuditLogSearch

参考

模块:: ExchangePowerShell

适用于:: Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online

此 cmdlet 可在本地 Exchange 和基于云的服务中使用。一些参数和设置可能只适用于某个特定的环境。

使用 New-MailboxAuditLogSearch cmdlet 可以搜索邮箱审核日志并通过电子邮件将搜索结果发送给指定收件人。

有关以下语法部分的参数设置的详细信息，请参阅 Exchange cmdlet 语法。

语法

New-MailboxAuditLogSearch
   -EndDate <ExDateTime>
   -StartDate <ExDateTime>
   -StatusMailRecipients <MultiValuedProperty>
   [-Confirm]
   [-DomainController <Fqdn>]
   [-ExternalAccess <Boolean>]
   [-GroupMailbox]
   [-HasAttachments <Boolean>]
   [-LogonTypes <MultiValuedProperty>]
   [-Mailboxes <MultiValuedProperty>]
   [-Name <String>]
   [-Operations <MultiValuedProperty>]
   [-ShowDetails]
   [-WhatIf]
   [<CommonParameters>]

说明

New-MailboxAuditLogSearch cmdlet 异步搜索指定邮箱的邮箱审核日志，并通过电子邮件将搜索结果发送给指定收件人。电子邮件的正文包含搜索元数据，如搜索参数和提交搜索请求的时间。搜索结果附加在 .xml 文件中。

若要搜索单个邮箱的邮箱审核日志并将结果显示在 Exchange 命令行管理程序窗口中，请改用 Search-MailboxAuditLog cmdlet。若要了解有关邮箱审核日志记录的详细信息，请参阅 Exchange Server 中的邮箱审核日志记录。

您必须先获得权限，然后才能运行此 cmdlet。虽然本主题中列出了此 cmdlet 的所有参数，但如果这些参数并未包含在分配给您的权限中，那么您将无法使用这些参数。若要查找在贵组织中运行任何 cmdlet 或参数所需的权限，请参阅 Find the permissions required to run any Exchange cmdlet。

示例

示例 1

New-MailboxAuditLogSearch "Admin and Delegate Access" -Mailboxes "Ken Kwok","April Stewart" -LogonTypes Admin,Delegate -StartDate 1/1/2018 -EndDate 12/31/2018 -StatusMailRecipients auditors@contoso.com

本示例创建邮箱审核日志搜索，用于在 2018 年 1 月 1 日至 2018 年 12 月 31 日搜索 Ken Kwok 和 April Stewart 的管理员和代理人登录。搜索结果通过电子邮件发送到 auditors@contoso.com 。

示例 2

New-MailboxAuditLogSearch -ExternalAccess $true -StartDate 09/01/2018 -EndDate 10/24/2018 -StatusMailRecipients admin@contoso.com

本示例返回组织中所有用户的邮箱审核日志中的条目，以便Microsoft数据中心管理员在 2018 年 9 月 1 日至 2018 年 10 月 24 日之间进行的任何邮箱访问。搜索结果将发送到 admin@contoso.com。

参数

-Confirm

Confirm 开关指定是否显示确认提示。此开关对 cmdlet 造成的影响取决于在你继续操作之前 cmdlet 是否需要确认。

破坏性 cmdlet (例如，Remove-* cmdlet) 具有内置的暂停，该暂停会强制你在继续操作之前确认命令。对于这些 cmdlet，您可以使用此确切语法跳过确认提示：-Confirm:$false。
大多数其他 cmdlet (例如，New-* 和 Set-* cmdlet) 没有内置暂停。对于这些 cmdlet，指定不含值的 Confirm 开关会引入暂停，从而强制要求你先确认命令，然后再继续操作。

Type:	SwitchParameter
Aliases:	cf
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online

-DomainController

此参数只在本地 Exchange 中可用。

DomainController 参数指定此 cmdlet 从 Active Directory 读取数据或向其写入数据时使用的域控制器。可以使用完全限定的域名 (FQDN) 来标识域控制器。例如，dc01.contoso.com。

Type:	Fqdn
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019

-EndDate

EndDate 参数指定日期范围的结束日期。

请使用短日期格式，该格式在运行命令的计算机上的“区域选项”设置中定义。例如，如果将计算机配置为使用短日期格式 mm/dd/yyyy，请输入 09/01/2018 来指定 2018 年 9 月 1 日。可以只输入日期，也可以输入当天的日期和时间。如果输入当天的日期和时间，请将该值括在引号 (") 中，例如，"09/01/2018 5:00 PM"。

Type:	ExDateTime
Position:	Named
Default value:	None
Required:	True
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online

-ExternalAccess

ExternalAccess 参数指定是否仅返回组织外部用户的邮箱访问的审核日志条目。在 Exchange Online 中，此参数返回由数据中心管理员Microsoft邮箱访问的审核日志条目。有效值包含:

$true：返回外部用户或数据中心管理员Microsoft邮箱访问的审核日志条目。

$false：忽略外部用户或数据中心管理员Microsoft邮箱访问的审核日志条目。此值为默认值。

Type:	Boolean
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online

-GroupMailbox

此参数仅在基于云的服务中可用。

需要 GroupMailbox 开关才能在搜索中包含Microsoft 365 组。不必为此开关指定值。

Type:	SwitchParameter
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Exchange Online

-HasAttachments

HasAttachments 参数按带有附件的邮件筛选搜索。有效值包含:

$true：只有带有附件的邮件才会包含在搜索中。
$false：搜索中包含有附件和不带附件的邮件。

Type:	Boolean
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Exchange Server 2016, Exchange Server 2019, Exchange Online

-LogonTypes

LogonTypes 参数指定登录类型。有效值包含:

管理员：返回管理员登录访问邮箱的审核日志条目。
Admin：返回以管理员身份登录后才能访问的邮箱的审核日志条目。
外部：对于Exchange Online邮箱，将返回数据中心管理员Microsoft邮箱访问的审核日志条目。
所有者：返回主邮箱所有者的邮箱访问的审核日志条目。此值需要 ShowDetails 开关。

Update

Type:	MultiValuedProperty
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online

-Mailboxes

Mailbox 参数指定要从中检索邮箱审核日志条目的邮箱。

Update 如果值包含空格或需要引号，请使用以下语法： "Value1","Value2",..."ValueN"。

如果未指定值，则会返回组织中所有邮箱的邮箱审核日志。

Type:	MultiValuedProperty
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online

-Name

Name 参数指定搜索的名称。最大长度为 64 个字符。如果值中有空格，请使用双引号 (") 将此值括起来。

Type:	String
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online

-Operations

Operations 参数按邮箱审核日志记录的操作筛选搜索结果。有效值包含:

复制
Create
FolderBind
HardDelete
MailboxLogin
MessageBind
Move
MoveToDeletedItems
SendAs
SendOnBehalf
SoftDelete
更新

Update

Type:	MultiValuedProperty
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online

-ShowDetails

ShowDetails 开关指定检索每个日志条目的详细信息。不必为此开关指定值。

Type:	SwitchParameter
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online

-StartDate

StartDate 参数指定日期范围的起始日期。

Type:	ExDateTime
Position:	Named
Default value:	None
Required:	True
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online

-StatusMailRecipients

StatusMailRecipients 参数指定发送搜索结果的电子邮件地址。可以指定用逗号分隔的多个值。

Type:	MultiValuedProperty
Position:	Named
Default value:	None
Required:	True
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online

-WhatIf

WhatIf 开关模拟命令操作。可以使用此开关在不实际应用将会发生的更改的情况下预览这些更改。不必为此开关指定值。

Type:	SwitchParameter
Aliases:	wi
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online

输入

Input types

若要了解此 cmdlet 接受的输入类型，请参阅 cmdlet 的输入和输出类型。如果 cmdlet 的"输入类型"字段为空，则表明此 cmdlet 不接受输入数据。

输出

Output types

若要了解此 cmdlet 接受的返回类型（亦称为"输出类型"），请参阅 cmdlet 的输入和输出类型。如果"输出类型"字段为空，则表明此 cmdlet 不返回任何数据。