Exchange 2013 中的 Exchange 稽核報告

發行項
04/04/2023

適用於：Exchange Server 2013

您可以使用稽核記錄來追蹤系統管理員所做的特定變更，藉以疑難排解組態問題，以及協助您符合法規、規範符合性和訴訟需求。 Microsoft Exchange 提供了兩種稽核記錄：

「系統管理員稽核記錄」會記錄系統管理員所執行的任何動作 (以 Exchange 管理命令介面指令程式為基礎)。這種記錄可以協助您疑難排解組態問題，或識別安全性相關或規範符合性相關問題的原因。
當系統管理員、委派的使用者或擁有信箱的人員存取信箱時，信箱稽核記錄會記錄。這種記錄可以協助您判斷存取信箱的人員以及他們進行的動作。

匯出稽核記錄檔

在 Exchange 系統管理中心的 [合規性管理>稽核] 頁面上， (EAC) ，您可以從系統管理員稽核記錄和信箱稽核記錄中搜尋和匯出專案。

匯出系統管理員稽核記錄：系統管理員根據 Shell Cmdlet 而未以動詞動詞 Get、 Search或 Test 開頭所執行的任何動作，都會記錄在系統管理員稽核記錄中。稽核記錄項目包括所執行的指令程式、搭配指令程式使用的參數和值，以及作業成功完成的時間。您可以搜尋並匯出系統管理員稽核記錄中的項目。當您匯出搜尋結果時，Microsoft Exchange 會將它們儲存在 XML 檔案中，然後附加到電子郵件。如需詳細資訊，請參閱 Search the role group changes or administrator audit logs。

注意事項

根據預設，系統管理員稽核記錄專案會保留 90 天。超過 90 天的項目就會遭到刪除。在雲端組之中不可變更此設定。不過，您可以使用 Set-AdminAuditLog Cmdlet，在內部部署 Exchange 組織中加以變更。
匯出信箱稽核記錄：啟用信箱的信箱稽核記錄時，Microsoft Exchange 會將非擁有者對信箱資料執行的動作記錄儲存在信箱稽核記錄中，該記錄會儲存在要稽核之信箱的隱藏資料夾中。信箱稽核記錄也可以設定為記錄擁有者動作。此記錄中的專案會指出誰存取信箱、何時執行動作，以及動作是否成功。當您在信箱稽核記錄中搜尋並匯出項目時，Microsoft Exchange 會將搜尋結果儲存在 XML 檔案中，然後附加到電子郵件。如需詳細資訊，請參閱匯出信箱稽核記錄。

執行稽核報告

當您在 EAC 的 [ 稽核] 頁面上執行下列任何報告時，結果會顯示在報表的詳細資料窗格中。

執行非擁有者信箱存取報告：使用此報表來尋找擁有信箱之人員以外的人已存取的信箱。如需詳細資訊，請參閱執行非擁有者信箱存取報告。
執行系統管理員角色群組報告：使用此報告來搜尋對系統管理員角色群組所做的變更。如需詳細資訊，請參閱 Search the role group changes or administrator audit logs。
執行就地探索並保存報表：使用此報表來尋找已放置或從中移除的信箱，In-Place保留] 。如需詳細資訊，請參閱：
- 就地保留與訴訟資料暫留
- 就地電子文件
執行每個信箱訴訟保留報告：使用此報告來尋找已開啟或從訴訟保留中移除的信箱。如需詳細資訊，請參閱。
- 執行每個信箱的訴訟資料暫留報告
- 將信箱設定為訴訟資料暫留狀態
執行系統管理員稽核記錄報告：使用此報告可檢視系統管理員稽核記錄中的專案。您可以於 EAC 中執行此報告，而不是匯出系統管理員稽核記錄，其最多可能需要 24 小時才能在電子郵件訊息中接收到。此報告會記錄貴組織中系統管理員所做的設定變更。可在多個頁面上顯示最多 5000 個項目。若要縮小搜尋範圍，您可以指定日期範圍。如需詳細資訊，請參閱：
- 檢視系統管理員稽核記錄
- 系統管理員稽核記錄

設定稽核記錄

您必須先設定組織的稽核記錄，然後才能執行稽核報告和匯出稽核記錄。

啟用信箱稽核記錄

您必須針對想要執行非擁有者信箱存取報告的每個信箱啟用信箱稽核記錄。如果未針對信箱啟用信箱稽核記錄，當您執行報告或是匯出信箱稽核記錄時，就不會得到任何結果。

若要針對單一信箱啟用信箱稽核記錄，請執行下列命令介面中的指令：

Set-Mailbox <Identity> -AuditEnabled $true

若要針對組織內的所有使用者信箱啟用信箱稽核，請執行下列命令。

$UserMailboxes = Get-mailbox -Filter "RecipientTypeDetails -eq 'UserMailbox'"
$UserMailboxes | ForEach {Set-Mailbox $_.Identity -AuditEnabled $true}

如需設定要記錄哪些動作的詳細資訊，請參閱啟用或停用信箱的信箱稽核記錄。

讓使用者能夠存取稽核報告

根據預設，系統管理員可以在 EAC 的 [稽核] 頁面上存取並執行任何報告。不過，其他使用者 (例如記錄管理員或法律人員) 則必須被指派必要的權限。

讓使用者能夠存取最簡單方式就是將他們新增至「記錄管理」角色群組。您也可以使用 Shell，將稽核記錄角色指派給使用者，讓使用者能夠存取 EAC 中的 [稽核] 頁面。

將使用者新增至記錄管理角色群組

移至 [權限>管理員角色]。
在角色群組清單中，按一下 [記錄管理]，然後按一下[編輯編輯
在 [成員]底下，按一下 [新增。
在 [選取成員] 對話方塊中，選取使用者。您可以輸入顯示名稱的全部或部分，然後按一下搜尋，來搜尋使用者。您也可以透過按一下 [名稱] 或 [顯示名稱] 欄位標題來排序清單。
按一下 [新增 然後按一下 [ 確定 ] 返回角色群組頁面。
按一下 [儲存]，將變更儲存到角色群組。

在 [詳細資料] 窗格中，使用者已列在 [成員] 底下，而且可以存取 EAC 中的 [稽核] 頁面、執行稽核報告和匯出稽核記錄。

將稽核記錄角色指派給使用者

若要將「稽核記錄」角色指派給使用者，請執行下列命令。

New-ManagementRoleAssignment -Role "Audit Logs" -User <Identity>

這可讓使用者在 EAC 中選取 [合規性管理>稽核] 來執行任何報告。使用者也可以匯出信箱稽核記錄，並匯出和檢視系統管理員稽核記錄。

注意事項

注意：若要允許使用者執行稽核報告，但不允許匯出稽核記錄，請使用前一個命令來指派「僅檢視稽核記錄」角色。

設定 Outlook Web App 允許 XML 附件

當您匯出信箱稽核記錄或系統管理員稽核記錄時，Microsoft Exchange 會將稽核記錄 (也就是 XML 檔案) 附加到電子郵件。不過，Outlook Web App 預設會封鎖 XML 附件。若您想要使用 Outlook Web App 來存取這些稽核記錄，需將 Outlook Web App 設定為允許 XML 附件。

執行下列命令，在 Outlook Web App 中允許 XML 附件。

Set-OwaMailboxPolicy -Identity Default -AllowedFileTypes '.rpmsg','.xlsx','.xlsm','.xlsb','.tiff','.pptx','.pptm','.ppsx','.ppsm','.docx','.docm','.zip','.xls','.wmv','.wma','.wav','.vsd','.txt','.tif','.rtf','.pub','.ppt','.png','.pdf','.one','.mp3','.jpg','.gif','.doc','.bmp','.avi','.xml'

共用方式為