Nachrichtenverfolgung

GILT FÜR:2016 2019 Subscription Edition

Das Nachrichtenverfolgungsprotokoll ist eine detaillierte Aufzeichnung aller Aktivitäten, während Nachrichten durch die Transportpipeline auf Postfachservern und Edge-Transport-Servern fließen. Sie können die Nachrichtenverfolgung für Nachrichtenforensik, Nachrichtenflussanalyse, Berichterstellung und Fehlerbehebung verwenden.

Exchange verwendet standardmäßig die Umlaufprotokollierung, um das Nachrichtenverfolgungsprotokoll basierend auf Dateigröße und Dateialter einzuschränken und so den von den Protokolldateien belegten Festplattenspeicher zu kontrollieren. Informationen zum Konfigurieren des Nachrichtenverfolgungsprotokolls finden Sie unter Konfigurieren der Nachrichtenverfolgung.

Durchsuchen des Nachrichtenverfolgungsprotokolls

Nachrichtenverfolgungsprotokolle enthalten große Datenmengen, während Nachrichten durch einen Postfachserver oder Edge-Transport-Server verschoben werden. Beim Durchsuchen der Nachrichtenverfolgungsprotokolle haben Sie folgende Optionen:

• Get-MessageTrackingLog: Administratoren können dieses Exchange-Verwaltungsshell-Cmdlet verwenden, um das Nachrichtenverfolgungsprotokoll nach Informationen zu Nachrichten mit einer Vielzahl von Filterkriterien zu durchsuchen. Weitere Informationen finden Sie unter Durchsuchen von Nachrichtenverfolgungsprotokollen.

• Übermittlungsberichte für Administratoren: Administratoren können die Registerkarte "Übermittlungsberichte" im Exchange Admin Center oder die zugrunde liegenden Cmdlets "Search-MessageTrackingReport" und "Get-MessageTrackingReport" in der Exchange-Verwaltungsshell verwenden, um die Nachrichtenverfolgungsprotokolle nach Informationen zu Nachrichten zu durchsuchen, die von einem bestimmten Postfach in der Organization gesendet oder empfangen wurden. Weitere Informationen finden Sie unter Übermittlungsberichte für Administratoren.

Struktur der Protokolldateien der Nachrichtenverfolgung

Standardmäßig befinden sich die Protokolldateien für die Nachrichtenverfolgung im %ExchangeInstallPath%TransportRoles\Logs\MessageTracking Der Ordner enthält Protokolldateien mit unterschiedlichen Namen, die jedoch alle der Namenskonvention MSGTRKServiceyyyyMMdd-nnnn.logfolgen. Die verschiedenen Protokolldateinamen werden in der folgenden Tabelle beschrieben.

Die anderen Platzhalter in den Protokolldateinamen stehen für folgende Informationen:

• jjjjMMtt ist das UTC-Datum (Coordinated Universal Time), an dem die Protokolldatei erstellt wurde. jjjj = Jahr, MM = Monat und dd = Tag.

• Der Platzhalter nnnn ist eine Instanznummer, die mit dem Wert 1 für jeden Tag beginnt.

In die Protokolldatei werden solange Informationen geschrieben, bis die für die Datei festgelegte maximale Größe erreicht ist. Dann wird eine neue Protokolldatei mit der nächsthöheren Instanznummer geöffnet. Bei der zirkulären Protokollierung werden die ältesten Protokolldateien für einen Dienst gelöscht, wenn eine der folgenden Bedingungen zutrifft:

• Eine Protokolldatei erreicht ihr Höchstalter.

• Der Ordner für Nachrichtenverfolgungsprotokolle erreicht seine maximal zulässige Größe.

  Hinweise:

  • Die maximale Größe des Protokollordners für die Nachrichtenverfolgung wird als Gesamtgröße aller Protokolldateien mit demselben Namenspräfix berechnet. Andere Dateien, die nicht der Namenspräfixkonvention entsprechen, werden bei der Berechnung der Gesamtordnergröße nicht berücksichtigt. Das Umbenennen alter Protokolldateien oder das Kopieren anderer Dateien in den Nachrichtenverfolgungsprotokollordner kann dazu führen, dass der Ordner die angegebene maximale Größe überschreitet.

  • Auf Postfachservern ist die maximale Größe des Ordners für das Nachrichtenverfolgungsprotokoll das Dreifache des angegebenen Werts. Obwohl die Protokolldateien für die Nachrichtenverfolgung von vier verschiedenen Diensten generiert werden und vier verschiedene Namenspräfixe aufweisen, ist die Menge und Häufigkeit der Daten, die in das moderierte TransportprotokollMSGTRKMA () geschrieben werden, im Vergleich zu den anderen drei Protokollen vernachlässigbar.

Bei den Protokolldateien der Nachrichtenverfolgung handelt es sich um Textdateien, die Daten im CSV-Format (Comma Separated Value, durch Komma getrennte Werte) enthalten. Jede Datei enthält eine Kopfzeile mit den folgenden Informationen:

• #Software: Der Wert ist Microsoft Exchange Server.

• #Version: Versionsnummer des Exchange-Servers, der die Protokolldatei für die Nachrichtenverfolgung erstellt hat. Der Wert verwendet das Format 15.01.nnnn.nnn.

• #Log-Type: Der Wert ist Message Tracking Log.

• #Date: Das UTC-Datum und die UTC-Uhrzeit, als die Protokolldatei erstellt wurde. Die UTC-Datums-/Uhrzeitformat wird im ISO 8601-Datums-/Uhrzeitformat dargestellt: jjjj-MM-ttThh:mm:ss.fffZ, wobei yyyy = Jahr, MM = Monat, dd = Tag, T den Anfang der Zeitkomponente, hh = Stunde, mm = Minute, ss = Sekunde, fff = Sekundenbruchteile und Z Zulu bezeichnet, was eine andere Art der Bezeichnung UTC ist.

• #Fields: Kommagetrennte Feldnamen, die in den Nachrichtenverfolgungs-Protokolldateien verwendet werden.

Felder in den Protokolldateien für die Nachrichtenverfolgung

Im Nachrichtenverfolgungsprotokoll werden die einzelnen Nachrichtenereignisse jeweils in einer einzelnen Zeile gespeichert. Die Nachrichtenereignisinformationen sind in Feldern organisiert, die durch Kommas voneinander getrennt sind. Anhand des Feldnamens kann im Allgemeinen festgestellt werden, welchen Informationstyp das jeweilige Feld enthält. Einige Felder können jedoch leer sein, oder die Art der Informationen im Feld kann sich basierend auf dem Nachrichtenereignistyp und dem Dienst, der das Ereignis aufgezeichnet hat, ändern. Allgemeine Beschreibungen der Felder, die zum Klassifizieren der einzelnen Protokollereignisse verwendet werden, werden in folgenden Tabelle erläutert.

Ereignistypen im Nachrichtenverfolgungsprotokoll

Verschiedene Ereignistypen im Feld event-id dienen zum Klassifizieren der Nachrichtenereignisse im Nachrichtenverfolgungsprotokoll. Einige Nachrichtenereignisse werden nur in einem Typ von Protokolldatei für die Nachrichtenverfolgung angezeigt, andere hingegen in allen. Die Ereignistypen, die zum Klassifizieren der einzelnen Nachrichtenereignisse verwendet werden, sind in Tabelle 1 beschrieben.

Quellwerte im Nachrichtenverfolgungsprotokoll

Die Werte im Feld source im Nachrichtenverfolgungsprotokoll geben die Transportkomponente an, die für das Nachrichtenverfolgungsereignis zuständig ist. In der folgenden Tabelle werden die Werte des Felds source beschrieben.

Beispieleinträge im Nachrichtenverfolgungsprotokoll

Eine ereignislose Nachricht, die zwischen zwei Benutzern gesendet wurde, generiert mehrere Einträge im Nachrichtenverfolgungsprotokoll. Sie können die Ergebnisse mit dem Cmdlet Get-MessageTrackingLog überprüfen. Weitere Informationen finden Sie unter Durchsuchen von Nachrichtenverfolgungsprotokollen.

Dies ist ein Beispiel für die Nachrichtenverfolgungsprotokolleinträge, die erstellt werden, wenn der Benutzer chris@contoso.com erfolgreich eine Testnachricht an den Benutzer michelle@contoso.comsendet . Beide Benutzer haben Postfächer auf demselben Server.

EventId    Source      Sender            Recipients             MessageSubject
-------    ------      ------            ----------             --------------
NOTIFYMAPI STOREDRIVER                   {}
RECEIVE    STOREDRIVER chris@contoso.com {michelle@contoso.com} test
SUBMIT     STOREDRIVER chris@contoso.com {michelle@contoso.com} test
HAREDIRECT SMTP        chris@contoso.com {michelle@contoso.com} test
RECEIVE    SMTP        chris@contoso.com {michelle@contoso.com} test
AGENTINFO  AGENT       chris@contoso.com {michelle@contoso.com} test
SEND       SMTP        chris@contoso.com {michelle@contoso.com} test
DELIVER    STOREDRIVER chris@contoso.com {michelle@contoso.com} test

Sicherheitsüberlegungen zum Nachrichtenverfolgungsprotokoll

Im Nachrichtenverfolgungsprotokoll wird kein Nachrichteninhalt gespeichert. Standardmäßig wird die Betreffzeile einer E-Mail-Nachricht im Nachrichtenverfolgungsprotokoll gespeichert. Möglicherweise müssen Sie die Protokollierung der Betreffs deaktivieren, um erhöhte Sicherheits- oder Datenschutzanforderungen zu erfüllen. Anweisungen zum Deaktivieren der Protokollierung von Betreffzeilen finden Sie unter Konfigurieren der Nachrichtenverfolgung.