Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
S’APPLIQUE à :
2016 2019 Édition d’abonnement
Le journal de suivi des messages est un enregistrement détaillé de toute l’activité à mesure que le courrier circule dans le pipeline de transport sur les serveurs de boîtes aux lettres et les serveurs de transport Edge. Vous pouvez utiliser le suivi des messages pour l’investigation des messages, l’analyse du flux de messagerie, la création de rapports et la résolution des problèmes.
Par défaut, Exchange utilise une journalisation circulaire pour limiter le journal de suivi des messages en fonction de la taille et de l’ancienneté du fichier, afin de contrôler l’espace disque dur utilisé par les fichiers journaux. Pour configurer le journal de suivi des messages, consultez Configurer le suivi des messages.
Recherche dans le journal de suivi des messages
Les journaux de suivi des messages contiennent de grandes quantités de données lorsque les messages transitent par un serveur de boîtes aux lettres ou un serveur de transport Edge. En ce qui concerne la recherche dans les journaux de suivi des messages, vous disposez d’options :
Get-MessageTrackingLog : Les administrateurs peuvent utiliser cette applet de commande environnement de ligne de commande Exchange Management Shell pour rechercher des informations sur les messages à l’aide d’un large éventail de critères de filtre dans le journal de suivi des messages. Pour plus d'informations, consultez la rubrique Recherche des journaux de suivi des messages.
Rapports de remise pour les administrateurs : Les administrateurs peuvent utiliser l’onglet Rapports de remise dans le Centre d’administration Exchange ou les applets de commande Search-MessageTrackingReport et Get-MessageTrackingReport sous-jacentes dans environnement de ligne de commande Exchange Management Shell pour rechercher des informations sur les messages envoyés ou reçus par une boîte aux lettres spécifique de l’organisation dans les journaux de suivi des messages. Pour plus d’informations, consultez Rapports de remise pour les administrateurs.
Structure des fichiers journaux de suivi des messages
Par défaut, les fichiers journaux de suivi des messages existent dans %ExchangeInstallPath%TransportRoles\Logs\MessageTracking. Le dossier contient des fichiers journaux qui ont des noms différents, mais qui suivent tous la convention MSGTRKServiceyyyyMMdd-nnnn.logd’affectation de noms . Les différents noms de fichier journal sont décrits dans le tableau suivant.
| Nom de fichier | Serveurs | Description |
|---|---|---|
MSGTRK |
Serveurs de boîtes aux lettres et serveurs de transport Edge | Fichiers journaux pour le service de transport. |
MSGTRKMA |
Serveurs de boîtes aux lettres | Fichiers journaux pour les approbations et les rejets dans le transport modéré. Pour plus d'informations, consultez la rubrique Gérer l'approbation des messages. |
MSGTRKMD |
Serveurs de boîtes aux lettres | Fichiers journaux associés aux messages remis aux boîtes aux lettres par le service de remise de transport de boîte aux lettres. |
MSGTRKMS |
Serveurs de boîtes aux lettres | Fichiers journaux associés aux messages envoyés à partir de boîtes aux lettres par le service de dépôt de transport de boîte aux lettres. |
Les autres espaces réservés dans les noms des fichiers journaux représentent les informations suivantes :
aaaaMMjj correspond à la date UTC (heure universelle coordonnée) lors de la création du fichier journal. aaaa = année, MM = mois et jj = jour.
nnnn est un numéro d’instance qui commence à la valeur 1 tous les jours pour chaque journal.
Les informations sont écrites dans le fichier journal jusqu'à ce qu'il atteigne sa taille maximale. Ensuite, un nouveau fichier journal avec un numéro d'instance incrémenté est ouvert (le premier fichier journal est -1, le deuxième est -2, etc.). La journalisation circulaire supprime les fichiers journaux les plus anciens d’un service lorsque l’une des conditions suivantes est remplie :
Un fichier journal a atteint son âge maximal.
Le dossier du journal de suivi des messages atteint sa taille maximale.
Remarques :
La taille maximale du dossier du journal de suivi des messages est calculée comme la taille totale de tous les fichiers journaux ayant le même préfixe de nom. Les autres fichiers qui ne suivent pas la convention de préfixe de nom ne sont pas pris en compte dans le calcul de la taille totale du dossier. Renommer d’anciens fichiers journaux ou copier d’autres fichiers dans le dossier de suivi des messages peut entraîner le dépassement de la taille maximale spécifiée.
Sur les serveurs de boîtes aux lettres, la taille maximale du dossier du journal de suivi des messages est égale à trois fois la valeur spécifiée. Bien que les fichiers journaux de suivi des messages soient générés par les quatre services différents et comportent quatre préfixes de noms différents, la quantité et la fréquence des données écrites dans le journal de transport modéré (
MSGTRKMA) sont négligeables par rapport aux trois autres journaux.
Les fichiers journaux de suivi des messages sont des fichiers texte contenant des données au format CSV (valeurs séparées par des virgules). Chaque fichier journal de suivi des messages comporte un en-tête avec les informations suivantes :
#Software : La valeur est
Microsoft Exchange Server.#Version : numéro de version du serveur Exchange qui a créé le fichier journal de suivi des messages. La valeur utilise le format
15.01.nnnn.nnn.#Log-Type : la valeur est
Message Tracking Log.#Date : date-heure UTC de création du fichier journal. La date-heure UTC est représentée au format de date-heure ISO 8601 : aaaa-MM-jjThh :mm :ss.fffZ, où aaaa = année, MM = mois, jj = jour, T indique le début de la composante heure, hh = heure, mm = minute, ss = seconde, fff = fractions de seconde, et Z signifie zoulou, ce qui est une autre façon de désigner l’UTC.
#Fields : noms de champs séparés par des virgules utilisés dans les fichiers journaux de suivi des messages.
Champs des fichiers journaux de suivi des messages
Le journal de suivi des messages indique chaque événement de message sur une seule ligne dans le journal. Les informations d'événement de message sont organisées par champs, ces derniers étant séparés par des virgules. Le nom du champ est généralement suffisamment descriptif pour déterminer le type d'informations qu'il contient. Toutefois, certains champs peuvent être vides ou le type d’informations dans le champ peut changer en fonction du type d’événement du message et du service qui a enregistré l’événement. Le tableau suivant présente des descriptions générales des champs utilisés pour classifier chaque événement de suivi de message.
| Nom de champ | Description |
|---|---|
| date-time | Date et heure UTC de l'événement de suivi de message. La date-heure UTC est représentée au format de date-heure ISO 8601 : aaaa-MM-jjThh :mm :ss.fffZ, où aaaa = année, MM = mois, jj = jour, T indique le début de la composante heure, hh = heure, mm = minute, ss = seconde, fff = fractions de seconde, et Z signifie zoulou, ce qui est une autre façon de désigner l’UTC. |
| client-ip | Adresse IPv4 ou IPv6 du serveur de messagerie ou du client de messagerie ayant déposé le message. |
| client-hostname | Nom d'hôte ou nom de domaine complet (FQDN) du serveur de messagerie ou du client de messagerie ayant déposé le message. |
| server-ip | Adresse IPv4 ou IPv6 du serveur source ou de destination. |
| server-hostname | Nom d'hôte ou nom de domaine complet (FQDN) du serveur de destination. |
| source-context | Informations supplémentaires associées au champ source. Par exemple : CatContentConversion 250 2.0.0 OK;ClientSubmitTime:<UTC> |
| connector-id | Nom du connecteur d’envoi ou de réception qui a accepté le message. Par exemple, ServerName\ ConnectorName ou ConnectorName. |
| source | Composant de transport Exchange responsable de l’événement. Ces valeurs sont décrites dans la section Valeurs sources dans la section du journal de suivi des messages plus loin dans cette rubrique. |
| event-id | Type de l'événement de message. Ces valeurs sont décrites dans la section Types d’événements de la section du journal de suivi des messages plus loin dans cette rubrique. |
| internal-message-id | Identifiant de message attribué par le serveur Exchange en cours de traitement. L’identifiant de message interne d’un message est différent dans le journal de suivi des messages de chaque serveur Exchange impliqué dans la transmission du message. Exemple de valeur est 73014444033. |
| message-id | Valeur du champ d’en-tête Message-Id : dans l’en-tête du message. Si le champ d’en-tête Message-Id : n’existe pas ou est vide, Exchange attribue une valeur arbitraire. Cette valeur est constante pendant toute la durée de vie du message. Pour les messages créés dans Exchange, la valeur est indiquée dans le format <GUID@ServerFQDN>, chevrons compris (< >). Par exemple : <4867a3d78a50438bad95c0f6d072fca5@mailbox01.contoso.com>. D'autres systèmes de messagerie peuvent utiliser une syntaxe et des valeurs différentes. |
| network-message-id | Valeur unique d'ID de message qui persiste dans les copies du message éventuellement créées suite à une bifurcation ou à une expansion du groupe de distribution. Exemple de valeur est 1341ac7b13fb42ab4d4408cf7f55890f. |
| recipient-address | Adresse de messagerie des destinataires du message. Les adresses de messagerie multiples sont séparées par des points-virgules (;). |
| recipient-status | Le destinataire status pour chaque destinataire, séparé par le point-virgule (;). Les valeurs d'état des destinataires sont présentées dans le même ordre que les valeurs du champ recipient-address. Voici quelques exemples de valeurs de status : To, Cc ou Bcc 250 2.1.5 Recipient OK 550 4.4.7 QUEUE.Expired;<ErrorText> |
| total-bytes | Taille totale du message en octets, pièces jointes comprises. |
| recipient-count | Nombre total de destinataires dans le message. |
| related-recipient-address | Ce champ est utilisé avec les événements EXPAND, REDIRECT et RESOLVE pour afficher les adresses e-mail d’autres destinataires associés au message. |
| reference | Ce champ contient des informations supplémentaires pour des types d'événements spécifiques. Par exemple : DSN : contient le lien de rapport, qui est la valeur Message-Id de la notification de status de remise associée (également appelée DSN, message de rebond, rapport de non-remise ou NDR) si un DSN est généré après cet événement. S’il s’agit d’un message DSN, le champ Référence contient la valeur Message-Id du message d’origine pour lequel le DSN a été généré. EXPAND : contient la valeur related-recipient-address-address des messages associés. RECEVOIR : peut contenir la valeur Message-Id du message associé si le message a été généré par d’autres processus, par exemple, des règles de journalisation ou de boîte de réception. SEND : contient la valeur Internal-Message-Id de tout message DSN. LIMITATION : contient la raison pour laquelle le message a été limité. TRANSFER : contient la valeur Internal-Message-Id du message qui est forké. Message généré par les règles de boîte de réception : contient la valeur Internal-Message-Id du message entrant qui a provoqué la génération du message sortant par la règle de boîte de réception. Messages dupliqués : peut contenir la valeur Internal-Message-Id . Pour les autres types d’événements, ce champ est généralement vide. |
| message-subject | Objet du message trouvé dans le champ d'en-tête Subject:. Le suivi des sujets de message est contrôlé par le paramètre MessageTrackingLogSubjectLoggingEnabled sur l’applet de commande Set-TransportService . Par défaut, le suivi de l'objet des messages est activé. |
| sender-address | Adresse e-mail spécifiée dans le champ d’en-tête Expéditeur : ou dans le champ d’en-tête De : si le champ Expéditeur : n’existe pas. |
| return-path | Adresse de retour spécifiée par la commande MAIL FROM qui a envoyé le message. Bien que ce champ ne soit jamais vide, la valeur de l’adresse de l’expéditeur null peut être représentée par <>. |
| message-info | Informations supplémentaires sur le message. Par exemple : Date-heure d’origine du message en UTC pour les événements DELIVER et SEND . Les date et heure d'origine indiquent le moment auquel le message est entré dans l'organisation Exchange. La date-heure UTC est représentée au format de date-heure ISO 8601 : aaaa-MM-jjThh :mm :ss.fffZ, où aaaa = année, MM = mois, jj = jour, T indique le début de la composante heure, hh = heure, mm = minute, ss = seconde, fff = fractions de seconde, et Z signifie zoulou, ce qui est une autre façon de désigner l’UTC. Erreurs d'authentification. Par exemple, vous pouvez voir la valeur 11a et le type d’authentification qui ont été utilisés lorsque l’erreur d’authentification s’est produite. |
| directionality | Direction du message. Les valeurs exemples incluent Incoming, Undefined, et Originating. |
| tenant-id | Ce champ n’est pas utilisé dans les organisations Exchange locales. |
| original-client-ip | Adresse IPv4 ou IPv6 du client d'origine. |
| original-server-ip | Adresse IPv4 ou IPv6 du serveur d'origine. |
| custom-data | Ce champ contient des données relatives à des types d’événements spécifiques. Par exemple, l’agent de règle de transport utilise ce champ pour enregistrer le GUID de la règle de flux de courrier (également appelée règle de transport) ou de la stratégie DLP qui a agi sur le message. Pour plus d’informations, consultez Afficher les rapports de détection de stratégie DLP. |
| transport-traffic-type | Dans Exchange local, ce champ est vide ou contient la valeur Email. |
| ID de journal | Identifiant unique d’une ligne dans le journal de suivi des messages. Ce champ n’est pas important dans les organisations Exchange locales. |
| version de schéma | Numéro de version du serveur Exchange qui a créé l’entrée dans le journal de suivi des messages. La valeur utilise le format 15.01.nnnn.nnn. |
Types d'événements dans le journal de suivi des messages
Dans le champ event-id, divers types d'événements sont utilisés pour classifier les événements de messages dans le journal de suivi des messages. Certains événements de messages apparaissent dans un seul type de fichier journal de suivi des messages, et d'autres dans tous les types de journaux de suivi des messages. Le tableau suivant présente les types d'événements utilisés pour classifier chaque événement de message.
| Nom de l'événement | Description |
|---|---|
| AGENTINFO | Cet événement est utilisé par les agents transport pour journaliser des données personnalisées. |
| BADMAIL | Un message soumis par le répertoire de collecte ou de relecture ne peut pas être remis ou retourné. |
| CLIENTSUBMISSION | Un message a été envoyé à partir de la boîte d’envoi d’une boîte aux lettres. |
| DEFER | La remise du message a été retardée. |
| DELIVER | Un message a été remis à une boîte aux lettres locale. |
| ÉCHEC DE LIVRAISON | Un agent a essayé de remettre le message à un dossier qui n’existe pas dans la boîte aux lettres. |
| DROP | Un message a été supprimé sans notification d'état de remise (également appelée notification de non-remise ou notification d'échec de remise). Par exemple :
|
| DSN | Une notification d'état de remise a été générée. |
| DUPLICATEDELIVER | Un message en double a été remis au destinataire. La duplication peut se produire si un destinataire est membre de plusieurs groupes de distribution imbriqués, mais elle peut également se produire en raison d’autres chemins de livraison ou comportements de traitement. Les messages en double sont détectés et supprimés par la banque d'informations. |
| DUPLICATEEXPAND | Durant l'expansion du groupe de distribution, un destinataire en double a été détecté. |
| DUPLICATEREDIRECT | Un autre destinataire du message était déjà destinataire. |
| EXPAND | Un groupe de distribution a été développé. |
| FAIL | La remise du message a échoué. Les sources incluent SMTP, DNS, QUEUE et ROUTING. |
| HADISCARD | Un message de cliché instantané a été écarté après remise de la copie principale au saut suivant. Pour plus d’informations, consultez Redondance des ombres dans Exchange Server. |
| HARECEIVE | Le serveur a reçu un message de cliché instantané dans le groupe de disponibilité de base de données (DAG) ou le site Active Directory locaux. |
| HAREDIRECT | Un message de cliché instantané a été créé. |
| HAREDIRECTFAIL | La création d'un message de cliché instantané a échoué. Les détails figurent dans le champ source-context. |
| INITMESSAGECREATED | Un message a été envoyé à un destinataire modéré, de sorte que le message a été envoyé à la boîte aux lettres d’arbitrage pour approbation. Pour plus d'informations, consultez la rubrique Gérer l'approbation des messages. |
| LOAD | Un message a été chargé avec succès au démarrage. |
| MODERATIONEXPIRE | Aucun modérateur d'un destinataire modéré n'ayant jamais approuvé ou rejeté le message, ce dernier a expiré. Pour plus d'informations sur les destinataires modérés, consultez la rubrique Gérer l'approbation des messages. |
| MODERATORAPPROVE | Un modérateur d'un destinataire modéré ayant approuvé le message, ce dernier a été remis au destinataire. |
| MODERATORREJECT | Un modérateur d'un destinataire modéré ayant rejeté le message, ce dernier n'a pas été remis au destinataire. |
| MODERATORSALLNDR | Toutes les demandes d’approbation envoyées à tous les modérateurs d’un destinataire modéré n’ont pas pu être remises et ont donné lieu à des rapports de non-remise (également appelés notifications d’échec de remise ou messages de rebond). |
| NOTIFYMAPI | Un message a été détecté dans la boîte d'envoi d'une boîte aux lettres sur le serveur local. |
| NOTIFYSHADOW | Un message a été détecté dans la boîte d'envoi d'une boîte aux lettres sur le serveur local, et un cliché instantané du message doit être créé. |
| POISONMESSAGE | Un message a été placé dans la file d'attente de messages incohérents ou supprimé de cette dernière. |
| PROCESS | Le traitement du message a réussi. |
| PROCESSMEETINGMESSAGE | Un message de réunion a été traité par le service de remise de transport de boîte aux lettres. |
| RECEIVE | Un message a été reçu par le composant de réception SMTP du service de transport ou des répertoires Pickup ou Replay (source : SMTP), ou un message a été envoyé à partir d’une boîte aux lettres au service de soumission de transport de boîtes aux lettres (source : STOREDRIVER). |
| REDIRECT | Un message a été redirigé vers un autre destinataire après une recherche Active Directory. |
| RESOLVE | Les destinataires d'un message ont été résolus dans une adresse de messagerie différente après une recherche Active Directory. |
| RESUBMIT | Un message a été resoumis automatiquement à partir du filet de sécurité. Pour plus d’informations, voir Protection sociale dans Exchange Server. |
| RESUBMITDEFER | Un message resoumis à partir du filet de sécurité a été différé. |
| RESUBMITFAIL | La resoumission d'un message à partir du filet de sécurité a échoué. |
| SEND | Un message a été échangé par SMTP entre des services de transport. |
| SUBMIT | Le service de dépôt de transport de boîtes aux lettres a transmis le message au service de transport. Pour les événements SUBMIT, la propriété source-context contient les détails suivants :
|
| SUBMITDEFER | La transmission du message à partir du service de dépôt de transport de boîte aux lettres au service de transport a été différée. |
| SUBMITFAIL | La transmission du message à partir du service de dépôt de transport de boîte aux lettres au service de transport a échoué. |
| SUPPRESSED | La transmission du message a été supprimée. |
| THROTTLE | Le message a été limité. |
| TRANSFER | Les destinataires ont été déplacés dans un message transféré à cause de la conversion de contenu, des limites relatives aux destinataires du message ou aux agents. Les sources peuvent être ROUTING ou QUEUE. |
Valeurs de source dans le journal de suivi des messages
Les valeurs du champ source dans le journal de suivi des messages indiquent le composant de transport responsable de l'événement de suivi de message. Le tableau suivant décrit les valeurs du champ source.
| Valeur de source | Description |
|---|---|
| ADMIN | La source de l'événement était une intervention humaine. Par exemple, un administrateur a utilisé l'Afficheur des files d'attente pour supprimer un message, ou déposé des fichiers de messages à l'aide du répertoire de relecture. |
| AGENT | La source de l'événement était un agent de transport. |
| APPROVAL | La source de l'événement était la structure d'approbation utilisée avec les destinataires modérés. Pour plus d'informations, consultez la rubrique Gérer l'approbation des messages. |
| BOOTLOADER | La source de l'événement était l'existence de messages non traités sur le serveur au démarrage. Ceci est lié au type d'événement LOAD. |
| DNS | La source de l'événement était une DNS. |
| DSN | La source de l’événement était une notification de status de remise (également appelée DSN, message de rebond, rapport de non-remise ou notification d’urgence). |
| GATEWAY | La source de l'événement était un connecteur étranger. Pour plus d’informations, voir Connecteurs étrangers. |
| MAILBOXRULE | La source de l'événement était une règle de boîte de réception. Pour plus d'informations, consultez la rubrique Règles de la boîte de réception. |
| MEETINGMESSAGEPROCESSOR | La source de l'événement était le processeur de messages de réunion qui met à jour des calendriers en fonction des mises à jour de réunion. |
| ORAR | La source de l'événement était un destinataire suppléant demandé par l'expéditeur (ORAR). Vous pouvez activer ou désactiver la prise en charge d’ORAR sur les connecteurs de réception à l’aide du paramètre OrarEnabled sur les applets de commande New-ReceiveConnector ou Set-ReceiveConnector . |
| PICKUP | La source de l'événement était le répertoire de collecte. Pour plus d’informations, voir Répertoire de ramassage et Répertoire de relecture. |
| POISONMESSAGE | La source de l'événement était l'identificateur de message incohérent. Pour plus d’informations sur les messages incohérents et la file d’attente de messages incohérents, consultez Files d’attente et messages dans les files d’attente |
| PUBLICFOLDER | La source de l'événement était un dossier public à extension messagerie. |
| QUEUE | La source de l'événement était une file d'attente. |
| REDUNDANCY | La source de l'événement était une redondance de cliché instantané. Pour plus d’informations, consultez Redondance des ombres dans Exchange Server. |
| RÉSOLVEUR | La source de l’événement était le composant de résolution de destinataire du catégoriseur dans le service de transport. Pour plus d’informations, voir Résolution des destinataires dans Exchange Server. |
| ROUTING | La source de l'événement était le composant de résolution de routage du catégoriseur dans le service de transport. |
| SAFETYNET | La source de l'événement était un filet de sécurité. Pour plus d’informations, voir Protection sociale dans Exchange Server. |
| SMTP | Le message a été déposé par le composant d'envoi ou de réception SMTP du service de transport. |
| STOREDRIVER | La source de l'événement était un dépôt MAPI à partir d'une boîte aux lettres sur le serveur local. |
Exemples d'entrées du journal de suivi des messages
Un message sans événement échangé entre deux utilisateurs génère plusieurs entrées dans le journal de suivi des messages. Vous pouvez voir les résultats à l'aide de la cmdlet Get-MessageTrackingLog. Pour plus d'informations, consultez la rubrique Recherche des journaux de suivi des messages.
Il s’agit d’un exemple d’entrées de journal de suivi des messages créés lorsque l’utilisateur chris@contoso.com envoie correctement un message de test à l’utilisateur michelle@contoso.com. Les deux utilisateurs ont des boîtes aux lettres sur le même serveur.
EventId Source Sender Recipients MessageSubject
------- ------ ------ ---------- --------------
NOTIFYMAPI STOREDRIVER {}
RECEIVE STOREDRIVER chris@contoso.com {michelle@contoso.com} test
SUBMIT STOREDRIVER chris@contoso.com {michelle@contoso.com} test
HAREDIRECT SMTP chris@contoso.com {michelle@contoso.com} test
RECEIVE SMTP chris@contoso.com {michelle@contoso.com} test
AGENTINFO AGENT chris@contoso.com {michelle@contoso.com} test
SEND SMTP chris@contoso.com {michelle@contoso.com} test
DELIVER STOREDRIVER chris@contoso.com {michelle@contoso.com} test
Problèmes de sécurité pour le journal de suivi des messages
Aucun contenu de message n'est stocké dans le journal de suivi des messages. Par défaut, la ligne d'objet d'un message électronique est enregistrée dans le journal de suivi des messages. Vous devrez peut-être désactiver la journalisation des sujets pour vous conformer aux exigences accrues en matière de sécurité ou de confidentialité. Pour obtenir des instructions sur la désactivation de la journalisation des sujets, voir Configurer le suivi des messages.