Traccia dei messaggi nell'interfaccia di amministrazione di Exchange in Exchange Online

La funzionalità di traccia dei messaggi nell'interfaccia di amministrazione di Exchange segue i messaggi di posta elettronica mentre passano attraverso l'organizzazione di Microsoft 365. È possibile determinare se il servizio ha ricevuto, rifiutato, posticipato o recapitato un messaggio. Traccia messaggio mostra anche le azioni eseguite sul messaggio prima che raggiungesse lo stato finale. È possibile usare le informazioni di Traccia messaggi per rispondere in modo efficiente alle domande degli utenti su cosa è successo ai messaggi, risolvere i problemi del flusso di posta e convalidare le modifiche ai criteri.

Che cosa è necessario sapere prima di iniziare?

• Per poter eseguire le procedure descritte in questo articolo, è necessario disporre delle autorizzazioni assegnate. Sono disponibili le opzioni seguenti:

  • Autorizzazioni di Exchange Online: appartenenza al gruppo di ruoli Gestione organizzazione.

  • Autorizzazioni di Microsoft Entra: l'appartenenza ai ruoli di amministratore^* globale o amministratore di Exchange offre agli utenti le autorizzazioni e le autorizzazioni necessarie per altre funzionalità di Microsoft 365.

    Importante

    ^* Microsoft consiglia di usare i ruoli con il minor numero di autorizzazioni. L'uso di account con autorizzazioni inferiori consente di migliorare la sicurezza per l'organizzazione. Amministratore globale è un ruolo con privilegi elevati che deve essere limitato agli scenari di emergenza quando non è possibile usare un ruolo esistente.

• Il numero massimo di messaggi visualizzati nei risultati dipende dal tipo di report selezionato. Per altre informazioni, vedere i risultati di Message Trace. Il cmdlet Get-HistoricalSearch in PowerShell per Exchange Online restituisce tutti i messaggi nei risultati.

Apri traccia messaggio

Nell'interfaccia di amministrazione di Exchange a https://admin.exchange.microsoft.com, andare aTraccia messaggiflusso> di posta. In alternativa, per passare direttamente alla pagina Traccia messaggio , usare https://admin.exchange.microsoft.com/#/messagetrace.

Pagina di traccia del messaggio

Nella pagina Traccia messaggi è possibile avviare una nuova traccia predefinita selezionando Avvia traccia.

Nel riquadro a comparsa Nuova traccia messaggio che si apre, le selezioni predefinite cercano tutti i messaggi di tutti i mittenti e i destinatari degli ultimi due giorni. In alternativa, è possibile usare una delle query archiviate nelle schede disponibili (così come sono o come punto di partenza per le proprie query):

• Query predefinite: query predefinite fornite da Microsoft 365.
• Query personalizzate: query salvate dagli amministratori dell'organizzazione per un uso futuro.
• Query salvate automaticamente: le ultime 10 query eseguite più di recente. Questo elenco semplifica il riavvio da dove si era interrotto.

La scheda Report scaricabili mostra le richieste di report scaricabili e i report stessi quando sono disponibili per il download.

Opzioni per una nuova traccia messaggio

Le sezioni seguenti descrivono le impostazioni disponibili nel riquadro a comparsa Nuova traccia messaggio che si apre quando si seleziona Avvia una traccia o si apre una traccia esistente.

Mittenti e destinatari

Il valore predefinito per Mittenti e Destinatari è Tutti, ma è possibile immettere valori specifici:

• Mittenti: fare clic sulla casella e iniziare a digitare per immettere o selezionare uno o più mittenti dell'organizzazione.
• Destinatari: fare clic sulla casella e iniziare a digitare per immettere o selezionare uno o più destinatari nell'organizzazione.

È possibile digitare gli indirizzi di posta elettronica di mittenti e destinatari esterni. I caratteri jolly sono supportati (ad esempio, *@contoso.com), ma non è possibile usare più caratteri jolly in un valore.

È possibile incollare più elenchi di mittenti o destinatari separati da punto e virgola (;), spazi (\s), ritorni a capo (\r) o nuove righe (\n).

Intervallo di tempo

Nella sezione Intervallo di tempo il valore predefinito è 2 giorni, ma è possibile specificare intervalli di data/ora fino a 90 giorni. Quando si usano intervalli di data/ora, considerare i problemi seguenti:

• Per impostazione predefinita, puoi selezionare l'intervallo di tempo nella vista Dispositivo di scorrimento utilizzando una sequenza temporale.

  

  Salvando una query nella vista Slider si salva l'intervallo di tempo relativo, ad esempio due giorni da oggi.

• Puoi passare alla visualizzazione Intervallo di tempo personalizzato per specificare i valori seguenti:

  • Fuso orario: si applica agli input e ai risultati della query.
  • Data di inizio: data e ora.
  • Data di fine: data e ora.

  

  Il salvataggio di una query nella visualizzazione Intervallo di tempo personalizzato salva l'intervallo di data/ora assoluto (ad esempio, 2023-05-06 13:00 to 2023-05-08 18:00).

Per 10 giorni o meno, i risultati sono immediatamente disponibili come report di riepilogo. È anche possibile eseguire query fino a 90 giorni di dati cronologici per query di riepilogo quasi in tempo reale. Tuttavia, è possibile eseguire query solo su dati di 10 giorni alla volta.

Se si specifica un intervallo di data/ora anche leggermente superiore a 10 giorni:

• I risultati sono disponibili solo come file CSV scaricabile (report di riepilogo avanzato o report esteso).
• I risultati vengono preparati utilizzando i dati di traccia dei messaggi archiviati. Potrebbero essere necessarie diverse ore prima che il report sia disponibile per il download. A seconda del numero di altri amministratori che hanno inviato richieste di report nello stesso periodo, è anche possibile notare un ritardo prima dell'avvio dell'elaborazione di una richiesta in coda.

Opzioni di ricerca dettagliate

Nella sezione Opzioni di ricerca dettagliata sono disponibili le opzioni seguenti:

• Filtro oggetto: Il filtro Oggetto per le query di traccia messaggi include le opzioni seguenti: inizia con, termina con e contiene. Questo filtro supporta anche i caratteri speciali.

  

• Filtro stato recapito: il filtro Stato recapito supporta le ricerche per stato come Quarantena, Filtratocome posta indesiderata, Ottenere stato e così via.

  

Sono disponibili i seguenti valori:

• Tutto: questo è il valore predefinito.
• Recapitato: il messaggio è stato recapitato correttamente alla destinazione prevista.
• Espanso: un destinatario del gruppo di distribuzione è stato espanso prima del recapito ai singoli membri del gruppo.
• Fallito: il messaggio non è stato recapitato.
• In sospeso^*: è in corso un tentativo o un nuovo tentativo di recapito del messaggio.
• Ricordato: Il messaggio è stato richiamato. Per ulteriori informazioni, vedere Utilizzo di Richiamo messaggi basato sul cloud.
• In quarantena^*: il messaggio è stato messo in quarantena (come posta indesiderata, posta elettronica in blocco o phishing). Per altre informazioni, vedere Messaggi di posta elettronica in quarantena.
• Filtrato come posta indesiderata^*: il messaggio è stato identificato come posta indesiderata ed è stato rifiutato o bloccato (non messo in quarantena).
• Stato ottenuto: Microsoft 365 ha ricevuto di recente il messaggio, ma non sono ancora disponibili altri dati sullo stato. È possibile ricontrollare entro pochi minuti.

^* Questo valore è disponibile solo per le ricerche rilasciate da meno di 10 giorni. Se è necessario eseguire query sui dati più vecchi di 10 giorni, usare il cmdlet Start-HistoricalSearch in PowerShell per Exchange Online.

• ID messaggio: l'ID del messaggio Internet (noto anche come ID client) nel campo dell'intestazione Message-ID nell'intestazione del messaggio. Gli utenti possono assegnare questo valore per analizzare messaggi specifici.

  Questo valore rimane immutato per tutta la durata del messaggio. Per i messaggi creati in Microsoft 365 o Exchange, il valore ID messaggio usa il formato <GUID@ServerFQDN>, incluse le parentesi angolate. Ad esempio, <d9683b4c-127b-413a-ae2e-fa7dfb32c69d@DM3NAM06BG401.Eop-nam06.prod.protection.outlook.com>. Altri sistemi di posta elettronica potrebbero usare sintassi o valori diversi. Questo valore dovrebbe essere univoco, ma non tutti i sistemi di posta elettronica seguono rigorosamente questo requisito. Viene assegnato un valore arbitrario se il campo di intestazione Message-ID: non esiste o è vuoto per i messaggi in arrivo da origini esterne.

  Quando si usa l'ID messaggio per filtrare i risultati, assicurarsi di includere l'intera stringa, incluse eventuali parentesi angolate.

• ID messaggio di rete: l'ID messaggio di rete è un valore ID messaggio univoco che prevale nelle copie del messaggio che potrebbero essere create a causa della biforcazione e nel processo di trasporto dei messaggi. È dinamico in cui il suo valore differisce anche per una copia dell'istanza specifica del messaggio. Pertanto, ogni versione copiata dell'istanza ha un valore ID messaggio di rete diverso.

  Le differenze tra ID messaggio di rete e ID messaggio sono riepilogate nella tabella seguente:

  ID messaggio di rete	ID messaggio
  ID dell'istanza specifica di un messaggio di posta elettronica	ID del messaggio di posta elettronica
  Univoco e persiste nelle copie del messaggio che potrebbero essere create a causa della biforcazione del messaggio	Costante per tutta la durata del messaggio

  Per ulteriori informazioni sull'ID messaggio di rete, vedere le informazioni seguenti:

  • Exchange Server: registri di verifica messaggi

  • Exchange Online: Report avanzati di traccia dei messaggi

  • Outlook: Intestazioni dei messaggi

  Per tenere traccia del valore ID messaggio di rete e utilizzarlo per tenere traccia di messaggi specifici in Exchange Online, utilizzare una delle intestazioni di messaggio seguenti:

  • X-MS-Exchange-Organization-Network-Message-Id

  • X-MS-Office365-Filtering-Correlation-Id

  • X-MS-Exchange-CrossTenant-Network-Message-Id

  È possibile usare il valore di ID messaggio di rete da queste intestazioni per recuperare ulteriormente messaggi specifici. Ad esempio:

  • Messaggi inviati da un mittente specifico.
  • Messaggi indirizzati a un destinatario specifico.
  • Messaggi inviati durante un periodo di tempo specificato.

  È anche possibile usare il cmdlet Get-MessageTraceV2 in PowerShell di Exchange Online per tenere traccia del valore dell'ID messaggio di rete.

  L'esempio seguente usa il valore di ID messaggio di rete per trovare i messaggi inviati tra john@contoso.com il 13 giugno 2024 e il 15 giugno 2024:

  • Il parametro MessageTraceID utilizza il valore ID messaggio di rete , che in questo esempio è 2bbad36aa4674c7ba82f4b307fff549.
  • I risultati del comando Get-MessageTraceV2 vengono inviati tramite pipe al cmdlet Get-MessageTraceDetailV2 . I risultati consentono di identificare:
    • Valore ID messaggio di rete .
    • I messaggi specifici che questo valore di Network Message ID aiuta a recuperare.

  Get-MessageTraceV2 -MessageTraceId 2bbad36aa4674c7ba82f4b307fff549f -SenderAddress john@contoso.com -StartDate 06/13/2025 -EndDate 06/15/2025 | Get-MessageTraceDetailV2
  

• Direzione: Selezionare uno dei valori seguenti:

  • Tutto: questo è il valore predefinito.
  • In ingresso: messaggi inviati a destinatari nell'organizzazione.
  • In uscita: messaggi inviati dagli utenti dell'organizzazione.

• Indirizzo IP del client originale: l'indirizzo IP del computer o del dispositivo client del mittente del messaggio di posta elettronica. È possibile utilizzare questo filtro per esaminare i computer compromessi che inviano grandi quantità di spam o malware. Anche se i messaggi possono sembrare provenienti da più mittenti, è probabile che tutti i messaggi siano stati generati dallo stesso computer.

  Nota

  Le informazioni sull'indirizzo IP del client sono disponibili solo per 10 giorni e solo nel report di riepilogo avanzato o nel report esteso (file CSV scaricabili).

Tipo di report

I tipi di report disponibili sono:

• Report di riepilogo: disponibile se l'intervallo di tempo è inferiore a 10 giorni e non richiede altre opzioni di filtro. I risultati sono disponibili quasi immediatamente dopo aver selezionato Cerca. Il report restituisce fino a 20.000 risultati.

  Selezionare Cerca per avviare la traccia del messaggio. Viene visualizzata la pagina dei risultati della ricerca di Traccia messaggi come descritto nella sezione Output del report di riepilogo .

  Le ultime 10 query del report di riepilogo sono disponibili nella scheda Query salvate automaticamente nella pagina Traccia messaggio .

• Report di riepilogo avanzato: include le informazioni contenute nel report di riepilogo più altri dettagli (ad esempio, la direzione e l'indirizzo IP del client originale). Disponibile solo come file CSV scaricabile. Il report restituisce fino a 100.000 risultati.

• Report esteso: include le stesse informazioni del report di riepilogo esteso, oltre a dettagli completi sull'instradamento e sull'evento del messaggio. Disponibile solo come file CSV scaricabile. Il report restituisce fino a 1.000 risultati.

  Il rapporto Riepilogo avanzato e il Rapporto esteso richiedono una o più delle opzioni di filtro seguenti, indipendentemente dall'intervallo di tempo: Mittenti, Destinatari o ID messaggio.

  Il rapporto di riepilogo avanzato e il rapporto esteso vengono preparati utilizzando i dati di traccia dei messaggi archiviati. Potrebbero essere necessarie diverse ore prima che il report sia disponibile per il download. A seconda del numero di altri amministratori che hanno inviato richieste di report nello stesso periodo, è anche possibile notare un ritardo prima dell'avvio dell'elaborazione di una richiesta in coda.

  Anche se è possibile selezionare il report di riepilogo avanzato o il report esteso per qualsiasi intervallo di data/ora, le ultime 24 ore di dati archiviati in genere non sono disponibili.

  La dimensione massima per un file CSV scaricabile è di 800 MB. Se un report scaricabile supera gli 800 MB, non sarà possibile aprirlo in Excel o Blocco note.

  Quando si seleziona Avanti, si passa a un riquadro a comparsa di riepilogo che elenca le opzioni di filtro selezionate, un titolo univoco (modificabile) per il report e l'indirizzo di posta elettronica a cui ricevere la notifica al termine della traccia del messaggio (anch'esso modificabile e deve trovarsi in uno dei domini accettati dall'organizzazione).

  Selezionare Prepara report per inviare la traccia del messaggio. Lo stato del report è visibile nella scheda Report scaricabili . Per ulteriori informazioni sui dati restituiti, vedere le sezioni Report di riepilogo avanzati e Report estesi .

  Nota

  L'indirizzo IP del server di protezione della posta elettronica in uscita dal cloud è incluso nel record SPF di Microsoft 365, ma non viene visualizzato in alcun tipo di report di traccia dei messaggi. Questa condizione è da progettazione, perché i report di traccia dei messaggi vengono generati prima del coinvolgimento del server di protezione della posta elettronica in uscita.

Risultati di traccia messaggi

I diversi tipi di report restituiscono livelli di informazioni diversi. Le informazioni disponibili nei diversi report sono descritte nelle sezioni seguenti:

• Output del report di riepilogo
• Report di riepilogo avanzati
• Report estesi

Output del report di riepilogo

Dopo aver eseguito la traccia del messaggio, i risultati vengono ordinati in base alla data/ora decrescente (prima gli eventi più recenti).

Il report Riepilogo contiene le informazioni seguenti:

• Data: la data e l'ora in cui il servizio ha ricevuto il messaggio, visualizzato utilizzando il fuso orario UTC configurato.
• Mittente: l'indirizzo e-mail del mittente (dominio alias@).
• Destinatario: l'indirizzo di posta elettronica del destinatario. Se il messaggio ha più destinatari, ogni destinatario si trova su una riga distinta. Se il destinatario è un gruppo di distribuzione, un gruppo di distribuzione dinamico o un gruppo di sicurezza abilitato alla posta elettronica, il gruppo è il primo destinatario, seguito da ogni membro del gruppo in una riga distinta.
• Oggetto: i primi 256 caratteri del campo Oggetto: del messaggio.
• Stato: questi valori sono descritti nella sezione Opzioni di ricerca dettagliate .

Per impostazione predefinita, i primi 250 risultati vengono caricati e sono prontamente disponibili. Quando si scorre verso il basso, c'è una leggera pausa durante il caricamento del batch successivo di risultati, fino a un massimo di 10.000.

È possibile ordinare le voci facendo clic su un'intestazione di colonna disponibile.

Nella scheda Email è possibile ridurre la spaziatura verticale nell'elenco facendo clic su Cambia visualizzazione e quindi selezionando Compatta elenco.

Usare la casella di ricerca e un valore corrispondente per trovare voci specifiche. I caratteri jolly non sono supportati

Per filtri più avanzati che è possibile salvare e utilizzare in seguito, selezionare Filtro , quindi selezionare Nuovo filtro. Nel riquadro a comparsa Filtro personalizzato che si apre, immetti le informazioni seguenti:

• Assegnare un nome al filtro: immettere un nome univoco.
• Aggiungere una clausola di filtro immettendo le informazioni seguenti:
  • Campo: Selezionare uno dei seguenti valori:
    • Mittente
    • Destinatario
    • Oggetto
    • Stato
  • Operatore: Select inizia con o è.
  • Valore: immettere il valore da cercare.

È possibile selezionare Aggiungi nuova clausola e ripetere il passaggio precedente tutte le volte che è necessario. Le clausole multiple usano la logica AND (<clausola 1> AND <clausola 2>...).

Per rimuovere una clausola di filtro, selezionare Rimuovi clausola accanto alla voce.

Al termine del riquadro a comparsa Filtro personalizzato , selezionare Salva. Il nuovo filtro viene caricato automaticamente e i risultati filtrati vengono visualizzati nella pagina dei risultati della ricerca di Traccia messaggi . Questo risultato equivale a selezionare Filtro e quindi il filtro esistente nella sezione Filtri personalizzati nell'elenco.

Per scaricare un filtro esistente e tornare alle informazioni predefinite nella pagina dei risultati della ricerca di Traccia messaggi , selezionare >Cancella tutti i filtri.

Selezionare Modifica traccia messaggio per modificare i criteri di ricerca.

Usa Esporta risultati per esportare i risultati visualizzati in un file CSV.

Selezionare Aggiorna per aggiornare i risultati.

Colonne personalizzabili:

Per i risultati della ricerca, è possibile selezionare dalle colonne personalizzabili.

Opzione di riquadro a comparsa più ampia:

È possibile selezionare l'opzione del riquadro a comparsa per un riquadro a comparsa più ampio per i dettagli della traccia del messaggio.

Coerenza del fuso orario:

Per impostazione predefinita, traccia messaggio viene impostato sul fuso orario impostato nelle impostazioni dell'account di Exchange dell'amministratore connesso.

Trovare i record correlati per il messaggio

I record dei messaggi correlati sono record che condividono lo stesso ID messaggio. Tenere presente che anche un singolo messaggio inviato tra due persone può generare più record. Il numero di record aumenta quando il messaggio è interessato dall'espansione del gruppo di distribuzione, dall'inoltro, dalle regole del flusso di posta (note anche come regole di trasporto) e così via.

Nell'area vuota accanto alla colonna Data , selezionare la casella di controllo rotonda visualizzata accanto alla voce. Nella pagina dei risultati delle tracce dei messaggi vengono visualizzate le azioni seguenti:

• Visualizza in Esplora risorse: apre il messaggio in Esplora risorse (Threat Explorer) nelle organizzazioni con Microsoft Defender per Office 365 Piano 2. Per altre informazioni, vedere Informazioni su Esplora minacce e sui rilevamenti in tempo reale in Microsoft Defender per Office 365.
• Andare a caccia: cerca il messaggio in Esplora minacce nelle organizzazioni con Microsoft Defender per Office 365 piano 2. Per altre informazioni, vedere Ricerca delle minacce in Esplora minacce per Microsoft Defender per Office 365
• Trova elementi correlati: apre una nuova traccia del messaggio per trovare i record correlati per il messaggio.

Per altre informazioni sull'ID messaggio, vedere la sezione Opzioni di ricerca dettagliate .

Dettagli della traccia del messaggio

Nell'output del report di riepilogo è possibile visualizzare i dettagli relativi a un messaggio facendo clic in un punto qualsiasi della riga diverso dalla casella di controllo rotonda visualizzata accanto al valore Data.

Il riquadro a comparsa Dettagli contiene le informazioni seguenti non presenti nel rapporto di riepilogo:

• Eventi di messaggio: dopo aver espanso questa sezione, è possibile visualizzare le classificazioni che consentono di categorizzare le azioni eseguite dal servizio sui messaggi. Alcuni degli eventi più interessanti che potresti incontrare sono:

  • Ricezione: il servizio ha ricevuto il messaggio.
  • Invia: il servizio ha inviato il messaggio.
  • Errore: il messaggio non è stato recapitato.
  • Recapita: il messaggio è stato recapitato in una cassetta postale.
  • Espandi: il messaggio è stato inviato a un gruppo di distribuzione espanso.
  • Trasferimento: i destinatari sono stati spostati in un messaggio biforcato a causa della conversione del contenuto, dei limiti dei destinatari dei messaggi o degli agenti.
  • Deferr: il recapito del messaggio è stato posticipato e potrebbe essere ritentato in un secondo momento.
  • Risolto: il messaggio è stato reindirizzato a un nuovo indirizzo del destinatario in base a una ricerca di Active Directory. Quando si verifica questo evento, l'indirizzo del destinatario originale è elencato in una riga separata nella traccia del messaggio insieme allo stato di recapito finale del messaggio.
  • Regola DLP: il messaggio aveva una regola DLP corrispondente.
  • Etichetta di riservatezza: Si è verificato un evento di etichettatura lato server. Ad esempio, un'etichetta è stata aggiunta automaticamente a un messaggio che include un'azione per crittografare o è stata aggiunta tramite il Web o il client per dispositivi mobili. Il server Exchange completa e registra l'azione. Un'etichetta aggiunta tramite Outlook non è inclusa nel campo dell'evento.

  Note: Un messaggio senza incidenti e recapitato correttamente genera più voci di eventi nella traccia del messaggio. Per la descrizione di altri eventi, vedere Tipi di evento nel registro di verifica messaggi in Exchange locale.

• Ulteriori informazioni: dopo aver espanso questa sezione, è possibile visualizzare i dettagli seguenti:

  • ID messaggio: questo valore è descritto nella sezione Opzioni di ricerca dettagliata . Un esempio di valore di ID messaggio è <d9683b4c-127b-413a-ae2e-fa7dfb32c69d@DM3NAM06BG401.Eop-nam06.prod.protection.outlook.com>.
  • Dimensioni messaggio: le dimensioni del messaggio inviato, inclusi allegati/immagini/testo.
  • Da IP: l'indirizzo IP del computer che ha inviato il messaggio. Per i messaggi in uscita inviati da Exchange Online, il valore è vuoto.
  • A IP: l'indirizzo IP o gli indirizzi a cui il servizio ha tentato di recapitare il messaggio. Se il messaggio ha più destinatari, questi indirizzi vengono visualizzati. Per i messaggi in ingresso inviati a Exchange Online, il valore è vuoto.

Report di riepilogo avanzati

Un report di riepilogo avanzato è disponibile nella scheda Report scaricabili nella pagina Traccia messaggio :

• I report disponibili per il download hanno il valore Statocompletato
• I report non disponibili per il download hanno i valori di statoNon avviati o In corso.

Le informazioni seguenti sono disponibili nel file CSV del report di riepilogo avanzato :

• origin_timestamp^*: la data e l'ora in cui il servizio ha ricevuto inizialmente il messaggio, visualizzato utilizzando il fuso orario UTC configurato.
• sender_address: l'indirizzo di posta elettronica del mittente (alias@domain).
• Recipient_status: lo stato di recapito del messaggio al destinatario. Se il messaggio è stato inviato a più destinatari, mostrerà tutti i destinatari e lo stato corrispondente per ognuno, nel formato: <email address>##<status>. Esempi di stati del destinatario sono:
  • ##Receive, Invia indica che il messaggio è stato ricevuto dal servizio ed è stato inviato alla destinazione prevista.
  • ##Receive, Fail indica che il messaggio è stato ricevuto dal servizio, ma il recapito alla destinazione prevista non è riuscito.
  • ##Receive, Recapita indica che il messaggio è stato ricevuto dal servizio ed è stato recapitato nella cassetta postale del destinatario.
• message_subject: i primi 256 caratteri del campo Oggetto del messaggio.
• total_bytes: dimensioni del messaggio in byte, allegati inclusi.
• message_id: questo valore è descritto nella sezione Opzioni di ricerca dettagliate . Un esempio di valore message_id è <d9683b4c-127b-413a-ae2e-fa7dfb32c69d@DM3NAM06BG401.Eop-nam06.prod.protection.outlook.com>.
• network_message_id: valore ID messaggio univoco che persiste in tutte le copie del messaggio che potrebbero essere create a causa della biforcazione o dell'espansione del gruppo di distribuzione. Un esempio di network_message_id valore è 1341ac7b13fb42ab4d4408cf7f55890f.
• original_client_ip: l'indirizzo IP del server SMTP del mittente.
• direzionalità: indica se il messaggio è stato inviato in entrata (verso l'organizzazione) o in uscita (dall'organizzazione).
• connector_id: nome del connettore di origine o di destinazione. Per altre informazioni sui connettori in Exchange Online, vedere Configurare il flusso di posta usando i connettori in Office 365.
• delivery_priority^*: se il messaggio è stato inviato con priorità Alta, Bassa o Normale .

^* Queste proprietà sono disponibili solo in un report di riepilogo avanzato.

Report estesi

È disponibile un report esteso nella scheda Report scaricabili nella pagina Traccia messaggi :

• I report disponibili per il download hanno il valore Statocompletato
• I report non disponibili per il download hanno i valori di statoNon avviati o In corso.

Le seguenti informazioni sono disponibili nel file CSV del report avanzato :

• client_ip: l'indirizzo IP del server di posta elettronica o del client di messaggistica che ha inviato il messaggio.

• client_hostname: nome host o FQDN del server di posta elettronica o del client di messaggistica che ha inviato il messaggio.

• server_ip: l'indirizzo IP del server di origine o di destinazione.

• server_hostname: nome host o FQDN del server di destinazione.

• source_context: informazioni aggiuntive associate al campo di origine . Ad esempio:

  • Protocol Filter Agent
  • 3489061114359050000

• origine: il componente di Exchange Online responsabile dell'evento. Ad esempio:

  • AGENT
  • MAILBOXRULE
  • SMTP

• event_id: questo valore corrisponde ai valori dell'evento Message illustrati in Trovare i record correlati per questo messaggio.

• internal_message_id: identificatore del messaggio assegnato dal server Exchange Online che sta elaborando il messaggio.

• recipient_address: gli indirizzi di posta elettronica dei destinatari del messaggio. Gli indirizzi di posta elettronica multipli sono separati dal carattere punto e virgola (;).

• recipient_count: numero totale di destinatari nel messaggio.

• related_recipient_address: Presentare con EXPAND, REDIRECT, e con RESOLVE eventi per visualizzare gli indirizzi di posta elettronica di altri destinatari associati al messaggio.

• riferimento: questo campo contiene informazioni aggiuntive per tipi specifici di eventi. Ad esempio:

  • DSN: contiene il collegamento del report, ovvero il valore message_id della notifica sullo stato del recapito associata (nota anche come DSN, rapporto di mancato recapito, rapporto di mancato recapito o messaggio di mancato recapito) se viene generato un DSN dopo questo evento. Se si tratta di un messaggio DSN, questo campo contiene il valore message_id del messaggio originale per cui è stato generato il DSN.

  • ESPANDI: Contiene il valore related_recipient_address dei messaggi correlati.

  • RECEIVE: potrebbe contenere il valore message_id del messaggio correlato se il messaggio è stato generato da altri processi, ad esempio le regole della posta in arrivo.

  • SEND: Contiene il valore internal_message_id di qualsiasi messaggio DSN.

  • TRASFERIMENTO: contiene il valore internal_message_id del messaggio che viene biforcato (ad esempio, dalla conversione del contenuto, dai limiti dei destinatari del messaggio o dagli agenti).

  • MAILBOXRULE: contiene il valore internal_message_id del messaggio in entrata che ha causato la generazione del messaggio in uscita da parte della regola Posta in arrivo.

    Per altri tipi di eventi, questo campo (internal_message_id) è vuoto.

• return_path: Indirizzo e-mail del mittente specificato dal comando MAIL FROM che ha inviato il messaggio. Anche se questo campo non è mai vuoto, può avere il valore dell'indirizzo del mittente Null rappresentato come <>.

• message_info: informazioni aggiuntive sul messaggio. Ad esempio:

  • Data e ora di origine del messaggio in UTC per DELIVER gli eventi AND SEND . La data-ora di origine è l'ora in cui il messaggio è entrato per la prima volta nell'organizzazione di Exchange Online. La data-ora UTC è rappresentata nel formato di data-ora ISO 8601: yyyy-MM-ddThh:mm:ss.fffZ, dove yyyy = anno, MM = mese, dd = giorno, T indica l'inizio della componente dell'ora, hh = ora, mm = minuto, ss = secondo, fff = frazioni di secondo e Z significa Zulu, che è un altro modo per indicare UTC.
  • Errori di autenticazione. Ad esempio, potrebbe essere visualizzato il valore 11a e il tipo di autenticazione usato quando si è verificato l'errore di autenticazione.

• tenant_id: valore GUID che rappresenta il Exchange Online dell'organizzazione, 39238e87-b5ab-4ef6-a559-af54c6b07b42ad esempio .

• original_server_ip: l'indirizzo IP del server originale.

• custom_data: contiene dati relativi a tipi di evento specifici. Per ulteriori informazioni, vedere le seguenti sezioni:

  • custom_data valori
  • Agente filtro posta indesiderata
  • Agente filtro antimalware
  • Agente regola di trasporto

custom_data valori

Il campo custom_data per un AGENTINFO evento viene utilizzato da vari agenti Exchange Online per registrare i dettagli di elaborazione dei messaggi. Alcuni degli agenti più interessanti sono descritti nelle sezioni seguenti.

• Agente filtro posta indesiderata

• Agente filtro antimalware

• Agente regola di trasporto

Agente filtro posta indesiderata

Un valore custom_data che inizia con S:SFA proviene dall'agente del filtro della posta indesiderata. Per ulteriori informazioni, vedere Campi delle intestazioni dei messaggi di X-Forefront-Antispam-Report.

Un esempio di valore custom_data per un messaggio filtrato per la posta indesiderata è simile al seguente:

S:SFA=SUM|SFV=SPM|IPV=CAL|SRV=BULK|SFS=470454002|SFS=349001|SCL=9|SCORE=-1|LIST=0|DI=SN|RD=ftmail.inc.com|H=ftmail.inc.com|CIP=98.129.140.74|SFP=1501|ASF=1|CTRY=US|CLTCTRY=|LANG=en|LAT=287|LAT=260|LAT=18;

Agente filtro antimalware

Un custom_data valore che inizia con S:AMA proviene dall'agente filtro antimalware. I dettagli principali sono descritti nella tabella seguente:

Un esempio di valore custom_data per un messaggio che contiene malware è simile al seguente:

S:AMA=SUM|v=1|action=b|error=|atch=1;S:AMA=EV|engine=M|v=1|sig=1.155.974.0|name=DOS/Test_File|file=filename;S:AMA=EV|engine=A|v=1|sig=201707282038|name=Test_File|file=filename

Agente regola di trasporto

Un valore custom_data che inizia conS:TRA proviene dall'agente regola di trasporto per le regole del flusso di posta, noto anche come regole di trasporto. I dettagli principali sono descritti nella tabella seguente:

Un esempio di valore custom_data per un messaggio che soddisfa le condizioni di una regola del flusso di posta è simile al seguente:

S:TRA=ETR|ruleId=19a25eb2-3e43-4896-ad9e-47b6c359779d|st=7/17/2017 12:31:25 AM|action=ApplyHtmlDisclaimer|sev=1|mode=Enforce

Uso del cmdlet di PowerShell Get-MessageTraceV2

Per utilizzare la nuova funzionalità Traccia messaggi tramite il nuovo cmdlet Get-MessageTraceV2PowerShell, assicurarsi di usare la versione 3.7.0 o successiva del modulo PowerShell V3 di Exchange Online.

Limiti di limitazione:

Per ridurre il rischio di utilizzo improprio e improprio delle risorse di Exchange Online, garantire la disponibilità dei servizi per tutti gli utenti e fornire un'esperienza prevedibile per i clienti, è stato implementato un limite di limitazione basato sulla frequenza e sul numero di richieste in un periodo di tempo. Per un tenant, vengono accettate un massimo di 100 richieste di query entro un periodo di esecuzione di 5 minuti. La limitazione non viene applicata automaticamente se la frequenza delle richieste è inferiore a 100 richieste negli ultimi 5 minuti. Se il tenant ha configurato l'automazione per eseguire query più frequentemente della soglia di limitazione, aggiornare l'automazione in modo che sia al di sotto del limite di limitazione.

Parametro ResultSize: la nuova traccia dei messaggi supporta un valore predefinito di 1000 risultati e un massimo di 5000 risultati (impostato tramite il -ResultSize parametro). Questa modifica è per garantire un uso corretto delle nostre risorse, poiché l'impaginazione può creare problemi di prestazioni per il nostro sistema.

Parametro StartingRecipientAddress: L'uso principale di questo parametro è quello di facilitare l'estrazione dei dati successivi riducendo al minimo la duplicazione.

Poiché l'impaginazione non è più supportata, è possibile utilizzare il EndTime parametro con l'ora Received dell'ultimo record dei risultati della query e inserire nel StartingRecipientAddresss parametro RecipientAddress l'ultimo record del risultato precedente. Per altre informazioni, vedi l'esempio seguente.

Per i dati di esempio riportati sopra, è possibile estrarre i primi 10 record usando la query seguente:

Get-MessageTraceV2 -StartDate '2024-11-01T00:00:00Z' -EndDate '2024-11-01T00:10:00Z' -ResultSize 10

Nell'esempio V2 seguente, viene usato l'dell'ultimo StartingRecipientAddress destinatario (r_1_010@contoso) dei risultati precedenti. Per estrarre i record successivi successivi, usare la query seguente.

Get-MessageTraceV2 -StartDate '2024-11-01T00:00:00Z' -EndDate '2024-11-01T00:10:00Z' -ResultSize 10 -StartingRecipientAddress r_1_010@contoso.com

Procedure consigliate

Per migliorare le prestazioni delle query, specificare il maggior numero possibile di filtri e la massima precisione. È consigliabile che gli amministratori riducano il divario tra StartDate e EndDate quando possibile. Si consiglia inoltre di impostare più parametri, come ad esempio SenderAddress, quando il mittente è noto. Usare MessageTraceId quando applicabile per le query di PowerShell. Questa operazione è necessaria quando si eseguono query sui dati per i messaggi inviati a più di 1.000 destinatari. Questa funzionalità è ora supportata anche nell'interfaccia di amministrazione di Exchange.

Impostare l'opzione MessageTraceId (nota anche come NetworkMsgId nel log di verifica messaggi) quando si esamina un messaggio specifico o quando un messaggio viene inviato a molti destinatari (ad esempio, oltre 1.000). Ciò è necessario per ottenere risultati completi. Se utilizzato insieme a StartingRecipientAddress, è possibile recuperare il set di dati completo in più round. Per altre informazioni su StartingRecipientAddress, vedere la sezione Domande frequenti.

Domande frequenti

Come è possibile verificare se vengono visualizzati risultati parziali?

Gli utenti dell'interfaccia di amministrazione di Exchange possono scorrere verso il basso per ottenere altri risultati fino al completamento dei dati. Gli utenti non devono eseguire alcuna azione aggiuntiva e V2 la caricherà automaticamente man mano che l'utente scorre verso il basso per ottenere altri risultati. Per gli utenti dei cmdlet di PowerShell di Exchange Online, stiamo lavorando per fornire un suggerimento nell'output per la query successiva se i dati sono parziali (previsto entro le prossime settimane). Per ora, gli utenti possono utilizzare lo script di esempio seguente per raccogliere risultati in modo continuo.

Script di esempio:

$mt = Get-MessageTraceV2 -<filters>

$nextRound = Get-MessageTraceV2 -<filters> -EndDate $mt[-1].Received.ToString("O")

Come si potrebbe ottenere l'impaginazione da V1 in V2?

La paginazione è deprecata nella versione 2 per garantire un uso corretto delle risorse e prestazioni delle query per tutti gli utenti. Invece, puoi ottenere risultati round per round. I risultati sono ordinati prima in Received ordine decrescente, quindi RecipientAddress in ordine crescente (senza distinzione tra maiuscole e minuscole). Per ottenere il prossimo ciclo di risultati, aggiornare il EndDate parametro al Received valore degli ultimi dati dell'ciclo corrente. Fai riferimento agli script di esempio nella sezione precedente.

Quando e come potremmo usare il parametro: StartingRecipientAddress?

Il StartingRecipientAddress parametro viene usato per ottenere il ciclo di dati successivo. StartingRecipientAddress insieme a Received, può ottenere i risultati round per round per ottenere i risultati completi. Nell'arrotondamento successivo, verranno generati i dati che condividono lo stesso risultato dell'ultimo Received risultato dell'arrotondamento corrente, ma che RecipientAddress sono alfabeticamente maggiori di StartingRecipientAddress(senza distinzione tra maiuscole e minuscole) o precedenti all'ultimo risultato dell'arrotondamento corrente.

Script di esempio:

$mt = Get-MessageTraceV2 -<filters>

$nextRound = Get-MessageTraceV2 -<filters> -EndDate $mt[-1].Received.ToString("O") -StartingRecipientAddress $mt[-1].RecipientAddress