Exchange 管理センターのメッセージ追跡 (Exchange Online の場合)

Exchange 管理センター (EAC) のメッセージ追跡は、Microsoft 365 organization を通過する電子メールメッセージを追跡します。サービスがメッセージを受信、拒否、延期、または配信したかどうかを判別できます。メッセージの追跡には、メッセージが最終的なステータスに達する前にメッセージに対して実行されたアクションも表示されます。メッセージ追跡の情報を使用して、メッセージに何が起こったかに関するユーザーの質問に効率的に回答し、メールフローの問題をトラブルシューティングし、ポリシーの変更を検証できます。

はじめに把握しておくべき情報

この記事の手順を実行する前に、アクセス許可を割り当てる必要があります。以下のオプションがあります。
- Exchange Online のアクセス許可: 組織の管理役割グループのメンバーシップ。
- Microsoft Entraアクセス許可: グローバル管理者ロールまたは Exchange 管理者ロールのメンバーシップにより^*必要なアクセス許可と Microsoft 365 の他の機能に対するアクセス許可がユーザーに付与されます。
  
  重要
  
  ^* Microsoft では、最小限のアクセス許可を持つロールを使うことをお勧めします。アクセス許可の低いアカウントを使用すると、組織のセキュリティが向上します。グローバル管理者は高い特権を持つロールであり、既存のロールを使用できない場合の緊急時に限定する必要があります。
結果に表示されるメッセージの最大数は、選択したレポートの種類によって異なります。詳細については、メッセージの追跡結果を参照してください。 Exchange Online PowerShell の Get-HistoricalSearch コマンドレットは、結果のすべてのメッセージを返します。

メッセージ追跡を開く

https://admin.exchange.microsoft.com の EAC で、[メールフロー>メッセージ追跡] に移動します。または、[ メッセージ追跡 ] ページに直接移動するには、 https://admin.exchange.microsoft.com/#/messagetrace を使用します。

メッセージ追跡ページ

[メッセージ追跡] ページで、[追跡の開始] を選択して、新しい既定のトレースを開始。

開いた [ 新しいメッセージ追跡 ] ポップアップでは、既定の選択により、過去 2 日間のすべての送信者と受信者のすべてのメッセージが検索されます。または、使用可能なタブから格納されているクエリのいずれかを (そのまま、または独自のクエリの開始点として) 使用できます。

既定のクエリ: Microsoft 365 によって提供される組み込みのクエリ。
カスタムクエリ:将来の使用のためにorganization内の管理者が保存したクエリ。
自動保存されたクエリ: 最近実行された 10 件のクエリ。このリストを使用すると、中断したところから簡単に再開できます。

[ レポートのダウンロード] タブには、ダウンロード可能なレポート要求と、ダウンロード可能な場合のレポート自体が表示されます。

新しいメッセージ追跡のオプション

次のセクションでは、[トレースを開始する] を選択するか、既存のトレースを開くときに開く [新しいメッセージ追跡] ポップアップで使用可能な設定について説明します。

送信者と受信者

[ 送信者] と [ 受信者] の既定値は [すべて] ですが、特定の値を入力することもできます。

送信者: ボックスをクリックして入力を開始し、organization から 1 人または複数の送信者を入力または選択します。
受信者: ボックスをクリックして入力を開始し、organization内の 1 人以上の受信者を入力または選択します。

外部送信者と外部受信者のメールアドレスを入力できます。ワイルドカード ( *@contoso.com など) はサポートされていますが、1 つの値に複数のワイルドカードを使用することはできません。

複数の送信者または受信者のリストを、セミコロン (;)、スペース (\s)、復帰 (\r)、改行 (\n) で区切って貼り付けることができます。

時間範囲

[ 時刻範囲 ] セクションでは、既定値は 2 日ですが、最大で 90 日の日付/時刻の範囲を指定できます。日付/時刻の範囲を使用する場合は、次の点を考慮してください。

既定では、スライダー ビューでタイムラインを使用して時間範囲を選択します。

ス ライダー ビューでクエリを保存すると、相対的な時間範囲 (今日から 2 日など) が保存されます。
[ カスタム時間範囲] ビューに切り替えて、次の値を指定できます。
- タイムゾーン: クエリ入力とクエリ結果に適用されます。
- 開始日: 日付と時刻。
- 終了日: 日付と時刻。
クエリを カスタム時間範囲ビュー で保存すると、絶対日付/時刻範囲 ( 2023-05-06 13:00 to 2023-05-08 18:00など) が保存されます。

10 日以内の場合、結果は サマリーレポートとしてすぐに利用できます。また、ほぼリアルタイムの 要約レポート のクエリについては、最大 90 日間の履歴データを照会することもできます。ただし、一度にクエリを実行することができるのは 10 日分のデータのみです。

10 日より少し大きい日付/時刻の範囲を指定した場合:

結果は、ダウンロード可能な CSV ファイル ( 拡張要約レポート または 拡張レポート) としてのみ使用できます。
結果は、アーカイブされたメッセージトレースデータを使用して準備されます。レポートをダウンロードできるようになるまでに数時間かかる場合があります。同じ時間にレポート要求を送信した他の管理者の数によっては、キューに入れられた要求の処理が開始されるまでに遅延が発生する場合もあります。

詳細な検索オプション

[ 詳細な検索オプション ] セクションでは、次のオプションを使用できます。

サブジェクトフィルター: メッセージ追跡クエリの [件名 ] フィルターには、[ 次の値で始まる]、[次 で終わる]、[ 次を含む] のオプションがあります。このフィルターは特殊文字もサポートします。
配信状態フィルター: 配信状態フィルター では、 状態 (検疫済み)、 スパムとしてフィルター処理済み、 状態を取得中 などの検索がサポートされています。

次の値を利用できます。

すべて: これが既定値です。
配信済み: メッセージは意図した宛先に正常に配信されました。
展開済み: グループの個々のメンバーに配信する前に、配布グループの受信者が展開されました。
失敗: メッセージは配信されませんでした。
Pending^*: メッセージの配信が試行中、または再試行中です。
取り消し: メッセージは取り消されました。詳細については、「クラウドベースのメッセージリコールの操作」を参照してください。
検疫済み^*: メッセージは (スパム、一括メール、またはフィッシングとして) 検疫されました。詳細については、「検疫されたメールメッセージ」を参照してください。
スパムとしてフィルター処理済み^*: メッセージはスパムとして識別され、拒否またはブロックされました (検疫されていません)。
状態の取得: Microsoft 365 は最近メッセージを受信しましたが、他の状態データはまだ利用できません。数分以内にもう一度チェックできます。

^* この値は、10 日未満の検索でのみ使用できます。 10 日以上前のデータに対してクエリを実行する必要がある場合は、Exchange Online PowerShell の Start-HistoricalSearch コマンドレットを使用します。

注:

報告された配信状態の値と実際の値および報告された配信状態値の間に 5 分から 10 分の遅延が生じる可能性があります。

メッセージ ID: メッセージヘッダーの [ メッセージ ID ヘッダー] フィールドのインターネットメッセージ ID (クライアント ID とも呼ばれます)。ユーザーはこの値を指定することで、特定のメッセージを調査できます。

この値は、メッセージの有効期間全体にわたって不変です。 Microsoft 365 または Exchange で作成されたメッセージの場合、 メッセージ ID の値は山かっこを含む書式 <GUID@ServerFQDN>を使用します。たとえば、「 <d9683b4c-127b-413a-ae2e-fa7dfb32c69d@DM3NAM06BG401.Eop-nam06.prod.protection.outlook.com> 」のように入力します。他のメールシステムでは、異なる構文や値が使用されている可能性があります。この値は一意であるはずですが、すべてのメールシステムがこの要件に厳密に従っているわけではありません。外部ソースからの受信メッセージの Message-ID: ヘッダーフィールドが存在しない場合、または空白の場合は、任意の値が割り当てられます。

メッセージ ID を使用して結果をフィルター処理する場合は、山かっこを含む完全な文字列を含めるようにしてください。

ネットワークメッセージ ID: ネットワークメッセージ ID は、分岐のために作成される可能性のあるメッセージのコピーや、メッセージトランスポートプロセス全体で優先される一意のメッセージ ID 値です。これは動的であり、メッセージの特定のインスタンスのコピーであっても値が異なります。したがって、コピーされたインスタンスの各バージョンには、 異なるネットワークメッセージ ID 値があります。

ネットワークメッセージ ID とメッセージ ID の違いを次の表にまとめます。

ネットワークメッセージ ID	メッセージ ID
電子メールメッセージの特定のインスタンスの ID	電子メールメッセージの ID
一意で、メッセージの分岐のために作成される可能性があるメッセージのコピー間で保持されます	メッセージの有効期間中は定数

ネットワークメッセージ ID の詳細については、以下の情報を参照してください。

ネットワークメッセージ ID の値をトレースし、それを使用して Exchange Online で特定のメッセージをトレースするには、次のいずれかのメッセージヘッダーを使用します。

X-MS-Exchange-Organization-Network-Message-Id
X-MS-Office365-Filtering-Correlation-Id
X-MS-Exchange-CrossTenant-Network-Message-Id

これらのヘッダーの ネットワークメッセージ ID 値を使用して、特定のメッセージをさらに取得できます。例:

特定の送信者から送信されたメッセージ。
特定の受信者に宛てられたメッセージ。
指定した期間中に送信されたメッセージ。

Exchange Online PowerShell で Get-MessageTraceV2 コマンドレットを使用して、ネットワークメッセージ ID の値をトレースすることもできます。

次の例では、 ネットワークメッセージ ID の値を使用して、2024 年 6 月 13 日から 2024 年 6 月 15 日の間に john@contoso.com によって送信されたメッセージを検索します。

MessageTraceID パラメーターでは、ネットワークメッセージ ID 値 (この例では 2bbad36aa4674c7ba82f4b307fff549) を使用します。
Get-MessageTraceV2 コマンドの結果は、Get-MessageTraceDetailV2 コマンドレットにパイプされます。結果から、次の点を特定できます。
- ネットワークメッセージ ID の値。
- この ネットワークメッセージ ID 値が取得に役立つ特定のメッセージ。

Get-MessageTraceV2 -MessageTraceId 2bbad36aa4674c7ba82f4b307fff549f -SenderAddress john@contoso.com -StartDate 06/13/2025 -EndDate 06/15/2025 | Get-MessageTraceDetailV2

方向: 次のいずれかの値を選択します。
- すべて: これが既定値です。
- 受信: organization 内の受信者に送信されたメッセージ。
- 送信: organization内のユーザーから送信されたメッセージ。
元のクライアント IP アドレス: 電子メール送信者のクライアントコンピューターまたはデバイスの IP アドレス。このフィルターを使用すると、大量のスパムまたはマルウェアを送信しているハッキングされたコンピューターを調査できます。メッセージは複数の送信者から送信されているように見えますが、同じコンピューターがすべてのメッセージを生成している可能性があります。

注:

クライアント IP アドレス情報は、10 日間のみ使用可能で、 拡張要約レポート または 拡張レポート (ダウンロード可能な CSV ファイル) でのみ利用できます。

レポートの種類

使用可能なレポートの種類:

サマリーレポート: 時間範囲が 10 日未満で、他のフィルターオプションを必要としない場合に使用できます。 [ 検索] を選択すると、ほぼ直後に結果が表示されます。レポートは、最大 20,000 件の結果を返します。

[ 検索 ] を選択してメッセージ追跡を開始します。概要レポートの出力セクションで説明されているように、メッセージ追跡検索結果ページが表示されます。

最後の 10 個の概要レポートのクエリは、[メッセージ追跡] ページの [自動保存クエリ] タブで使用できます。
拡張サマリーレポート: サマリーレポートの情報とその他の詳細 (たとえば、ルート案内や元のクライアント IP アドレス) が含まれます。ダウンロード可能な CSV ファイルとしてのみ使用できます。レポートは、最大 100,000 件の結果を返します。
拡張レポート: 拡張概要レポートと同じ情報に加えて、包括的なルーティングとメッセージイベントの詳細が含まれます。ダウンロード可能な CSV ファイルとしてのみ使用できます。レポートは最大 1,000 件の結果を返します。

拡張要約レポートと拡張レポートには、時間範囲に関係なく、送信者、受信者、またはメッセージ ID のフィルタリングオプションを 1 つ以上必要とします。

拡張要約レポートと拡張レポートは、アーカイブされたメッセージトレースデータを使用して準備されます。レポートをダウンロードできるようになるまでに数時間かかる場合があります。同じ時間にレポート要求を送信した他の管理者の数によっては、キューに入れられた要求の処理が開始されるまでに遅延が発生する場合もあります。

任意の日付/時刻範囲に対して 拡張要約レポート または 拡張レポート を選択できますが、過去 24 時間のアーカイブデータは通常は使用できません。

ダウンロード可能な CSV ファイルの最大サイズは 800 MB です。ダウンロード可能なレポートが 800 MB を超えると、Excel またはメモ帳でレポートを開くことができません。

[次へ] を選択すると、選択したフィルターオプション、レポートの一意の (編集可能な) タイトル、メッセージ追跡が完了したときに通知を受け取るメールアドレス (編集可能で、organizationの承認済みドメインのいずれかに存在する必要がある) が一覧表示される概要ポップアップが表示されます。

[ レポートの準備 ] を選択してメッセージトレースを送信します。レポートのステータスは [ ダウンロード可能なレポート] タブで確認できます。返されるデータの詳細については、「拡張要約レポート」および「拡張レポート」セクションを参照してください。

注:

クラウドからの送信メール保護サーバーの IP アドレスは Microsoft 365 SPF レコードに含まれますが、どのメッセージ追跡レポートの種類にも表示されません。送信メール保護サーバーが関与する前にメッセージ追跡レポートが生成されるため、この状態は仕様によるものです。

メッセージ追跡の結果

レポートの種類によって、返される情報のレベルも異なります。さまざまなレポートで使用できる情報については、次のセクションで説明します。

概要レポートの出力
拡張概要レポート
拡張レポート

概要レポートの出力

メッセージトレースを実行すると、結果は日付/時刻の降順 (最新のイベントが最初) で並べ替えられます。

概要レポートには、次の情報が含まれています。

日付: サービスがメッセージを受信した日時。構成された UTC タイムゾーンを使用して表示されます。
送信者: 送信者のメールアドレス (エイリアス@ドメイン)。
受信者: 受信者のメールアドレス。メッセージに複数の受信者がいる場合、各受信者は別々の行にいます。受信者が配布グループ、動的配布グループ、またはメールが有効なセキュリティグループの場合、グループが最初の受信者であり、その後に個別の行に各グループメンバーが続きます。
件名: メッセージの [件名: フィールド] の最初の 256 文字。
状態: これらの値は、「詳細な検索オプション」セクションに記載されています。

既定では、最初の 250 件の結果が読み込まれ、すぐに使用できます。下にスクロールすると、次のバッチの結果が読み込まれる間、わずかに停止します (最大 10,000)。

利用可能な列見出しをクリックすると、エントリを並べ替えることができます。

[Email] タブで [ビューの変更] をクリックし、[コンパクトリスト] を選択することで、リストの縦方向の間隔を縮めることができます。

[検索] ボックスおよび対応する値を使用して、特定のメッセージを検索します。ワイルドカードはサポートされていません

保存して後で使用できるより高度なフィルターについては、 フィルター] を選択してから、[ 新しいフィルター] を選択します。開いた [カスタムフィルター] ポップアップで、次の情報を入力します。

フィルターに名前を付ける: 一意の名前を入力します。
次の情報を入力して、フィルター句を追加します。
- フィールド: 次の値から選択します。
  - Sender
  - [受信者]
  - 件名
  - 状態
- 演算子: [先頭] または[is] を選択します。
- 値: 検索する値を入力します。

[ 新しい句の追加] を選択し、前の手順を必要な回数だけ繰り返すことができます。複数の句で AND ロジックが使用されます (<Clause1> AND <Clause2>...)。

フィルター句を削除するには、エントリの横にある [ Remove 句 ] を選択します。

[ カスタムフィルター] ポップアップが終了したら、[ 保存] を選択します。新しいフィルターが自動的に読み込まれ、フィルター処理された結果が [メッセージ追跡検索結果 ] ページに表示されます。この結果は、[フィルター] を選択し、リストの [カスタムフィルター] セクションから既存のフィルターを選択するのと同じです。

既存のフィルターをアンロードして、 メッセージ追跡検索結果 ページの既定の情報に戻るには、[ >すべてのフィルターをクリア] を選択します。

[ メッセージ追跡の編集 ] を選択して、検索条件を編集します。

結果のエクスポートを使用して、表示された結果を CSV ファイルにエクスポートします。

[ 更新 ] を選択して結果を更新します。

カスタマイズ可能な列:

検索結果は、カスタマイズ可能な列から選択できます。

[より広いポップアップ] オプション:

ポップアップオプションを選択すると、メッセージ追跡の詳細のポップアップが広くなります。

タイムゾーンの整合性:

メッセージ追跡の既定値は、ログオンしている管理者の Exchange アカウント設定で設定されているタイムゾーンになります。

関連メッセージレコードは、同じメッセージ ID を共有するレコードです。 2 人の間で送信された 1 つのメッセージでも複数のレコードが生成される可能性があることに注意してください。このレコード数は、メッセージが配布グループの拡張、転送、メールフロールール (トランスポートルールとも呼ばれます) などの影響を受けると増加します。

[日付] 列の横の空白の領域で、エントリの横に表示される丸いチェックボックスをオンにします。次のアクションが メッセージ追跡の結果 ページに表示されます。

エクスプローラーで表示: Office 365 プラン 2 のMicrosoft Defenderを持つ組織のエクスプローラー (脅威エクスプローラー) でメッセージを開きます。詳細については、「Microsoft Defender for Office 365 での脅威エクスプローラーとリアルタイム検出について」を参照してください。
検索: Microsoft Defender for Office 365 プラン 2 を使用している組織の脅威エクスプローラーでメッセージを検索します。詳細については、「Microsoft Defender for Office 365 の脅威エクスプローラーでの脅威の捜索」を参照してください
関連項目の検索: 新しいメッセージ追跡を開いて、メッセージの関連レコードを検索します。

メッセージ ID の詳細については、「検索オプションの詳細」セクションを参照してください。

メッセージ追跡の詳細

概要レポートの出力では、[日付] 値の横に表示される丸めチェックボックス以外の行の任意の場所をクリックすると、メッセージに関する詳細を表示できます。

詳細ポップアップには、概要レポートには存在しない次の情報が含まれています。

メッセージイベント: このセクションを展開すると、サービスがメッセージに対して実行するアクションを分類するのに役立つ分類が表示されます。遭遇する可能性のあるより興味深いイベントのいくつかは次のとおりです。
- 受信: サービスがメッセージを受信しました。
- 送信: サービスがメッセージを送信しました。
- 失敗: メッセージの配信に失敗しました。
- 配信: メッセージはメールボックスに配信されました。
- 展開: 展開された配布グループにメッセージが送信されました。
- 転送: コンテンツの変換、メッセージ受信者の制限、またはエージェントにより、受信者が分かれたメッセージに移動されました。
- 遅延: メッセージの配信が延期されたため、後で再試行される可能性があります。
- 解決済み: メッセージは、Active Directory の検索に基づいて新しい受信者のアドレスにリダイレクトされました。このイベントが発生すると、元の受信者のアドレスがメッセージの最終的な配信状態と共にメッセージ追跡の別の行に一覧表示されます。
- DLP ルール: メッセージには DLP ルールが一致していました。
- 秘密度ラベル: サーバー側のラベル付けイベントが発生しました。たとえば、暗号化する操作を含むメッセージにラベルが自動的に追加された場合や、Web またはモバイルクライアント経由で追加された場合などです。 Exchange サーバーが処理を完了し、ログに記録します。 Outlook を介して追加したラベルは、イベントフィールドには含まれません。
注: イベントが発生せず、正常に配信されたメッセージは、メッセージトレースに複数の イベント エントリを生成します。その他のイベントの詳細については、「オンプレミス Exchange のメッセージ追跡ログのイベントの種類」を参照してください。
詳細情報: このセクションを展開すると、次の詳細を表示できます。
- メッセージ ID: この値は、「検索オプションの詳細」セクションに記載されています。 メッセージ ID 値の例は <d9683b4c-127b-413a-ae2e-fa7dfb32c69d@DM3NAM06BG401.Eop-nam06.prod.protection.outlook.com> です。
- メッセージサイズ: 添付ファイル/画像/テキストを含む、送信されたメッセージのサイズ。
- 送信元 IP: メッセージを送信したコンピューターの IP アドレス。 Exchange Online から送信された送信メッセージの場合、この値は空白です。
- 宛先 IP: サービスがメッセージを配信しようとした IP アドレス。メッセージに複数の受信者がいる場合は、これらのアドレスが表示されます。 Exchange Online に送信された受信メッセージの場合、この値は空白です。

拡張概要レポート

拡張要約レポートは、[メッセージ追跡] ページの [ダウンロード可能なレポート] タブで使用できます。

ダウンロード可能なレポートの [状態 ] 値は [完了] です
ダウンロードできないレポートの [ 状態 ] 値は [未開始] または [進行中] です。

次の情報は、 拡張要約レポート の CSV ファイルで利用できます。

origin_timestamp^*: サービスが最初にメッセージを受信した日時。構成された UTC タイムゾーンを使用して表示されました。
sender_address: 送信者のメールアドレス (alias@domain)。
Recipient_status: 受信者へのメッセージの配信状態。メッセージが複数の受信者に送信された場合は、すべての受信者とそれぞれの対応する状態が <email address>##<status> の形式で表示されます。受信者のステータスの例は次のとおりです。
- ##Receive、送信は 、メッセージがサービスによって受信され、意図した宛先に送信されたことを意味します。
- ##Receive、失敗 は、メッセージがサービスによって受信されたが、意図した宛先への配信に失敗したことを意味します。
- ##Receive、配信 は、メッセージがサービスによって受信され、受信者のメールボックスに配信されたことを意味します。
message_subject: メッセージの [件名 ] フィールドの最初の 256 文字。
total_bytes: 添付ファイルを含むメッセージのサイズ (バイト単位)。
message_id: この値は、「詳細な検索オプション」セクションで説明されています。 message_id値の例は <d9683b4c-127b-413a-ae2e-fa7dfb32c69d@DM3NAM06BG401.Eop-nam06.prod.protection.outlook.com> です。
network_message_id: 分岐または配布グループの拡張によって作成される可能性があるメッセージのすべてのコピーにわたって保持される一意のメッセージ ID 値。 network_message_id値の例は 1341ac7b13fb42ab4d4408cf7f55890f です。
original_client_ip: 送信者の SMTP サーバーの IP アドレス。
方向性: メッセージが受信 (organization) または送信 (organizationから) 送信されたかどうかを示します。
connector_id: 送信元コネクタまたは宛先コネクタの名前。 Exchange Online のコネクタの詳細については、「Office 365 のコネクタを使用してメールフローを構成する」を参照してください。
delivery_priority^*: メッセージが高、低、 通常の いずれの優先度で送信されたか。

^* これらのプロパティは、 拡張集計レポートでのみ使用できます。

拡張レポート

拡張レポートは、[メッセージ追跡] ページの [ダウンロード可能なレポート] タブで使用できます。

ダウンロード可能なレポートの [状態 ] 値は [完了] です
ダウンロードできないレポートの [ 状態 ] 値は [未開始] または [進行中] です。

拡張レポートの CSV ファイルでは、次の情報を確認できます。

client_ip: メッセージを送信したメールサーバーまたはメッセージングクライアントの IP アドレス。
client_hostname: メッセージを送信したメールサーバーまたはメッセージングクライアントのホスト名または FQDN。
server_ip: ソースまたは宛先サーバーの IP アドレス。
server_hostname: 宛先サーバーのホスト名または FQDN。
source_context: ソース フィールドに関連付けられている追加情報。例:
- Protocol Filter Agent
- 3489061114359050000
ソース: イベントを担当する Exchange Online コンポーネント。例:
- AGENT
- MAILBOXRULE
- SMTP
event_id: この値は、「このメッセージの関連レコードの検索」で説明されているメッセージイベントの値に対応します。
internal_message_id: 現在メッセージを処理しているExchange Online サーバーによって割り当てられたメッセージ識別子。
recipient_address: メッセージの受信者のメールアドレス。複数の電子メールアドレスがある場合は、セミコロン (;) で区切られます。
recipient_count: メッセージ内の受信者の合計数。
related_recipient_address: メッセージに関連付けられている他の受信者のメールアドレスを表示するために、 EXPAND、 REDIRECT、および RESOLVE イベントを表示します。
参照: このフィールドには、特定の種類のイベントに関する追加情報が含まれています。例:
- DSN: レポートリンクが含まれます。これは、このイベントの後に DSN が生成された場合、関連付けられた配信状態通知 (DSN、配信不能レポート、NDR、またはバウンスメッセージとも呼ばれます) の message_id 値です。このメッセージが DSN メッセージの場合、このフィールドには、DSN が生成された元のメッセージの message_id 値が含まれます。
- EXPAND: 関連メッセージの related_recipient_address 値を格納します。
- 受信: メッセージが他のプロセス (受信トレイルールなど) によって生成された場合、関連メッセージの message_id 値が含まれている可能性があります。
- SEND: 任意の DSN メッセージの internal_message_id 値を格納します。
- 転送: フォークされるメッセージの internal_message_id 値を含みます (コンテンツ変換、メッセージ受信者の制限、エージェントなどによる)。
- MAILBOXRULE: 受信トレイルールにより送信メッセージが生成される原因となった受信メッセージの internal_message_id 値が格納されます。
  
  他の種類のイベントでは、このフィールド (internal_message_id) は空白です。
return_path: メッセージを送信した MAIL FROM コマンドで指定された返信メールアドレス。このフィールドは空になることはありませんが、null 送信者アドレス値を <> として表すことができます。
message_info: メッセージに関する追加情報。例:
- DELIVER および SEND イベントのメッセージ発信日時 (UTC)。発信日時は、メッセージが最初にExchange Online organizationに入った時刻です。 UTC 日時は ISO 8601 日時形式 ( yyyy-MM-ddThh:mm:ss.fffZ) で表されます。ここで、 yyyy = 年、 MM = 月、 dd = 日、 T は時間要素の始まりを示し、 hh = 時間、 mm = 分、 ss = 秒、 fff = 秒の分数を表し、 Z は Zulu を表します。これは UTC を示す別の方法です。
- 認証エラー。たとえば、認証エラーが発生したときに使用された認証の種類と値 11a が表示される場合があります。
tenant_id: Exchange Online organizationを表す GUID 値 (39238e87-b5ab-4ef6-a559-af54c6b07b42など)。
original_server_ip: 元のサーバーの IP アドレス。
custom_data: 特定のイベントの種類に関連するデータを格納します。詳細については、以下のセクションを参照してください。

custom_data値

AGENTINFO イベントの custom_data フィールドは、メッセージ処理の詳細をログに記録するために、さまざまな Exchange Online エージェントによって使用されます。より興味深いエージェントのいくつかを次のセクションで説明します。

スパムフィルターエージェント
マルウェアフィルターエージェント
トランスポートルールエージェント

スパムフィルターエージェント

S:SFA で始まるcustom_data値は、スパムフィルターエージェントからのものです。詳細については、「 X-Forefront-Antispam-Report メッセージのヘッダーフィールド」を参照してください。

スパムフィルターが適用されたメッセージの custom_data 値の例は、次のようになります。

S:SFA=SUM|SFV=SPM|IPV=CAL|SRV=BULK|SFS=470454002|SFS=349001|SCL=9|SCORE=-1|LIST=0|DI=SN|RD=ftmail.inc.com|H=ftmail.inc.com|CIP=98.129.140.74|SFP=1501|ASF=1|CTRY=US|CLTCTRY=|LANG=en|LAT=287|LAT=260|LAT=18;

マルウェアフィルターエージェント

S:AMA で始まるcustom_data値は、マルウェアフィルターエージェントからのものです。主な詳細を次の表に示します。

値	説明
`AMA=SUM\|v=1\|` または `AMA=EV\|v=1`	このメッセージは、マルウェアが含まれていると判断されました。 `SUM`: 任意の数のエンジンがメッセージをマルウェアとして検出した可能性があります。 `EV`: 特定のエンジンがメッセージをマルウェアとして検出しました。エンジンがマルウェアを検出すると、後続のアクションがトリガーされます。
`Action=r`	メッセージは置き換えられました。
`Action=p`	メッセージはバイパスされました。
`Action=d`	メッセージは延期されました。
`Action=s`	メッセージは削除されました。
`Action=st`	メッセージはバイパスされました。
`Action=sy`	メッセージはバイパスされました。
`Action=ni`	メッセージは拒否されました。
`Action=ne`	メッセージは拒否されました。
`Action=b`	メッセージはブロックされました。
`Name=<malware>`	検出されたマルウェアの名前。
`File=<filename>`	マルウェアを含むファイルの名前。

マルウェアを含むメッセージの custom_data 値の例は、次のようになります。

トランスポートルールエージェント

S:TRA で始まるcustom_data値は、メールフロールール (トランスポートルールとも呼ばれます) のトランスポートルールエージェントからの値です。主な詳細を次の表に示します。

値	説明
`ETR\|ruleId=<guid>`	一致したルールの ID。
`St=<datetime>`	ルールの一致が発生した UTC の日時。
`Action=<ActionDefinition>`	適用されたアクション。使用可能なアクションの一覧については、「Exchange Online のメールフロールールアクション」を参照してください。
`Mode=<Mode>`	ルールのモード。有効な値は次のとおりです。強制: ルールに対するすべてのアクションが強制されます。ポリシーヒントを使用したテスト:: ポリシーヒントアクションは送信されますが、その他の強制アクションは処理されません。ポリシーヒントなしでテストする: アクションはログファイルに一覧表示されますが、送信者には何の通知も行われず、強制アクションは処理されません。</li?

メールフロールールの条件に一致するメッセージの custom_data 値の例は、次のようになります。

PowerShell コマンドレットの使用 Get-MessageTraceV2

新しい PowerShell コマンドレット Get-MessageTraceV2を使用して新しいメッセージ追跡機能を利用するには、Exchange Online PowerShell V3 モジュールのバージョン 3.7.0 以降を使用していることを確認してください。

調整の制限:

Exchange Online リソースの誤用と乱用のリスクを軽減し、すべてのユーザーがサービスを利用できるようにし、予測可能なエクスペリエンスをお客様に提供するために、一定期間の要求数に基づいたレートベースの調整制限を実装しました。テナントの場合、5 分間の実行ウィンドウで最大 100 件のクエリ要求が受け入れられます。過去 5 分間の要求レートが 100 件未満の場合、調整は自動的に適用されません。テナントに調整しきい値よりも高い頻度でクエリを実行するように自動化が設定されている場合は、調整制限を下回るように自動化を更新します。

コマンドレット	テナントレベルの制限
`Get-MesesageTraceV2`	5 分あたり 100 件の要求
`Get-MessageTraceDetailV2`	5 分あたり 100 件の要求

ResultSize パラメーター: 新しいメッセージ追跡では、既定値の 1000 件と最大 5000 件の結果 ( -ResultSize パラメーターで設定) がサポートされます。この変更は、ページネーションがシステムのパフォーマンスの問題を引き起こす可能性があるため、リソースの公平な使用を確保するためです。

StartingRecipientAddress パラメーター: このパラメーターの主な用途は、重複を最小限に抑えながら後続のデータをプルすることです。

ページネーションはサポートされなくなったため、クエリ結果の最終レコードのReceived時間で EndTime パラメーターを利用し、StartingRecipientAddresss パラメーターに前の結果の最終レコードのRecipientAddressを入力できます。詳細については、以下の例を参照してください。

サンプルデータのスクリーンショット。

上記のサンプルデータでは、次のクエリを使用して最初の 10 件のレコードをプルできます。

Get-MessageTraceV2 -StartDate '2024-11-01T00:00:00Z' -EndDate '2024-11-01T00:10:00Z' -ResultSize 10

以下の V2 の例では、前の結果の最後の受信者 (r_1_010@contoso) の StartingRecipientAddress を使用しています。次の後続のレコードをプルするには、次のクエリを使用します。

Get-MessageTraceV2 -StartDate '2024-11-01T00:00:00Z' -EndDate '2024-11-01T00:10:00Z' -ResultSize 10 -StartingRecipientAddress r_1_010@contoso.com

ベストプラクティス

クエリのパフォーマンスを向上させるには、できるだけ多くのフィルターを正確に指定します。管理者には、可能な限り StartDate と EndDate の間のギャップを縮めることを強くお勧めします。また、送信者がわかっている場合は、 SenderAddress などのより多くのパラメーターを設定することをお勧めします。 PowerShell クエリに該当する場合は、 MessageTraceId を使用します。これは、1,000 人を超える受信者に送信されたメッセージのデータに対してクエリを実行するときに必要です。これは現在、EAC でもサポートされています。

特定のメッセージを調査するとき、またはメッセージが多数の受信者 (たとえば、1,000 人を超える) に送信される場合に、 MessageTraceId (メッセージ追跡ログの NetworkMsgId とも呼ばれます) を設定します。これは、完全な結果を得るために必要です。 StartingRecipientAddress と一緒に使用すると、複数のラウンドで完全なデータセットを取得できます。 StartingRecipientAddressの詳細については、FAQ セクションを参照してください。

よく寄せられる質問

部分的な結果が表示されているかどうかを確認するにはどうすればよいですか?

EAC ユーザーの場合は、データが完了するまで下にスクロールしてさらに結果を表示します。ユーザーは追加の操作を行う必要はなく、ユーザーが下にスクロールして追加の結果を取得すると、V2 は自動的に読み込みます。 Exchange Online PowerShell コマンドレットユーザーの場合、データが部分的である場合 (今後数週間以内に予定) 次のクエリの出力にヒントを提供するように取り組んでいます。現時点では、ユーザーは以下のサンプルスクリプトを利用して継続的に結果を収集できます。

サンプルスクリプト:

$mt = Get-MessageTraceV2 -<filters>

$nextRound = Get-MessageTraceV2 -<filters> -EndDate $mt[-1].Received.ToString("O")

V2 で V1 のページネーションを実現するにはどうすればよいですか?

すべてのユーザーのリソースとクエリパフォーマンスの公平な使用を保証するために、改ページ位置の誤認識は V2 で廃止されました。代わりに、ラウンドごとに結果を得ることができます。結果は、最初に降順で Received 順に並べ替えられ、次に昇順で RecipientAddress されます (大文字と小文字は区別されません)。次のラウンドの結果を取得するには、 EndDate パラメーターを現在のラウンドの最後のデータの Received 値に更新します。前のセクションのサンプルスクリプトを参照してください。

パラメータ `StartingRecipientAddress` をいつどのように使用できますか?

StartingRecipientAddress パラメーターは、次のデータを取得するために使用されます。 StartingRecipientAddress Receivedと一緒に、ラウンドごとに結果を取得して、完全な結果を得ることができます。次のラウンドでは、現在のラウンドの最終の結果と同じ Received を共有しているが、 RecipientAddress がアルファベット順に StartingRecipientAddressより大きい (大文字と小文字は区別されない)、または現在のラウンドの最終結果よりも古いデータが出力されます。