メールボックスの監査を管理する

メールボックス監査ログは、すべての組織で既定でオンになっています。 この設定は、メールボックスの所有者、代理人、および管理者が実行する特定のアクションを自動的にログに記録します。 管理者は、メールボックス監査ログで対応するメールボックス監査レコードを検索できます。

メールボックス監査を既定でオンにすると、次のような利点があります。

  • 新しいメールボックスを作成すると、監査は自動的に有効になります。 新しいユーザーのメールボックス監査を手動で有効にする必要はありません。
  • 監査対象となるメールボックス アクションを管理する必要はありません。 定義済みの一連のメールボックス アクションは、サインインの種類 (管理、代理人、所有者) ごとに既定で監査されます。
  • Microsoft が新しいメールボックス アクションをリリースすると、ユーザーが適切なライセンスを持っていることを条件として、既定で監査されるメールボックス アクションの一覧にそのアクションが自動的に追加される場合があります。 新しいアクションは自動的に追加されるため、メールボックスのリリース時に新しいアクションを追加する必要はありません。
  • すべてのメールボックスに対して同じアクションを監査しているため、organization 全体で一貫したメールボックス監査ポリシーがあります。

既定によるメールボックス監査の有効化がオンになっていることを確認する

既定でオンになっているメールボックス監査機能が organization で有効になっていることを確認するには、Exchange Online PowerShell で次のコマンドを実行します。

Get-OrganizationConfig | Format-List AuditDisabled

False の値は、organization に対して既定で [メールボックス監査] がオンになっていることを示します。 organization の既定でオンになっているメールボックス監査は、個々のメールボックスで監査が有効か無効かを上書きします。 メールボックス レベルの監査操作の設定は上書きされません。

organization-level とメールボックス レベルの監査が連携する方法:

  • organization-level auditing が ON で、mailbox -level auditing が OFF の場合: 組織レベルの監査はメールボックス設定を上書きし、監査を有効にします。 メールボックスで構成された監査操作が適用されます。
  • organization-level auditing が ON で、mailbox level auditing が ON の場合: メールボックス レベルの監査は有効なままになり、メールボックスで構成された監査操作が適用されます。

たとえば、organizationに対して既定で有効になっているメールボックス監査機能がある場合、Get-Mailbox コマンドレットによって返される AuditEnabled プロパティは常に True と表示されます。 メールボックスは、メールボックスで構成されたメールボックス アクションを使用して、メールボックスのアクティビティを監査します。

特定のメールボックスに対してメールボックス監査を無効にしたままにするには、メールボックスの所有者と、メールボックスへのアクセス権が委任された他のユーザーの メールボックス監査バイパス を構成します。 詳細については、「 メールボックス監査ログのバイパス」を参照してください。

サポートされているメールボックスの種類

次の表では、メールボックス監査が既定でサポートするメールボックスの種類について説明します。

メールボックスの種類 監査がサポートされています オン (既定でサポートされています)
Microsoft 365 グループ メールボックス ✔ ✔
パブリック フォルダー メールボックス
リソース メールボックス
共有メールボックス ✔ ✔
ユーザー メールボックス ✔ ✔

重要

Multigeo 環境では、クロス geo メールボックス監査はサポートされていません。 別の地理的な場所にある共有メールボックスにアクセスするためのアクセス許可をユーザーに割り当てた場合、ユーザーが実行するメールボックス アクションは、共有メールボックスのメールボックス監査ログに記録されません。 Exchange 管理者監査イベントは、Microsoft Purview 監査および Search-UnifiedAuditLog コマンドレットを介してすべての場所で利用できます。

サインインの種類とメールボックスの操作

サインインの種類は、メールボックスの監査対象アクションの責任者を分類します。 次の一覧は、メールボックス監査ログで使用されるサインインの種類を示しています。

  • 所有者: メールボックスの所有者 (メールボックスに関連付けられているアカウント)。
  • デリゲート:
    • ユーザーが別のメールボックスへの SendAs、SendOnBehalf、または FullAccess アクセス許可を割り当てました。
    • 管理者によって、ユーザーのメールボックスへのフルアクセス アクセス許可が割り当てられた。
  • 管理:
    • メールボックスは、次の Microsoft 電子情報開示ツールのいずれかを使用して検索されます。
      • Microsoft Purview ポータルの電子情報開示。
      • Exchange Online で電子情報開示 In-Place。
    • メールボックスには、Microsoft Exchange Server MAPI エディターを使用してアクセスします。
    • 別のユーザーになりすましたアカウントによってメールボックスにアクセスします。 このアクセスは、現在データにアクティブにアクセスしているアプリケーションなどのアカウントに ApplicationImpersonation ロールが割り当てられている場合に発生します。 詳細については、「 偽装の構成」を参照してください。

ユーザー メールボックスと共有メールボックスのメールボックス アクション

次の表では、ユーザー メールボックスおよび共有メールボックスのメールボックス監査ログで使用できるメールボックス アクションについて説明します。

  • チェックマーク (✔) は、サインインの種類に対してログに記録できるメールボックス アクションを示します (すべてのサインインの種類ですべてのアクションが使用できるわけではありません)。
  • チェックマークの後のアスタリスク ( * ) は、メールボックス アクションがサインインの種類に対して既定でログに記録されていることを示します。
  • メールボックスへのフル アクセス許可を持つ管理者は、代理人と見なされます。
メールボックス アクション 説明 管理者 代理人 Owner
AddFolderPermissions この値はメールボックス アクションとして受け入れられますが、 既に UpdateFolderPermissions アクションに含まれており、個別に監査されません。 つまり、この値は使用しないでください。
ApplyRecord アイテムにはレコードとしてラベルが付けられます。 ✔* ✔* ✔*
AttachmentAccess メール メッセージの添付ファイルに Microsoft Graph API 経由でアクセスしました。 この操作は既定で有効になっており、他のメールボックス アクションで構成することはできません。 ✔* ✔* ✔*
Copy メッセージが別のフォルダーにコピーされました。 ✔
Create メールボックスの [Calendar]、[連絡先]、[下書き]、[メモ]、または [タスク] フォルダーにアイテムが作成されました (たとえば、新しい会議出席依頼が作成されました)。 メッセージの作成、送信、または受信は監査されません。 また、メールボックス フォルダーの作成は監査されません。 ✔* ✔* ✔*
FolderBind メールボックス フォルダーにアクセスされました。 この操作は、管理者または委任されたユーザーがメールボックスを開いたときにも記録されます。

注: 代理人によって実行されたフォルダー バインド アクションの監査レコードは統合されます。 24 時間以内に個々のフォルダーへのアクセスに対して 1 つの監査レコードが生成されます。		 ✔ ✔
HardDelete 回復可能なアイテム フォルダーから消去されたメッセージ。 ✔* ✔* ✔*
MailboxLogin ユーザーが自分のメールボックスにサインインしました。 ✔
MailItemsAccessed メール データがメール プロトコルおよびクライアントによってアクセスされたときに発生します。 ✔* ✔* ✔*
MessageBind 注: この値は、E5/A5/G5 ライセンス を持たない ユーザーのみが使用できます。

メッセージがプレビュー ウィンドウで表示されたか、管理者によって開かれた。		 ✔
ModifyFolderPermissions この値はメールボックス アクションとして受け入れられますが、 既に UpdateFolderPermissions アクションに含まれており、個別に監査されません。 つまり、この値は使用しないでください。
Move メッセージが別のフォルダーに移動されました。 ✔ ✔ ✔
MoveToDeletedItems メッセージが削除され、[削除済みアイテム] フォルダーに移動されました。 ✔* ✔* ✔*
RecordDelete レコードとしてラベル付けされたアイテムが論理的に削除されました ([回復可能なアイテム] フォルダーに移動されました)。 レコードとしてラベル付けされたアイテムは、(回復可能なアイテム フォルダーから消去する) 完全に削除することはできません。 ✔ ✔ ✔
RemoveFolderPermissions この値はメールボックス アクションとして受け入れられますが、 既に UpdateFolderPermissions アクションに含まれており、個別に監査されません。 つまり、この値は使用しないでください。
SearchQueryInitiated Outlook (Windows、Mac、iOS、Android、または Outlook on the web) または Windows 10 用メール アプリを使用してメールボックス内のアイテムを検索します。 ✔
Send ユーザーは、電子メール メッセージを送信したり、電子メール メッセージに返信したり、電子メール メッセージを転送したりします。 ✔* ✔*
SendAs SendAs アクセス許可を使用してメッセージが送信されました。 このアクセス許可により、別のユーザーは、メールボックスの所有者からのメッセージと同じようにメッセージを送信できます。 ✔* ✔*
SendOnBehalf SendOnBehalf アクセス許可を使用してメッセージが送信されました。 このアクセス許可により、別のユーザーがメールボックスの所有者に代わってメッセージを送信できます。 このメッセージは、代わりにメッセージが送信されたユーザーと実際にメッセージを送信したユーザーを受信者に示します。 ✔* ✔*
SoftDelete 完全に削除されたメッセージ、または削除済みアイテム フォルダーから削除されたメッセージ。 削除済み (回復可能) アイテムは、回復可能なアイテム フォルダーに移動されます。 ✔* ✔* ✔*
Update メッセージまたはそのプロパティのいずれかが変更されました。 ✔* ✔* ✔*
UpdateCalendarDelegation 予定表の委任がメールボックスに割り当てられました。 予定表の委任により、同じ組織の他のユーザーに、メールボックス所有者の予定表を管理する権限が付与されます。 ✔* ✔*
UpdateFolderPermissions フォルダーのアクセス許可が変更されました。 フォルダーのアクセス許可では、メールボックス内のフォルダーとそれらのフォルダーに格納されているメッセージにアクセスできる組織内のユーザーを制限します。 ✔* ✔* ✔*
UpdateInboxRules 受信トレイ ルールが追加、削除、または変更されました。 受信トレイ ルールは、条件に基づいてユーザーの受信トレイ内のメッセージを処理します。 アクションは、ルールの条件に一致するメッセージに対する処理を指定します。 たとえば、指定したフォルダーにメッセージを移動するか、メッセージを削除します。 ✔* ✔* ✔*

重要

organization でメールボックス監査が既定で有効になる前に、メールボックス アクションを監査するようにカスタマイズした場合、カスタマイズされたメールボックス監査設定はメールボックスに保持され、このセクションで説明する既定のメールボックス アクションによって上書きされることはありません。 監査メールボックス アクションを既定値に戻すには (これはいつでも実行できます)、「 既定のメールボックス アクションを復元する」を参照してください。

Microsoft 365 グループ メールボックスのメールボックス アクション

メールボックスの監査を有効にすると、Microsoft 365 グループ メールボックスでメールボックス監査データのログが記録され始めます。 ただし、ログに記録されたデータをカスタマイズしたり、任意のサインインの種類に対してメールボックス操作を追加または削除したりすることはできません。

次の表では、サインインの種類ごとに、Microsoft 365 グループ メールボックスが既定でログに記録するメールボックス アクションについて説明します。

Microsoft 365 グループ メールボックスへのフル アクセス許可を持つ管理者は、代理人です。

メールボックス アクション 説明 管理者 代理人 Owner
Create 予定表アイテムの作成。 メッセージの作成、送信、または受信は監査されません。 ✔* ✔*
HardDelete 回復可能なアイテム フォルダーから消去されたメッセージ。 ✔* ✔* ✔*
MoveToDeletedItems メッセージが削除され、[削除済みアイテム] フォルダーに移動されました。 ✔* ✔* ✔*
SendAs SendAs アクセス許可を使用して送信されたメッセージ。 ✔* ✔*
SendOnBehalf SendOnBehalf アクセス許可を使用して送信されたメッセージ。 ✔* ✔*
SoftDelete 完全に削除されたメッセージ、または削除済みアイテム フォルダーから削除されたメッセージ。 削除済み (回復可能) アイテムは、回復可能なアイテム フォルダーに移動されます。 ✔* ✔* ✔*
Update メッセージまたはそのプロパティのいずれかが変更されました。 ✔* ✔* ✔*

サインインの種類ごとに既定のメールボックス アクションがログに記録されていることを確認します

DefaultAuditSet プロパティの値は、(Microsoft によって管理される) 既定のメールボックス アクションがメールボックスで監査されるかどうかを示します。

ユーザー メールボックスまたは共有メールボックスに現在適用されている既定の監査アクション セットを確認するには、<MailboxIdentity>メールボックスの名前、エイリアス、電子メール アドレス、またはユーザー プリンシパル名 (ユーザー名) に置き換え、PowerShell で次のコマンドExchange Online実行します。

Get-Mailbox -Identity <MailboxIdentity> | Format-List DefaultAuditSet

Microsoft 365 グループ メールボックスの既定の監査セットを表示するには、<MailboxIdentity>をグループ メールボックスの名前、エイリアス、または電子メール アドレスに置き換え、PowerShell で次のコマンドExchange Online実行します。

Get-Mailbox -Identity <MailboxIdentity> -GroupMailbox | Format-List DefaultAuditSet

値 Admin, Delegate, Owner は以下を意味します。

  • システムは、3 つのサインインの種類すべてについて、既定のメールボックスの操作を監査します。 この値は、Microsoft 365 グループ メールボックスに表示されます。
  • 管理者は、ユーザー メールボックスまたは共有メールボックスのサインインの種類に関係なく、監査されたメールボックス アクションを変更しませんでした。

管理者が (Set-Mailbox コマンドレットの AuditAdmin、AuditDelegate、または AuditOwner パラメーターを使用して) サインインの種類についてシステムが監査するメールボックス アクションを変更すると、プロパティ値は異なります。

たとえば、ユーザー メールボックスまたは共有メールボックスの DefaultAuditSet プロパティの値Ownerは、以下を意味します。

  • システムは、メールボックス所有者の既定のメールボックス操作を監査します。
  • Delegate および Admin サインインの種類の監査対象メールボックス アクションは、既定のアクションから変更されています。

DefaultAuditSet プロパティの値が空白の場合、3 つのサインインの種類すべてのメールボックス アクションが、ユーザー メールボックスまたは共有メールボックスで変更されることを意味します。

詳細については、「 既定でログに記録されるメールボックス アクションを変更または復元する」を参照してください。

メールボックスにログオンしているメールボックス アクションを表示する

ユーザー メールボックスまたは共有メールボックスに現在ログオンしているメールボックスのアクションを表示するには、 <MailboxIdentity> メールボックスの名前、エイリアス、電子メール アドレス、またはユーザー プリンシパル名 (ユーザー名) に置き換えます。 次に、Exchange Online PowerShell で次のコマンドを 1 つ以上実行します。

注:

Microsoft 365 グループ メールボックスの次の Get-Mailbox コマンドに-GroupMailboxスイッチを追加できますが、返される値を信頼しないでください。 Microsoft 365 グループ メールボックスに対して監査される既定および静的メールボックス アクションについては、「 Microsoft 365 グループ メールボックスのメールボックス アクション」を参照してください。

所有者のアクション

所有者のサインインの種類に対して現在監査されているメールボックス アクションを表示するには、次のコマンドを実行します。

Get-Mailbox -Identity <MailboxIdentity> | Select-Object -ExpandProperty AuditOwner

デリゲート アクション

メールボックスで現在監査されている委任アクションを確認するには、次のコマンドを実行します。

Get-Mailbox -Identity <MailboxIdentity> | Select-Object -ExpandProperty AuditDelegate

管理者操作

メールボックスで現在監査中の管理者アクションを確認するには、次のコマンドを実行します。

Get-Mailbox -Identity <MailboxIdentity> | Select-Object -ExpandProperty AuditAdmin

既定でログに記録されるメールボックス アクションを変更または復元する

既定のメールボックス アクションを使用する主な利点の 1 つは、監査の対象となるメールボックス アクションを管理する必要がないことです。 Microsoft がアクションを管理し、新しいメールボックス アクションがリリースされると、既定で監査対象に自動的に追加します。

ただし、organization は、ユーザー メールボックスと共有メールボックスに対して別のメールボックス アクションのセットを監査する必要がある場合があります。 このセクションの手順では、サインインの種類ごとに監査されるメールボックス アクションを変更する方法と、Microsoft が管理する既定の操作に戻す方法を示します。

重要

次の手順を使用して、ユーザー メールボックスまたは共有メールボックスにログオンするメールボックス アクションをカスタマイズする場合、Microsoft によってリリースされた新しい既定のメールボックス アクションは、それらのメールボックスで自動的に監査されません。 カスタマイズした一覧に新しいメールボックス操作を手動で追加する必要があります。

監査するメールボックス アクションを変更する

Microsoft がユーザー メールボックスと共有メールボックスに対して監査するメールボックス アクションを変更するには、Set-Mailbox コマンドレットの AuditAdmin、AuditDelegate、または AuditOwner パラメーターを使用します。 Microsoft 365 グループ メールボックスの監査対象アクションをカスタマイズすることはできません。

メールボックスのアクションを指定するには、次の 2 つの方法を使用します。

  • 次の構文を使用して、既存のメールボックス アクションを置き換える (上書きする): action1,action2,...actionN。
  • @{Add="action1","action2",..."actionN"} または @{Remove="action1","action2",..."actionN"} の構文を使用して、他の既存の値に影響を与えずにメールボックス アクションを追加または削除します。

次の例では、既定のアクションを SoftDelete と HardDelete で上書きすることで、「Gabriela Laureano」という名前のメールボックスの管理メールボックスのアクションを変更します。

Set-Mailbox -Identity "Gabriela Laureano" -AuditAdmin HardDelete,SoftDelete

次の例では、メールボックス laura@contoso.onmicrosoft.comの監査対象所有者アクションに MailboxLogin アクションを追加します。

Set-Mailbox -Identity laura@contoso.onmicrosoft.com -AuditOwner @{Add="MailboxLogin"}

次の例では、チーム ディスカッション メールボックスの監査対象の代理人アクションから MoveToDeletedItems アクションを削除します。

Set-Mailbox -Identity "Team Discussion" -AuditDelegate @{Remove="MoveToDeletedItems"}

どちらの方法でも、ユーザー メールボックスまたは共有メールボックスで監査対象のメールボックス アクションをカスタマイズすると、次のような結果が得られます。

既定のメールボックス操作を復元する

注:

次の手順は、Microsoft 365 グループ メールボックスには適用されません。 これらのメールボックスは、「 Microsoft 365 グループ メールボックスのメールボックス アクション」で説明されている既定のアクションに制限されます。

ユーザー メールボックスまたは共有メールボックスでシステムが監査するメールボックス アクションをカスタマイズする場合、次の構文を使用して、1 つまたはすべてのサインインの種類の既定のメールボックス アクションを復元できます。

Set-Mailbox -Identity <MailboxIdentity> -DefaultAuditSet <Admin | Delegate | Owner>

複数の DefaultAuditSet 値をコンマで区切って指定できます。

この例では、メールボックス mark@contoso.onmicrosoft.comのすべてのサインインの種類に対して、監査対象の既定のメールボックス アクションを復元します。

Set-Mailbox -Identity mark@contoso.onmicrosoft.com -DefaultAuditSet Admin,Delegate,Owner

この例では、メールボックス chris@contoso.onmicrosoft.comの 管理 サインインの種類に対して既定の監査済みメールボックス アクションを復元しますが、代理人および所有者のサインインの種類に対してカスタマイズされた監査済みメールボックス アクションは保持します。

Set-Mailbox -Identity chris@contoso.onmicrosoft.com -DefaultAuditSet Admin

サインインの種類の既定の監査済みメールボックス アクションを復元すると、次のような結果が得られます。

  • 現在のメールボックス操作の一覧は、サインインの種類の既定のメールボックス操作に置き換えられます。
  • Microsoft がリリースする新しいメールボックス操作は、サインインの種類に対して監査された操作の一覧に自動的に追加されます。
  • メールボックスの DefaultAuditSet プロパティ値が更新され、復元されたサインインの種類が含まれます。

Turn off mailbox auditing by default on for your organization

organization 全体で既定でメールボックス監査をオフにするには、Exchange Online PowerShell で次のコマンドを実行します。

Set-OrganizationConfig -AuditDisabled $true

メールボックス監査を既定でオフにすると、次のように変更されます。

  • メールボックスの監査は、organization で無効になっています。
  • 既定でメールボックスの監査をオフにしたときから、メールボックスの監査が有効になっている (メールボックスの AuditEnabled プロパティが True) 場合でも、メールボックス操作は監査されません。
  • メールボックス監査は新しいメールボックスに対して有効になっておらず、新規または既存のメールボックスの AuditEnabled プロパティを True に設定しても無視されます。
  • ( Set-MailboxAuditBypassAssociation コマンドレットを使用して構成された) メールボックス監査バイパス関連付け設定は無視されます。
  • 既存のメールボックス監査レコードは、レコードの監査ログの有効期間制限が期限切れになるまで保持されます。

既定でメールボックス監査をオンにする

organization のメールボックス監査を再び有効にするには、Exchange Online PowerShell で次のコマンドを実行します。

Set-OrganizationConfig -AuditDisabled $false

メールボックス監査ログをバイパスする

現時点では、既定によるメールボックス監査の有効化が組織でオンになっている場合は、特定のメールボックスでメールボックス監査を無効にできません。 たとえば、 システムは AuditEnabled メールボックス プロパティを False に設定することを無視します。

ただし、Exchange Online PowerShell で Set-MailboxAuditBypassAssociation コマンドレットを使用すると、アクションが発生した場所に関係なく、指定されたユーザーによるすべてのメールボックス アクションがログに記録されないようにすることができます。 例:

  • バイパスされたユーザーが実行するメールボックス所有者のアクションはログに記録されません。
  • バイパスされたユーザーが他のユーザーのメールボックス (共有メールボックスを含む) で実行する委任アクションはログに記録されません。
  • バイパスされたユーザーが実行する管理アクションはログに記録されません。

特定のユーザーについてメールボックス監査ログをバイパスするには、<MailboxIdentity> をそのユーザーの名前、メール アドレス、エイリアス、またはユーザー プリンシパル名 (username) で置き換え、次のコマンドを実行します。

Set-MailboxAuditBypassAssociation -Identity <MailboxIdentity> -AuditByPassEnabled $true

特定のユーザーについて監査がバイパスされていることを確認するには、次のコマンドを実行します。

Get-MailboxAuditBypassAssociation -Identity <MailboxIdentity> | Format-List AuditByPassEnabled

値 True は、ユーザーに対してメールボックス監査ログがバイパスされたことを示します。

注:

AuditLogAgeLimit プロパティは、メールボックス監査ログの保持の管理には適用されなくなりました。 監査ログの保持期間が Microsoft Purview を通じて構成および管理されるようになりました。 詳細については、「監査ログ保持ポリシーを管理する」を参照してください。

次の手順

  • Last updated on