Exchange Online 中 Exchange 系統管理中心中的郵件追蹤

Exchange 系統管理中心 (EAC) 中的郵件追蹤會在電子郵件通過 Microsoft 365 組織時追蹤電子郵件。 您可以判斷服務是否已接收、拒絕、延遲或傳遞訊息。 訊息追蹤也會顯示在訊息達到其最終狀態之前對訊息採取了哪些動作。 您可以使用來自郵件追蹤的資訊，有效回答使用者有關郵件發生問題的問題、疑難排解郵件流程問題，以及驗證原則變更。

開始之前有哪些須知？

  • 您必須已獲派權限，才能進行本文中的程序。 您有下列選項：

    • Exchange Online 權限：組織管理角色群組的成員資格。

    • Microsoft Entra 權限：全域系統管理員*或 Exchange 系統管理員角色的成員資格可給予使用者 Microsoft 365 中其他功能的必要權限和權限。

      重要事項

      *Microsoft 建議您使用權限最少的角色。 使用較低權限的帳戶有助於提高組織的安全性。 全域系統管理員是高度特殊權限角色，應僅在無法使用現有角色的緊急案例下使用。

  • 結果中顯示的郵件數目上限取決於您選取的報表類型。 如需詳細資訊，請參閱 訊息追蹤結果。 Exchange Online PowerShell 中的 Get-HistoricalSearch Cmdlet 會傳回結果中的所有訊息。

開啟郵件追蹤

在 的 EAC 中 https://admin.exchange.microsoft.com，移至 郵件流程>郵件追蹤。 或者，若要直接移至 [ 郵件追蹤 ] 頁面，請使用 https://admin.exchange.microsoft.com/#/messagetrace。

[訊息追蹤] 頁面

在 [郵件追蹤 ] 頁面上，您可以選取 [ 啟動追蹤] 來啟動新的預設追蹤。

在開啟的 [ 新增郵件追蹤] 飛出視窗中，預設選取項目會搜尋過去兩天所有寄件者和收件者的所有郵件。 或者，您可以從可用的索引標籤中使用其中一個儲存的查詢， (原樣使用，或作為您自己查詢的起點) ：

  • 預設查詢：由 Microsoft 365 提供的內建查詢。
  • 自訂查詢：貴組織的系統管理員所儲存的查詢，可供日後使用。
  • 自動儲存的查詢：最近 10 個執行的查詢。 此清單可讓您輕鬆從上次中斷的地方繼續。

[ 可下載的報表 ] 索引標籤會顯示可下載的報表要求，以及可供下載的報表本身。

新 EAC 中的 [訊息追蹤] 頁面。

新郵件追蹤的選項

下列各節說明當您選取 [啟動追蹤] 或開啟現有追蹤時開啟的 [新增郵件追蹤] 飛出視窗中的可用設定。

新 EAC 中的 [新增郵件追蹤] 飛出視窗。

寄件者和收件者

[ 寄件者 ] 和 [收件者] 的預設值為 [全部]，但您可以輸入特定值：

  • 寄件者：按一下方塊並開始輸入以輸入或選取貴組織中的一或多個寄件者。
  • 收件者：按一下方塊並開始輸入以輸入或選取貴組織中的一或多個收件者。

您可以輸入外部寄件者與收件者的電子郵件地址。 例如， *@contoso.com 支援萬用字元 (例如) ，但您無法在一個值中使用多個萬用字元。

您可以貼上多個寄件者或收件者清單，這些清單之間以分號分隔 (;) 、空格 (\s) 、歸位 (\r) 或換行 () \n 。

時間範圍

在 [時間範圍 ] 區段中，預設值為 2 天，但您可以指定最多 90 天的日期/時間範圍。 使用日期/時間範圍時，請考慮下列問題：

  • 根據預設，您會使用時間表在 [滑桿 ] 檢視中選取時間範圍。

    新 EAC 中新郵件追蹤中的滑桿時間範圍。

    在 [滑桿] 檢視中儲存查詢會儲存相對時間範圍 (例如，從今天起的兩天) 。

  • 您可以切換到 [自訂時間範圍檢視] 來指定下列值：

    • 時區： 適用於您的查詢輸入和查詢結果。
    • 開始日期：日期和時間。
    • 結束日期：日期和時間。

    新 EAC 中新郵件追蹤中的自訂時間範圍。

    在 [自訂時間範圍 ] 檢視中儲存查詢會儲存絕對日期/時間範圍 (例如 2023-05-06 13:00 to 2023-05-08 18:00) 。

在 10 天內，結果會立即以 摘要報表的形式提供。 您也可以查詢最多 90 天的歷史資料，以進行近乎即時的 摘要報表 查詢。 不過，您一次只能查詢 10 天的資料。

如果您指定的日期/時間範圍甚至略大於 10 天：

  • 結果僅提供可下載的 CSV 檔案 (增強 的摘要報表 或 延伸報表) 。
  • 結果是使用封存的郵件追蹤資料來準備的。 可能需要數小時才可下載報告。 根據大約同時提交報告要求的其他系統管理員數量，您可能也會注意到佇列要求在開始處理之前出現延遲。

詳細搜尋選項

在 [詳細搜尋選項] 區段中，下列選項可供使用：

  • 主旨篩選： 訊息追蹤查詢的 [主旨 ] 篩選具有下列選項： 開頭為、 結尾為及 包含。 此篩選也支援特殊字元。

    詳細搜尋選項的螢幕擷取畫面。

  • 傳遞狀態篩選器： 此 傳遞狀態篩選器 支援搜尋狀態，例如「 已隔離」、「 已篩選為垃圾郵件」、「 取得狀態 」等。

    傳遞狀態篩選的螢幕擷取畫面。

下列是可用的值：

  • 全部：這是預設值。
  • 已傳遞：郵件已成功傳遞到預定目的地。
  • 已展開：在傳遞到群組的個別成員之前，已展開通訊群組收件者。
  • 失敗：郵件未傳遞。
  • 擱置中*：正在嘗試或重試傳遞訊息。
  • 已召回：已回收訊息。 如需詳細資訊，請參閱 使用雲端式郵件回收。
  • 已隔離：*郵件已 (為垃圾郵件、大量郵件或網路釣魚) 隔離。 如需詳細資訊，請參閱 隔離的電子郵件訊息。
  • 已篩選為垃圾郵件*：郵件已被識別為垃圾郵件，且已遭到拒絕或封鎖 (未隔離) 。
  • 取得狀態： Microsoft 365 最近收到訊息，但尚未提供其他狀態資料。 您可以在幾分鐘內再次檢查。

* 這個值僅能在少於 10 天的搜尋中使用。 如果您需要查詢超過 10 天的資料，請使用 Exchange Online PowerShell 中的 Start-HistoricalSearch Cmdlet。

注意事項

報告的、實際的和報告的傳遞狀態值之間可能會有五到十分鐘的延遲。

  • 訊息識別碼： 網際網路訊息識別碼也稱為用戶端識別碼 () ，位於訊息標頭的 [訊息識別碼 ] 標頭欄位中。 使用者可將此值提供給您，以便您調查特定郵件。

    此值是郵件存留時間的常數。 對於在 Microsoft 365 或 Exchange 中建立的郵件， 訊息識別碼 值會使用格式 <GUID@ServerFQDN>，包括尖括弧。 例如，<d9683b4c-127b-413a-ae2e-fa7dfb32c69d@DM3NAM06BG401.Eop-nam06.prod.protection.outlook.com>。 其他電子郵件系統可能會使用不同的語法或值。 此值應為唯一的狀態，但並非所有電子郵件系統都會嚴格遵循此要求。 如果 Message-ID： 標頭欄位不存在，或對於來自外部來源的傳入郵件為空白，則會指派任意值。

    當您使用 訊息 ID 來篩選結果時，請確定包含完整字串，包括任何尖括弧。

  • 網路訊息識別碼：網路訊息識別碼是唯一的訊息識別碼值，在可能因分叉而建立的訊息複本和整個訊息傳輸程序中普遍使用。 它是動態的，即使是訊息特定實例的複本，其值也會有所不同。 因此，每個複製的執行個體版本都有不同的 網路訊息識別碼 值。

    下表摘要說明 網路訊息識別碼 和 訊息識別碼 之間的差異：

    網路訊息識別碼 郵件識別碼
    電子郵件訊息的特定執行個體的識別碼 電子郵件訊息的 ID
    唯一且會持續存在於可能因郵件分叉而建立的訊息複本之間 在郵件存留期間內保持不變

    如需 有關網路訊息 ID 的詳細資訊，請參閱下列資訊：

    若要追蹤網路訊息識別碼值，並使用它來追蹤 Exchange Online 中的特定郵件，請使用下列任一訊息標頭：

    • X-MS-Exchange-Organization-Network-Message-Id

    • X-MS-Office365-Filtering-Correlation-Id

    • X-MS-Exchange-CrossTenant-Network-Message-Id

    您可以使用這些標頭中的 網路訊息識別碼 值來進一步擷取特定訊息。 例如：

    • 由特定寄件者傳送的訊息。
    • 已傳送給特定收件者的郵件。
    • 在指定時段內傳送的訊息。

    您也可以使用 Exchange Online PowerShell 中的 Get-MessageTraceV2 Cmdlet 來追蹤網路訊息識別碼值。

    下列範例會使用 網路訊息識別碼 值來尋找在 2024 年 6 月 13 日到 2024 年 6 月 15 日之間傳送 john@contoso.com 的訊息：

    • MessageTraceID 參數使用網路訊息識別碼值，在本範例中為 2bbad36aa4674c7ba82f4b307fff549。
    • Get-MessageTraceV2 命令的結果會透過管道傳送至 Get-MessageTraceDetailV2 Cmdlet。 結果允許您識別：
      • 網路訊息識別碼值。
      • 此 網路訊息識別碼 值協助擷取的特定訊息。
    Get-MessageTraceV2 -MessageTraceId 2bbad36aa4674c7ba82f4b307fff549f -SenderAddress john@contoso.com -StartDate 06/13/2025 -EndDate 06/15/2025 | Get-MessageTraceDetailV2

  • 方向： 選取下列其中一個值：

    • 全部：這是預設值。
    • 傳入： 傳送給貴組織收件者的郵件。
    • 傳出： 從貴組織中的使用者傳送的郵件。

  • 原始用戶端 IP 位址：電子郵件寄件者的用戶端電腦或裝置的 IP 位址。 您可以使用此篩選來調查傳送大量垃圾郵件或惡意程式碼的遭駭客入侵電腦。 雖然郵件看起來可能像是來自多個寄件者，真實的情況有可能是來自產生所有這些郵件的同一部電腦。

    注意事項

    用戶端 IP 位址資訊僅能使用 10 天，且僅在 增強的摘要報表 或 (可下載 CSV 檔案) 的 延伸報表 中。

報告類型

提供下列報告類型：

  • 摘要報表：如果時間範圍小於 10 天，且不需要其他篩選選項，則可供使用。 選取 [搜尋] 後，幾乎會立即提供結果。 報表最多會傳回 20,000 個結果。

    選取 [搜尋] 以開始訊息追蹤。 系統會將您帶往 [郵件追蹤搜尋結果 ] 頁面，如 摘要報表輸出 區段所述。

    您可以在 [郵件追蹤] 頁面的 [自動儲存查詢] 索引標籤上找到最後 10 個摘要報表查詢。

  • 增強的摘要報表： 包含摘要報表中的資訊，以及其他詳細資料 (例如，方向和原始用戶端 IP 位址) 。 僅作為可下載的 CSV 檔案提供。 報表最多會傳回 100,000 個結果。

  • 延伸報表：包含與延伸摘要報表相同的資訊，以及完整的路由和訊息事件詳細資料。 僅作為可下載的 CSV 檔案提供。 報表會傳回最多 1,000 個結果。

    無論時間範圍為何， 增強摘要報表 和 延伸報表 都需要下列一或多個篩選選項： 寄件者、 收件者或 郵件識別碼。

    「 增強摘要報表 」及 「延伸報表 」是使用封存的郵件追蹤資料來準備。 可能需要數小時才可下載報告。 根據大約同時提交報告要求的其他系統管理員數量，您可能也會注意到佇列要求在開始處理之前出現延遲。

    雖然您可以針對任何日期/時間範圍選取 [增強摘要報表 ] 或 [延伸報表 ]，但通常無法提供過去 24 小時的封存資料。

    可下載 CSV 檔案的大小上限為 800 MB。 如果可下載的報表超過 800 MB，您就無法在 Excel 或記事本中開啟報表。

    當您選取 [ 下一步] 時，系統會將您帶往摘要飛出視窗，其中列出選取的篩選選項、報表的唯一 (可編輯的) 標題，以及訊息追蹤完成時要接收通知的電子郵件地址 (也可編輯，且必須位於貴組織) 的其中一個接受網域中。

    選取 [準備報告] 以提交郵件追蹤。 您可以在 [可下載的報表 ] 索引標籤上查看報表的狀態。如需傳回資料的詳細資訊，請參閱 增強的摘要報表 和 擴充報表 區段。

    注意事項

    來自雲端的輸出電子郵件保護伺服器的 IP 位址包含在 Microsoft 365 SPF 記錄中，但不會顯示在任何郵件追蹤報告類型中。 這種情況是設計使然，因為郵件追蹤報告是在輸出電子郵件保護伺服器參與之前產生的。

訊息追蹤結果

不同的報告類型會傳回不同程度的資訊。 下列各節說明不同報告中提供的資訊：

摘要報告輸出

執行訊息追蹤之後，結果會依日期/時間遞減排序， (最近的事件第一個) 。

「摘要」報表包含下列資訊：

  • 日期：服務收到訊息的日期與時間，以設定的 UTC 時區顯示。
  • 寄件者：寄件者的電子郵件地址 (別名@網域)。
  • 收件者：收件者的電子郵件地址。 如果郵件有多個收件者，則每個收件者都會在不同的行上。 如果收件者是通訊群組、動態通訊群組或啟用郵件功能的安全性群組，則該群組是第一個收件者，後面接著每個群組成員。
  • 主旨：郵件的 [主旨：] 欄位的前 256 個字元。
  • 狀態：這些值如 [詳細搜尋選項] 一節中所述。

根據預設，會載入前 250 筆結果，而且可供使用。 當您向下捲動時，當載入下一批結果時，會有一個輕微的暫停，最多 10,000 個。

您可以按一下可用的欄標題來排序項目。

在 Email 索引標籤上，您可以按一下 [變更檢視]，然後選取 [壓縮清單]，以減少清單中的垂直間距。

使用 [搜尋] 方塊和對應的值來尋找特定項目。 不支援萬用字元

如需您也可以儲存並稍後使用的更進階篩選，請選取篩選，然後選取新增篩選。 在開啟的 [自訂篩選器] 飛出視窗中，輸入下列資訊：

  • 為篩選命名： 輸入唯一名稱。
  • 輸入下列資訊來新增篩選子句：
    • 欄位：從下列值中選取：
      • Sender
      • 收件者
      • 主旨
      • 狀態
    • 運算子：選取 開頭 為 或 is。
    • 值：輸入您要搜尋的值。

您可以選取 [新增子句] ，並視需要多次重複上一個步驟。 多個子句使用 AND 邏輯 (<Clause1> AND <Clause2>...) 。

若要移除篩選子句，請選取項目旁的 [移除子句]。

完成 [ 自訂篩選] 飛出視窗後，選取 [儲存]。 系統會自動載入新篩選，且篩選結果會顯示在 [郵件追蹤搜尋結果 ] 頁面上。 此結果與選取 [篩選] ，然後從清單中的 [自訂篩選] 區段選取現有的篩選相同。

若要卸載現有的篩選條件，並返回 [郵件追蹤搜尋結果] 頁面上的預設資訊，請選取 >[清除所有篩選條件]。

選取 [ 編輯訊息追蹤 ] 以編輯搜尋準則。

使用 [匯出結果] 將顯示的結果匯出至 CSV 檔案。

選取 [ 重新整理 ] 以重新整理結果。

可自訂的資料欄位：

針對搜尋結果，您可以從可自訂的資料欄位中選取。

自訂欄的螢幕擷取畫面。

更寬的飛出視窗選項：

您可以選取飛出視窗選項，針對郵件追蹤詳細資料取得更寬的飛出視窗。

飛出視窗的螢幕擷取畫面。

時區一致性：

郵件追蹤預設為登入系統管理員的 Exchange 帳戶設定中設定的時區。

相關訊息記錄是共用相同訊息 ID 的記錄。 請記得，甚至兩個人之間所傳送的單一郵件都會產生多筆記錄。 當郵件受到通訊群組擴充、轉寄、郵件流程規則 (也稱為傳輸規則) 等影響時，記錄數目會增加。

在 [日期 ] 欄旁的空白區域中，選取項目旁邊出現的圓角核取方塊。 [ 郵件追蹤結果] 頁面上會顯示下列動作：

如需訊息 ID 的詳細資訊，請參閱 詳細搜尋選項 一節。

訊息追蹤詳細資料

在摘要報表輸出中，您可以按一下 [日期 ] 值旁出現的倒圓角核取方塊以外的列中的任何位置，來檢視有關郵件的詳細資料。

按一下摘要報表訊息追蹤中的資料列之後開啟的詳細資料飛出視窗會產生新的 EAC。

詳細資料飛出視窗包含摘要報表中未顯示的下列資訊：

  • 訊息事件： 展開此區段之後，您可以看到有助於分類服務對郵件採取的動作的分類。 以下是您可能會遇到的某些更有趣的事件：

    • 接收：服務已收到訊息。
    • 傳送：服務已傳送訊息。
    • 失敗：無法傳遞郵件。
    • 傳遞：郵件已傳遞到信箱。
    • 展開：郵件已傳送到展開的通訊群組。
    • 轉換：因為內容轉換、郵件收件者限制或代理程式的緣故，收件者已移至傳遞路徑分為兩條的郵件。
    • 延遲：郵件傳遞已延後，稍後可能會重試。
    • 已解析：根據 Active Directory 查閱，已將郵件重新導向至新的收件者地址。 發生此事件時，原始收件者地址會列在郵件追蹤的個別列中，以及郵件的最終傳遞狀態。
    • DLP 規則：郵件的 DLP 規則相符。
    • 敏感度標籤： 發生伺服器端標籤事件。 例如，標籤會自動新增到包含加密動作的郵件中，或是透過 Web 或行動用戶端新增。 Exchange 伺服器完成並記錄該動作。 透過 Outlook 新增的標籤不會包含在事件欄位中。

    附註： 一則無事件、成功傳遞的訊息會在訊息追蹤中產生多個 事件 項目。 如需更多事件的描述，請參閱 內部部署 Exchange 中郵件追蹤記錄中的事件類型。

  • 詳細資訊： 展開此區段後，您可以檢視下列詳細資料：

    • 郵件 ID：此值如 [ 詳細搜尋選項] 一節中所述。 訊息識別碼值的範例為 <d9683b4c-127b-413a-ae2e-fa7dfb32c69d@DM3NAM06BG401.Eop-nam06.prod.protection.outlook.com>。
    • 郵件大小：已傳送郵件的大小，包括附件/圖片/文字。
    • 來源 IP：傳送郵件的電腦 IP 位址。 對於從 Exchange Online 傳送的外寄郵件，此值為空白。
    • 目標 IP：服務嘗試傳遞郵件的目標 IP 位址。 如果郵件有多個收件者，則會顯示這些位址。 對於傳送至 Exchange Online 的輸入郵件，此值為空白。

增強摘要報告

您可以在 [郵件追蹤] 頁面上的 [可下載的報表] 索引標籤上找到增強的摘要報表：

  • 可供下載的報告具有 狀態 值 為完成
  • 無法下載的報告具有 [狀態 ] 值 [ 未開始] 或 [進行中]。

增強型摘要報表 CSV 檔案提供下列資訊：

  • origin_timestamp*：服務最初收到訊息的日期和時間，以設定的 UTC 時區顯示。
  • sender_address：寄件者的電子郵件地址 (alias@domain) 。
  • Recipient_status：將郵件傳遞至收件者的狀態。 如果郵件已傳送給多個收件者，則會以下列格式顯示所有收件者以及每個收件者的對應狀態： <email address>##<status>。 收件者狀態的範例如下：
    • ##接收、傳送表示郵件已由服務接收，而且已傳送到預定的目的地。
    • ##接收、失敗表示郵件已由服務接收，但無法傳遞到預定的目的地。
    • ##接收、傳遞表示郵件已由服務接收，而且已傳遞到收件者的信箱。
  • message_subject：郵件的 [主旨] 欄位的前 256 個字元。
  • total_bytes：郵件大小 (以位元組為單位)，包括附件。
  • message_id：此值如 [ 詳細搜尋選項] 一節中所述。 message_id值的範例為 <d9683b4c-127b-413a-ae2e-fa7dfb32c69d@DM3NAM06BG401.Eop-nam06.prod.protection.outlook.com>。
  • network_message_id：唯一的郵件識別碼值，會持續存在於郵件可能因為複本發送或通訊群組展開等原因而產生的所有複本上。 network_message_id值的範例為 1341ac7b13fb42ab4d4408cf7f55890f。
  • original_client_ip：寄件者 SMTP 伺服器的 IP 位址。
  • 方向性：指出郵件是從傳入 (傳送至您的組織) ，或是從貴組織) 傳出 (。
  • connector_id：來源或目的地連接器的名稱。 如需 Exchange Online 中連接器的詳細資訊，請參閱使用 Office 365 中的連接器設定郵件流程。
  • delivery_priority*：郵件是以 高、 低或 正常 優先順序傳送。

* 這些屬性只能在 增強的摘要報表中使用。

[延伸] 報告

您可以在 [郵件追蹤] 頁面上的 [可下載的報表] 索引標籤上找到延伸報表：

  • 可供下載的報告具有 狀態 值 為完成
  • 無法下載的報告具有 [狀態 ] 值 [ 未開始] 或 [進行中]。

下列資訊可在 增強的報表 CSV 檔案中找到：

  • client_ip：已提交郵件之電子郵件伺服器或郵件用戶端的 IP 位址。

  • client_hostname：已提交郵件之電子郵件伺服器或郵件用戶端的主機名稱或 FQDN。

  • server_ip：來源或目的地伺服器的 IP 位址。

  • server_hostname：目的地伺服器的主機名稱或 FQDN。

  • source_context：與 source 欄位相關聯的額外資訊。 例如：

    • Protocol Filter Agent
    • 3489061114359050000

  • source：負責事件的 Exchange Online 元件。 例如：

    • AGENT
    • MAILBOXRULE
    • SMTP

  • event_id：此值對應於在尋找此郵件的相關記錄中所述的訊息事件值。

  • internal_message_id：由目前正在處理訊息的 Exchange Online 伺服器所指派的訊息識別碼。

  • recipient_address：郵件收件者的電子郵件地址。 多個電子郵件地址會以分號字元 (;) 隔開。

  • recipient_count：郵件中的收件者總人數。

  • related_recipient_address：以 、 REDIRECT和RESOLVE活動進行EXPAND簡報，以顯示其他收件者與郵件相關聯的電子郵件地址。

  • reference：此欄位包含特定事件類型的其他資訊。 例如：

    • DSN：包含報告連結，這是相關聯傳遞狀態通知的 message_id 值 (也稱為 DSN、未傳遞報告、NDR 或退回訊息，) 如果 DSN 是在此事件之後產生的。 如果此訊息是 DSN 訊息，此欄位會包含產生 DSN 之原始訊息的 message_id 值。

    • EXPAND：包含相關郵件的 related_recipient_address 值。

    • RECEIVE：如果郵件是由其他程序 (例如 [收件匣] 規則) 所產生，可能會包含相關郵件的 message_id 值。

    • 傳送：包含任何 DSN 訊息的 internal_message_id 值。

    • TRANSFER：包含分支之郵件的 internal_message_id 值 (例如，由於內容轉換、郵件收件者限制或代理程式)。

    • MAILBOXRULE：包含導致 [收件匣] 規則產生外寄郵件之內送郵件的 internal_message_id 值。

      對於其他類型的事件，此欄位 (internal_message_id) 為空白。

  • return_path：傳送郵件的 MAIL FROM命令所指定的傳回電子郵件地址。 雖然此欄位絕對不會是空白，但會以 <> 來表示 Null 寄件者地址值。

  • message_info：郵件的其他相關資訊。 例如：

    • DELIVER 與 SEND 事件的郵件原始日期時間 (UTC)。 原始日期時間是指郵件最初進入 Exchange Online 組織的時間。 以 ISO 8601 日期時間格式表示 UTC 日期時間：yyyy-MM-ddThh:mm:ss.fffZ，其中 yyyy = 年、MM = 月、dd = 日，T 表示時間元件的開頭，hh = 時、mm = 分、ss = 秒、fff = 秒的分數，以及另外一個表示 UTC 的方法 Z 代表 Zulu。
    • 驗證錯誤。 例如，您可能會看見值 11a，以及發生驗證錯誤時所使用的驗證類型。

  • tenant_id：代表 Exchange Online 組織的 GUID 值 (例如，39238e87-b5ab-4ef6-a559-af54c6b07b42)。

  • original_server_ip：原始伺服器的 IP 位址。

  • custom_data：包含特定事件類型的相關資料。 如需詳細資訊，請參閱下列各節：

custom_data 值

各種 Exchange Online 代理程式會使用事件的 AGENTINFO custom_data 欄位來記錄訊息處理詳細資料。 下列各節說明某些更有趣的代理程式。

垃圾郵件篩選器代理程式

以 S:SFA 做為開頭的 custom_data 值是來自垃圾郵件篩選器代理程式。 如需詳細資訊，請參閱 X-Forefront-Antispam-Report 郵件標頭欄位。

垃圾郵件篩選的 custom_data 值範例如下所示：

S:SFA=SUM|SFV=SPM|IPV=CAL|SRV=BULK|SFS=470454002|SFS=349001|SCL=9|SCORE=-1|LIST=0|DI=SN|RD=ftmail.inc.com|H=ftmail.inc.com|CIP=98.129.140.74|SFP=1501|ASF=1|CTRY=US|CLTCTRY=|LANG=en|LAT=287|LAT=260|LAT=18;

惡意程式碼篩選代理程式

以 S:AMA 做為開頭的 custom_data 值是來自惡意程式碼篩選器代理程式。 下表說明重要的詳細資料：

值 描述
AMA=SUM|v=1| 或 AMA=EV|v=1 郵件已判定為包含惡意程式碼。
  • SUM： 任何數目的引擎都可以將此訊息偵測為惡意軟體。
  • EV：特定引擎偵測到此訊息為惡意軟體。

當引擎偵測到惡意軟體時，會觸發後續動作。
Action=r 已取代郵件。
Action=p 已略過郵件。
Action=d 已延遲郵件。
Action=s 已刪除郵件。
Action=st 已略過郵件。
Action=sy 已略過郵件。
Action=ni 已拒絕郵件。
Action=ne 已拒絕郵件。
Action=b 已封鎖郵件。
Name=<malware> 偵測到之惡意程式碼的名稱。
File=<filename> 含有惡意程式碼之檔案的名稱。

包含惡意程式碼之訊息的 custom_data 值範例如下所示：

S:AMA=SUM|v=1|action=b|error=|atch=1;S:AMA=EV|engine=M|v=1|sig=1.155.974.0|name=DOS/Test_File|file=filename;S:AMA=EV|engine=A|v=1|sig=201707282038|name=Test_File|file=filename

傳輸規則代理程式

以 S:TRA 作為開頭的 custom_data 值是來自郵件流程規則 (也稱為傳輸規則) 的傳輸規則代理程式。 下表說明重要的詳細資料：

值 描述
ETR|ruleId=<guid> 已符合的規則 ID。
St=<datetime> 規則相符時的日期和時間 (以 UTC 表示)。
Action=<ActionDefinition> 已套用的動作。 如需可用動作的清單，請參閱 Exchange Online 中的郵件流程規則動作。
Mode=<Mode> 規則的模式。 有效值為：
  • 強制執行：會強制執行規則上的所有動作。
  • 使用原則秘訣進行測試：：已傳送任何原則秘訣動作，但不會對其他強制執行動作採取行動。
  • 在沒有原則提示的情況下測試： 動作會列在記錄檔中，但不會以任何方式通知寄件者，也不會對強制執行動作採取行動。</li？

符合郵件流程規則條件之郵件的 custom_data 值範例如下所示：

S:TRA=ETR|ruleId=19a25eb2-3e43-4896-ad9e-47b6c359779d|st=7/17/2017 12:31:25 AM|action=ApplyHtmlDisclaimer|sev=1|mode=Enforce

使用 PowerShell Cmdlet Get-MessageTraceV2

若要透過新的 PowerShell Cmdlet Get-MessageTraceV2利用新的郵件追蹤功能，請確定您使用的是 3.7.0 版或更新版本的 Exchange Online PowerShell V3 模組。

節流限制：

為了降低誤用和濫用 Exchange Online 資源的風險、確保所有使用者都能使用服務，並提供客戶可預測的體驗，我們根據一段時間內的要求數實作了速率型節流限制。 對於租用戶，在 5 分鐘的執行視窗內最多接受 100 個查詢要求。 如果要求速率低於過去 5 分鐘內的 100 個要求，則自動不套用節流。 如果您的租用戶已將自動化設定為查詢頻率高於節流閾值，請更新您的自動化以適應低於節流限制。

指令程式 租使用者層級限制
Get-MesesageTraceV2 每 5 分鐘 100 個要求
Get-MessageTraceDetailV2 每 5 分鐘 100 個要求

ResultSize 參數：新的訊息追蹤支援預設值為 1000 個結果，以及透過參數) 設定 -ResultSize 的最大值為 5000 個結果 (。 這項變更是為了確保資源的合理使用，因為分頁可能會給我們的系統帶來效能問題。

StartingRecipientAddress 參數：此參數的主要用途是協助提取後續資料，同時將重複降至最低。

由於不再支援分頁， EndTime 您可以使用查詢結果最後一筆記錄的時間的 Received 參數，並用前一個結果的最後一筆記錄填入 StartingRecipientAddresss 參數 RecipientAddress 。 如需詳細資訊，請參閱下列範例。

範例資料的螢幕擷取畫面。

針對上述範例資料，您可以使用下列查詢提取前 10 筆記錄：

Get-MessageTraceV2 -StartDate '2024-11-01T00:00:00Z' -EndDate '2024-11-01T00:10:00Z' -ResultSize 10

在下面的 V2 範例中，我們使用 StartingRecipientAddress 先前結果中最後一個收件者的 (r_1_010@contoso) 。 若要提取下一個後續記錄，請使用下列查詢。

Get-MessageTraceV2 -StartDate '2024-11-01T00:00:00Z' -EndDate '2024-11-01T00:10:00Z' -ResultSize 10 -StartingRecipientAddress r_1_010@contoso.com

最佳做法

若要改善查詢效能，請指定盡可能多且盡可能精確的篩選。 我們極力建議系統管理員盡可能縮小 和EndDate之間的StartDate差距。 也建議設定更多參數，例如 SenderAddress當寄件者已知時。 適用時用於 MessageTraceId PowerShell 查詢。 查詢傳送給超過 1,000 個收件者的郵件資料時，這是必要的。 EAC 現在也支援這項功能。

在調查特定郵件時，或在 MessageTraceId 傳送郵件給多個收件者時設定 ( (NetworkMsgId 也稱為在郵件追蹤記錄) ，例如超過 1,000) 。 這是獲得完整結果所必需的。 與 StartingRecipientAddress一起使用時，您可以在多輪中擷取完整的資料集。 如需詳細資訊 StartingRecipientAddress，請參閱常見問題集一節。

常見問題集

如何判斷是否顯示部分結果？

對於 EAC 使用者，請向下捲動以取得更多結果，直到資料完成為止。 使用者不需要採取任何其他動作，V2 會在使用者向下捲動以取得其他結果時自動載入它。 對於Exchange Online PowerShell Cmdlet 使用者，我們正在努力在輸出中為下一個查詢提供提示，如果資料是部分資料， (預期在未來幾週) 。 目前，使用者可以使用下面的範例腳本來持續收集結果。

範例指令碼：

$mt = Get-MessageTraceV2 -<filters>

$nextRound = Get-MessageTraceV2 -<filters> -EndDate $mt[-1].Received.ToString("O")

如何在 V2 中實現 V1 的分頁？

分頁功能已在 V2 中淘汰，以確保所有使用者都能公平使用資源和查詢效能。 相反，您可以一輪一輪地獲得結果。 結果會 Received 先以遞減排序，然後以遞增順序排序， (RecipientAddress 不區分大小寫) 。 若要取得下一輪結果，請將 EndDate 參數更新為 Received 目前輪次中最後一個資料的值。 請參閱上一節中的範例指令碼。

何時以及如何使用參數： StartingRecipientAddress？

此 StartingRecipientAddress 參數用於取得下一輪資料。 StartingRecipientAddress 一起 Received，可以逐輪獲得結果，以獲得完整的結果。 在下一輪中， Received 將會輸出與本輪中最後一個結果相同，但其字母 RecipientAddress 順序大於 StartingRecipientAddress (不區分大小寫的) ，或舊於本輪的最後一個結果的資料。

範例指令碼：

$mt = Get-MessageTraceV2 -<filters>

$nextRound = Get-MessageTraceV2 -<filters> -EndDate $mt[-1].Received.ToString("O") -StartingRecipientAddress $mt[-1].RecipientAddress
  • 上次更新時間：