메시지 추적

메시지 추적 로그는 사서함 서버 및 Edge 전송 서버의 전송 파이프라인을 통해 메일이 흐르면서 모든 활동에 대한 자세한 레코드입니다. 메시지 포렌식, 메일 흐름 분석, 보고 및 문제 해결을 위해 메시지 추적을 사용할 수 있습니다.

기본적으로 Exchange는 순환 로깅을 사용하여 파일 크기 및 파일 기간을 기준으로 메시지 추적 로그를 제한하여 로그 파일에서 사용되는 하드 디스크 공간을 제어합니다. 메시지 추적 로그를 구성하려면 메시지 추적 구성을 참조하세요.

메시지 추적 로그 검색

메시지 추적 로그에는 메시지가 사서함 서버 또는 Edge 전송 서버를 통해 이동함에 따라 방대한 양의 데이터가 포함됩니다. 메시지 추적 로그를 검색할 때 다음과 같은 옵션이 있습니다.

• Get-MessageTrackingLog: 관리자는 이 Exchange Management Shell cmdlet을 사용하여 다양한 필터 조건을 사용하여 메시지 추적 로그에서 메시지에 대한 정보를 검색할 수 있습니다. 자세한 내용은 메시지 추적 로그 검색을 참조하십시오.

• 관리자를 위한 배달 보고서: 관리자는 Exchange 관리 센터의 배달 보고서 탭 또는 Exchange 관리 셸의 기본 Search-MessageTrackingReport 및 Get-MessageTrackingReport cmdlet을 사용하여 조직의 특정 사서함에서 보내거나 받은 메시지에 대한 정보를 메시지 추적 로그를 검색할 수 있습니다. 자세한 내용은 관리자에 대한 배달 보고서를 참조하세요.

메시지 추적 로그 파일의 구조

기본적으로 메시지 추적 로그 파일은 에 %ExchangeInstallPath%TransportRoles\Logs\MessageTracking있습니다. 폴더에는 이름이 다른 로그 파일이 포함되어 있지만 모두 명명 규칙을 MSGTRKServiceyyyymmdd-nnnn.log따릅니다. 다른 로그 파일 이름은 다음 표에 설명되어 있습니다.

로그 파일 이름의 다른 자리 표시자는 다음 정보를 나타냅니다.

• yyyymmdd 는 로그 파일을 만든 UTC(협정 세계시) 날짜입니다. yyyy = year, mm = month 및 dd = day.

• nnnn 은 각 로그에 대해 매일 값 1에서 시작하는 인스턴스 번호입니다.

정보는 파일이 최대 크기에 도달할 때까지 로그 파일에 기록됩니다. 그런 다음 증분 인스턴스 번호가 있는 새 로그 파일이 열립니다(첫 번째 로그 파일은 -1이고, 다음 로그 파일은 -2 등). 순환 로깅은 다음 조건 중 하나가 true이면 서비스에 대한 가장 오래된 로그 파일을 삭제합니다.

• 로그 파일이 최대 수에 도달합니다.

• 메시지 추적 로그 폴더의 최대 크기에 도달합니다.

  참고:

  • 메시지 추적 로그 폴더의 최대 크기는 동일한 이름 접두사를 가진 모든 로그 파일의 총 크기로 계산됩니다. 이름 접두사 규칙을 따르지 않는 다른 파일은 총 폴더 크기 계산에 계산되지 않습니다. 이전 로그 파일의 이름을 변경하거나 메시지 추적 로그 폴더에 다른 파일을 복사하면 폴더가 지정된 최대 크기를 초과할 수 있습니다.

  • 사서함 서버에서 메시지 추적 로그 폴더의 최대 크기는 지정된 값의 3배입니다. 메시지 추적 로그 파일은 4개의 다른 서비스에 의해 생성되고 네 개의 서로 다른 이름 접두사를 가지고 있지만, 조정된 전송 로그(MSGTRKMA)에 기록된 데이터의 양과 빈도는 다른 세 개의 로그에 비해 무시할 수 있습니다.

메시지 추적 로그 파일은 CSV(쉼표로 분리된 값) 형식의 데이터가 포함되어 있는 텍스트 파일입니다. 각 메시지 추적 로그 파일에는 다음과 같은 정보가 포함된 헤더가 있습니다.

• #Software: 값은 입니다 Microsoft Exchange Server.

• #Version: 메시지 추적 로그 파일을 만든 Exchange 서버의 버전 번호입니다. 값은 형식 15.01.nnnn.nnn을 사용합니다.

• #Log 형식: 값은 입니다 Message Tracking Log.

• #Date: 로그 파일을 만든 UTC 날짜-시간입니다. UTC 날짜-시간은 ISO 8601 날짜-시간 형식으로 표시됩니다 . yyyy-mm-ddThh:mm:ss.fffZ, 여기서 yyyy = year, mm = month, dd = day, T는 시간 구성 요소의 시작을 나타내고, hh = hour, mm = minute, ss = second, fff = 초의 분수, Z는 UTC를 나타내는 또 다른 방법인 Zulu를 나타냅니다.

• #Fields: 메시지 추적 로그 파일에 사용되는 쉼표로 구분된 필드 이름입니다.

메시지 추적 로그 파일의 필드

메시지 추적 로그는 로그의 한 줄에 각 메시지 이벤트를 저장합니다. 메시지 이벤트 정보는 필드로 구성되며 이러한 필드는 쉼표로 구분됩니다. 필드 이름은 일반적으로 필드에 포함된 정보 유형을 판단할 수 있는 설명 형식입니다. 그러나 일부 필드는 공백이거나 필드의 정보 유형이 메시지 이벤트 유형 및 이벤트를 기록한 서비스에 따라 변경될 수 있습니다. 각 메시지 추적 이벤트를 분류하는 데 사용되는 필드에 대한 일반적인 설명은 다음 표에 나와 있습니다.

메시지 추적 로그의 이벤트 유형

event-id 필드의 다양한 이벤트 유형을 사용하여 메시지 추적 로그의 메시지 이벤트를 분류합니다. 한 가지 유형의 메시지 추적 로그 파일에만 나타나는 메시지 이벤트도 있고, 모든 유형의 메시지 추적 로그 파일에 나타나는 메시지 이벤트도 있습니다. 각 메시지 이벤트를 분류하는 데 사용되는 이벤트 유형은 다음 표에 설명되어 있습니다.

메시지 추적 로그의 원본 값

메시지 추적 로그의 source 필드 값은 메시지 추적 이벤트를 담당하는 전송 구성 요소를 나타냅니다. 다음 표에서는 source 필드의 값에 대해 설명합니다.

메시지 추적 로그의 항목 예

두 사용자 간에 이벤트가 없는 메시지가 전송되어 메시지 추적 로그에 여러 항목이 생성됩니다. Get-MessageTrackingLog cmdlet을 사용하여 결과를 확인할 수 있습니다. 자세한 내용은 메시지 추적 로그 검색을 참조하십시오.

사용자가 테스트 메시지를 사용자에게 michelle@contoso.com성공적으로 보낼 때 chris@contoso.com 생성된 메시지 추적 로그 항목의 예입니다. 두 사용자의 사서함은 같은 서버에 있습니다.

EventId    Source      Sender            Recipients             MessageSubject
-------    ------      ------            ----------             --------------
NOTIFYMAPI STOREDRIVER                   {}
RECEIVE    STOREDRIVER chris@contoso.com {michelle@contoso.com} test
SUBMIT     STOREDRIVER chris@contoso.com {michelle@contoso.com} test
HAREDIRECT SMTP        chris@contoso.com {michelle@contoso.com} test
RECEIVE    SMTP        chris@contoso.com {michelle@contoso.com} test
AGENTINFO  AGENT       chris@contoso.com {michelle@contoso.com} test
SEND       SMTP        chris@contoso.com {michelle@contoso.com} test
DELIVER    STOREDRIVER chris@contoso.com {michelle@contoso.com} test

메시지 추적 로그에 대한 보안 문제

메시지 내용은 메시지 추적 로그에 저장되지 않습니다. 기본적으로 전자 메일 메시지의 제목 줄은 메시지 추적 로그에 저장됩니다. 향상된 보안 또는 개인 정보 요구 사항을 준수하려면 주체 로깅을 사용하지 않도록 설정해야 할 수 있습니다. 제목 로깅을 사용하지 않도록 설정하는 방법에 대한 지침은 메시지 추적 구성을 참조하세요.