Exchange Online のクラシック EAC でメッセージ追跡を実行する

管理者は、Exchange 管理センター (EAC) でメッセージの追跡を実行することで、電子メール メッセージに何が起こったのかを調べることができます。 メッセージの追跡を実行した後に、結果を一覧に表示し、特定のメッセージの詳細を確認できます。 過去 90 日間のメッセージ追跡データが使用できます。 メッセージが 7 日を超える場合は、ダウンロード可能な .CSV ファイルでのみ結果を表示できます。

メッセージ トレースとその他のメール フロートラブルシューティング ツールのビデオ チュートリアルについては、「 Microsoft 365 または Office 365 for Business 管理者としてのメール配信の問題を検索して修正する」を参照してください。

• 従来の EAC を見つけて開くには、「 Exchange Online の Exchange 管理センター」を参照してください。

• この手順を実行する際には、あらかじめアクセス許可が割り当てられている必要があります。 必要なアクセス許可を確認するには、 Exchange Online の機能のアクセス許可 に関する記事の「メッセージ トレース」エントリを参照してください。

• この記事の手順に適用されるキーボード ショートカットの詳細については、「 Exchange 管理センターのキーボード ショートカット」を参照してください。

1. EAC で、[ メール フロー>メッセージ トレース] に移動します。

   

2. 検索する内容に応じて、次のフィールドに値を入力できます。 これらのフィールドは、7 日未満のメッセージには必要ありません。 [ 検索 ] を選択すると、既定の期間 (過去 48 時間) のすべてのメッセージ トレース データを取得できます。

   1. 日付範囲: ドロップダウン リストを使用して、過去 24 時間以内、48 時間以内、または 7 日以内に送受信されたメッセージを検索します。 過去 90 日以内の任意の範囲を含むカスタム期間を選択することもできます。 カスタム検索の場合は、協定世界時 (UTC) でタイム ゾーンを変更することもできます。

   2. 配信状態: ドロップダウン リストを使用して、情報を表示するメッセージの状態を選択します。 すべての状態を対象にするには、既定値 [すべて] のままにします。 その他の値は次のいずれかです。

      • 配信済み: メッセージが目的の宛先に正常に配信されました。
      • 失敗: メッセージが配信されませんでした。 試みられて失敗したか、フィルター サービスによって実行されたアクションの結果として配信されませんでした。 例えば、メッセージにマルウェアが含まれると判別された場合です。
      • ^*保留中: メッセージの配信が試行されているか、再試行されています。
      • 展開済み: メッセージが配布リストに送信されてリストが展開されるため、リストの個々のメンバーを確認できます。
      • スパムとしてフィルター処理済み: メッセージが迷惑メール フォルダーに配信されました。
      • 不明^*: 現時点では、メッセージ配信の状態は不明です。 クエリの結果が一覧表示されると、配信の詳細フィールドに情報は含まれません。

      ^*7 日を超えるメッセージを検索している場合は、[ 保留中] または [ 不明] を選択できません。

   3. メッセージ ID: これは、メッセージ ヘッダーの [メッセージ ID: ヘッダー] フィールドにあるインターネット メッセージ ID (クライアント ID とも呼ばれます) です。 ユーザーからこの情報を提供してもらい、特定のメッセージを調査できます。

      この ID の形式は、送信メール システムによって異なります。 次の例: <08f1e0f6806a47b4ac103961109ae6ef@server.domain>。

      この ID は一意である必要があります。ただし、すべての送信メール システムが同じように動作するわけではありません。 その結果、1 つのメッセージ ID に対してクエリを実行すると、複数のメッセージの結果が得られる可能性があります。

      注: 完全なメッセージ ID 文字列を必ず含めます。 メッセージ ID には、山かっこ (<>) が含まれる場合もあります。

   4. 送信者: [送信者] フィールドの横にある [ 送信者の追加 ] ボタンを選択して、特定の 送信者 の検索を絞り込むことができます。 後続のダイアログ ボックスで、ユーザー ピッカーの一覧から会社の送信者を 1 つ以上選択し、[ 追加] を選択します。 リストにない送信者を追加するには、メール アドレスを入力し、[ 名前の確認] を選択します。 このボックスでは、*@contoso.com という形式のメール アドレスに対してワイルドカードがサポートされています。 ワイルドカードを指定する場合、他のアドレスは使用できません。 選択が完了したら、[ OK] を選択します。

   5. 受信者: [受信者] フィールドの横にある [受信者の追加] ボタンをクリックして、特定の受信者の検索を絞り込むことができます。 後続のダイアログ ボックスで、ユーザー ピッカーの一覧から会社の 1 人以上の受信者を選択し、[ 追加] を選択します。 一覧にない受信者を追加するには、メール アドレスを入力し、[ 名前の確認] を選択します。 このボックスでは、*@contoso.com という形式のメール アドレスに対してワイルドカードがサポートされています。 ワイルドカードを指定する場合、他のアドレスは使用できません。 選択が完了したら、[ OK] を選択します。

3. 7 日を超えるメッセージを検索する場合は、次の設定を構成します (それ以外の場合は、この手順をスキップできます)。

   1. メッセージ イベントとルーティングの詳細をレポートに含める: いくつかのメッセージを探している場合にのみ、このチェック ボックスをオンにすることをお勧めします。 それ以外の場合、結果が返されるまでに時間がかかります。

   2. 方向: 既定の [すべて ] のままにするか、組織に送信されたメッセージの場合は [受信] を、組織から送信されたメッセージの場合は [送信 ] を選択します。

   3. 元のクライアント IP アドレス: 送信者のクライアントの IP アドレスを指定します。

   4. レポート タイトル: このレポートの一意の識別子を指定します。 これは電子メール通知の件名テキストとしても使用されます。 既定値は "メッセージ トレース レポート <の曜日>、 <現在の日付><の現在時刻>" です。 たとえば、"メッセージ トレース レポート 2018 年 10 月 17 日木曜日 7:21:09 AM" などです。

   5. 通知メール アドレス: メッセージ トレースが完了したときに通知を受信するメール アドレスを指定します。 このアドレスは、承認済みドメインの一覧に常駐する必要があります。

4. [ 検索:] をクリックしてメッセージ トレースを実行します。 24 時間にわたって実行できるトレースの数のしきい値に近づくと、警告が表示されます。

メッセージ トレースを実行した後、次のいずれかのセクションに進み、結果を表示する方法を確認します。

注: 別のメッセージを検索するには、[ クリア ] ボタンをクリックし、新しい検索条件を指定します。

EAC でメッセージ トレースを実行すると、結果が日付で並べ替えられて、最新のメッセージが最初に表示されます。 表示されるフィールドは、見出しをクリックして並べ替えることができます。 見出しをもう一度クリックすると、逆の順序で並べ替えられます。 メッセージ追跡の結果を表示すると、それぞれのメッセージについて次の情報が表示されます。

• 日付: 構成された UTC タイム ゾーンを使用して、サービスによってメッセージが受信された日時。
• 送信者: フォーム alias@domainの送信者の電子メール アドレス。
• 受信者: 受信者または受信者のメール アドレス。 複数の受信者に送信されるメッセージの場合は、受信者ごとに 1 行が割り当てられます。 受信者が配布リストの場合は、配布リストが最初の受信者になり、すべての受信者の状態をチェックできるように配布リストのメンバーごとに 1 行が割り当てられます。
• 件名: メッセージの件名行テキスト。 必要に応じて、最初の 256 文字までに切り捨てられます。
• 状態: このフィールドは、メッセージが受信者に配信されたか、目的の宛先に配信されなかったかを指定します。受信者に配信できませんでした (宛先に到達できなかったか、フィルター処理されたため)、配信待ち (配信処理中か、配信が延期されたが再試行中) です。 が展開されました (メッセージが DL の受信者に展開された配布リスト (DL) に送信されたため、配信されませんでした)、または状態が None (メッセージが拒否されたか、別の受信者にリダイレクトされたため、受信者へのメッセージの配信の状態はありません)。

EAC でメッセージの追跡を実行して返されたアイテムの一覧を確認した後、それぞれのメッセージをダブルクリックすることによって、次のようなメッセージに関する詳細を表示できます。

• メッセージ サイズ: 添付ファイルを含むメッセージのサイズを KB 単位で指定するか、メッセージ サイズが 999 KB を超える場合は MB 単位で指定します。

• メッセージ ID: これは、"Message-ID:" トークンを持つメッセージのヘッダーにあるインターネット メッセージ ID (クライアント ID とも呼ばれます) です。 次に例を示します。 例を次に示します。 <08f1e0f6806a47b4ac103961109ae6ef@contoso.com>

  ただし、この ID は一意である必要があります。これは、生成用の送信メール システムに依存しており、すべての送信メール システムが同じように動作するわけではありません。 その結果、1 つのメッセージ ID でクエリを行っているときに、複数のメッセージの結果が表示される可能性があります。

  これは、問題になっているメッセージと追跡エントリを相互に関連付けることができるように、出力として提供されます。

• [IP へ]: サービスがメッセージを配信しようとした IP アドレスまたはアドレス。 受信者が複数の場合は、次の項目が表示されます。 Exchange Online に送信された受信メッセージの場合、この値は空白です。

• [IP から]: メッセージを送信したコンピューターの IP アドレス。 Exchange Online から送信された送信メッセージの場合、この値は空白です。

イベント セクションの次のフィールドには、メッセージがメッセージング パイプラインを通過するときにメッセージに発生したイベントに関する情報が表示されます。

• 日付: イベントが発生した日時。

• イベント: このフィールドは、メッセージがサービスによって受信された場合や、メッセージが配信されたか、目的の受信者に配信されなかった場合など、発生した内容を簡単に通知します。 次に、表示されるイベントの例を示します。

  • RECEIVE: サービスによってメッセージが受信されました。

  • SEND: メッセージはサービスによって送信されました。

  • FAIL: メッセージの配信に失敗しました。

  • 配信: メッセージがメールボックスに配信されました。

  • 展開: 展開された配布グループにメッセージが送信されました。

  • 転送: 受信者は、コンテンツの変換、メッセージ受信者の制限、またはエージェントのために、分岐されたメッセージに移動されました。

  • DEFER: メッセージ配信は延期され、後で再試行される可能性があります。

  • 解決済み: Active Directory の検索に基づいて、メッセージが新しい受信者アドレスにリダイレクトされました。 このイベントが発生した場合、メッセージ トレースの別の行に、メッセージの最終配信状態と併せて、元の受信者のアドレスが表示されます。

  • DLP ルール: このメッセージに DLP ルールが一致しました。

  • 秘密度ラベル: サーバー側のラベル付けイベントが発生しました。 たとえば、暗号化するアクションを含むメッセージにラベルが自動的に追加されたか、Web またはモバイル クライアント経由で追加されました。 このアクションは Exchange サーバーによって完了し、ログに記録されます。 Outlook 経由で追加されたラベルは、イベント フィールドには含まれません。

    ヒント

    その他のイベントが表示される場合があります。 これらのイベントの詳細については、「 メッセージ追跡ログのイベントの種類」を参照してください。

• アクション: このフィールドには、マルウェアまたはスパムの検出またはルールの一致によってメッセージがフィルター処理された場合に実行されたアクションが表示されます。 たとえば、メッセージが削除されたかどうか、または検疫に送信されたかどうかを確認できます。

• 詳細: このフィールドは、何が起こったかについて詳しく説明する詳細情報を提供します。 たとえば、特定のメール フロー ルール (トランスポート ルールとも呼ばれます) が一致し、その一致の結果としてメッセージに何が起こったかを通知する場合があります。 どのマルウェアがどの添付ファイルで検出されたか、またはメッセージがスパムとして検出された理由に関する情報も表示されることがあります。 メッセージが正常に配信された場合は、配信先の IP アドレスが表示されます。

7 日を超えるアイテムに対してメッセージ トレースを実行した場合、[ 検索 ] をクリックすると、メッセージが正常に送信されたこと、およびトレースが完了したときに指定されたメール アドレスに電子メール通知が送信されることを知らせるメッセージが表示されます。 (メッセージ トレースが処理され、検索条件に一致するデータが正常に取得された場合、この通知メッセージにはトレースに関する情報と、ダウンロード可能な .CSV ファイルへのリンクが含まれます。指定した検索条件に一致するデータが見つからなかった場合は、有効な結果を取得するために、条件が変更された新しい要求を送信するように求められます)。

EAC では、[ 保留中または完了したトレースの表示 ] をクリックして、7 日を超えるアイテムに対して実行されたトレースの一覧を表示できます。 結果として生成される UI において、追跡の一覧はそれが送信された日時に基づいて格納され、送信日時が新しい順に表示されます。 一覧には、レポートのタイトル、追跡の送信日時、レポートに含まれるメッセージ数に加えて、状態に関する以下の値が表示されます。

• [未開始]: トレースは送信されましたが、まだ実行されていません。 この時点で、追跡を取り消すこともできます。
• キャンセル済み: トレースは送信されましたが、取り消されました。
• 進行中: トレースが実行されており、トレースを取り消したり、結果をダウンロードしたりすることはできません。
• 完了: トレースが完了し、[ このレポートのダウンロード ] をクリックして、.CSV ファイルの結果を取得できます。 メッセージ トレースの結果がサマリー レポートのメッセージ数が 1,0000 を超えると、最初の 100000 メッセージに切り捨てられることに注意してください。 メッセージ トレースの結果が詳細レポートのメッセージ数が 1,000 を超える場合、最初の 1,000 メッセージに切り捨てられます。 必要なすべての結果が表示されない場合は、検索を複数のクエリに分割することをお勧めします。

特定のメッセージ追跡を選ぶと、追加情報が右側のウィンドウに表示されます。 指定した検索条件によっては、追跡対象の日付範囲、メッセージの送信者や指定した受信者などの詳細が結果に含まれる場合があります。

EAC の 保留中または完了したトレースを表示するか 、通知メールからメッセージ トレース レポートをダウンロードして表示する場合、その内容は、[ メッセージ イベントとルーティングの詳細をレポートに含める ] オプションを選択したかどうかによって異なります。

メッセージ追跡を実行するときにルーティングの詳細を含めなかった場合, .CSV ファイルには以下の情報が含まれます。このファイルは、Microsoft Excel などのアプリケーションで開くことができます。

• origin_timestamp: 構成された UTC タイム ゾーンを使用して、サービスによってメッセージが受信された日時。

• sender_address: フォーム エイリアス@ドメイン内の送信者の電子メール アドレス。

• Recipient_status: 受信者へのメッセージの配信の状態。 メッセージが複数の受信者に送信された場合、電子メール アドレス>##<status という形式<で、すべての受信者とそれに対応する状態>が表示されます。 以下に状態の例を示します。

  • ##Receive、Send: は、メッセージがサービスによって受信され、目的の宛先に送信されたことを意味します。
  • ##Receive、失敗: は、メッセージがサービスによって受信されたが、目的の宛先に配信できなかったことを意味します。
  • ##Receive、配信: メッセージがサービスによって受信され、受信者のメールボックスに配信されたことを意味します。

• message_subject: メッセージの件名行テキスト。 必要に応じて、最初の 256 文字までに切り捨てられます。

• total_bytes: 添付ファイルを含むメッセージのサイズ (バイト単位)。

• message_id: これは、"Message-ID:" トークンを持つメッセージのヘッダーにあるインターネット メッセージ ID (クライアント ID とも呼ばれます) です。 次に例を示します。 例を次に示します。 <*08f1e0f6806a47b4ac103961109ae6ef*@*server*.*domain*>

  ただし、この ID は一意である必要があります。これは、生成用の送信メール システムに依存しており、すべての送信メール システムが同じように動作するわけではありません。 その結果、1 つのメッセージ ID でクエリを行っているときに、複数のメッセージの結果が表示される可能性があります。

  これは、問題になっているメッセージと追跡エントリを相互に関連付けることができるように、出力として提供されます。

• network_message_id: これは、分岐または配布グループの拡張によって作成される可能性があるメッセージのコピー間で保持される一意のメッセージ ID 値です。 たとえば、1341ac7b13fb42ab4d4408cf7f55890f のような値です。

• original_client_ip: 送信者のクライアントの IP アドレス。

• 方向: このフィールドは、メッセージが組織に受信 (1) 送信されたかどうか、または組織から送信された (2) かどうかを示します。

• connector_id: 送信元または送信先の送信コネクタまたは受信コネクタの名前。 たとえば、 ServerName\ConnectorName や ConnectorName などです。

• delivery_priority: メッセージが 高、 低、または 標準 の優先順位で送信されたかどうかを示します。

メッセージの追跡を実行するときにルーティングの詳細を含めた場合、メッセージの追跡ログのすべての情報が .CSV ファイルに含まれます。このファイルは、Microsoft Excel などのアプリケーションで開くことができます。 このレポートに含まれる値の一部については前のセクションで説明しますが、調査目的で役立つ可能性のあるその他の値については、「 メッセージ追跡ログ ファイルのフィールド」を参照してください。

前述のフィールドのほかに、 custom_data フィールドに、フィルター サービスに固有の値が含まれる場合があります。 AGENTINFO イベントの custom_data フィールドは、メッセージの処理に関する詳細をログに書き込むためにさまざまなエージェントによって使用されます。 メッセージのデータ保護に関連するいくつかのエージェントについて、以下に説明します。

S:SFA から始まる文字列は、スパム フィルター エージェントからのエントリです。次のような重要な詳細情報を提供します。

メッセージにスパム フィルターが適用された場合の custom_data エントリのサンプルを次に示します。

S:SFA=SUM|SFV=SPM|IPV=CAL|SRV=BULK|SFS=470454002|SFS=349001|SCL=9|SCORE=-1|LIST=0|DI=SN|RD=ftmail.inc.com|H=ftmail.inc.com|CIP=98.129.140.74|SFP=1501|ASF=1|CTRY=US|CLTCTRY=|LANG=en|LAT=287|LAT=260|LAT=18;

S:AMA で始まる文字列は、マルウェア対策エージェントからのエントリです。次のような重要な詳細情報を提供します。

メッセージにマルウェアが含まれている場合の custom_data エントリのサンプルを次に示します。

S:AMA=SUM|v=1|action=b|error=|atch=1;S:AMA=EV|engine=M|v=1|sig=1.155.974.0|name=DOS/Test_File|file=filename;S:AMA=EV|engine=A|v=1|sig=201307282038|name=Test_File|file=filename

S:TRA で始まる文字列は、トランスポート ルール エージェントからのエントリであり、次のキーの詳細を提供します。

メッセージがメール フロー ルールと一致する場合、サンプル custom_data エントリは次のようになります。

S:TRA=ETR|ruleId=19a25eb2-3e43-4896-ad9e-47b6c359779d|st=7/17/2013 12:31:25 AM|action=ApplyHtmlDisclaimer|sev=1|mode=Enforce

「メッセージ追跡の FAQ」では、メッセージングに関してユーザーが抱くかもしれない質問とその回答を示します。 また、メッセージ トレース ツールを使用して、それらの回答を入手し、特定のメール配信問題をトラブルシューティングする方法についても説明します。

Exchange Online PowerShell または Exchange Online Protection PowerShell を使用してメッセージ トレースを実行できますか? 使用するコマンドレットは何ですか? は、メッセージ トレースの実行に使用できる PowerShell コマンドレットに関する情報を提供します。