管理员审核日志结构

  • 项目

 

适用于： Exchange Server 2010 SP2, Exchange Server 2010 SP3

上一次修改主题： 2015-03-09

管理员审核日志包含关于 Exchange 命令行管理程序中已经运行的以及由 Exchange 管理控制台 (EMC) 和 Exchange 控制面板 (ECP) 运行的所有 cmdlet 和参数的记录。当您在 ECP 中运行导出配置更改报告或在命令行管理程序中运行 New-AdminAuditLogSearch cmdlet 时，会按需创建管理员审核日志。有关审核日志的详细信息，请参阅管理员审核日志记录概述。

审核日志是 XML 文件，并且可以包含多个审核日志条目。下表描述了每个 XML 标记及其关联特性。

审核日志 XML 标记和特性

元素 属性 描述

<?xml version="1.0" encoding="utf-8"?>

N/A

这是 XML 文档声明标记。每个审核日志 XML 文件中都包括此声明标记，该标记包含 XML 版本号和字符型编码值。

SearchResults

N/A

此标记包含 XML 文件中的所有审核日志条目。Event 标记是此标记的子级。

每个 XML 文件只有一个 SearchResults 标记。

Event

 

此标记包含单个 cmdlet 的审核日志条目。此标记包含 Caller、Cmdlet、ObjectModified、RunDate、Succeeded 和 Error 特性。CmdletParameters 和 ModifiedProperties 标记是此标记的子级。

每个审核日志条目有一个 Event 标记。

 

Caller

此特性包含在 Cmdlet 属性中运行 cmdlet 的用户的用户帐户。

 

Cmdlet

此特性包含用户在 Caller 属性中运行的 cmdlet 的名称。

 

ObjectModified

此特性包含由在 Cmdlet 属性中指定的 cmdlet 修改的对象。ModifiedProperties 标记显示修改了此对象的哪些属性。

 

RunDate

此特性包含运行 Cmdlet 属性中的 cmdlet 时的日期和时间。日期和时间存储为协调世界时 (UTC) 格式。

 

Succeeded

此特性说明 Cmdlet 属性中的 cmdlet 是否成功运行。值为 True 或 False。

 

Error

此特性包含 Cmdlet 属性中的 cmdlet 没有成功完成时生成的错误信息。如果没有出现错误，值将被设置为 None。

CmdletParameters

N/A

此标记包含运行 cmdlet 时指定的所有参数。Parameter 标记是此标记的子级。

每个 Event 标记有一个 CmdletParameters 标记。

Parameter

 

此标记包含运行 cmdlet 时指定的单个参数。此标记包含 Name 和 Value 特性。

每个 CmdletParameters 标记可以有多个 Parameter 标记。

 

Name

此特性包含运行 cmdlet 时指定的参数的名称。

 

Value

此特性包含为 Name 属性中指定的参数提供的值。

ModifiedProperties

N/A

此标记包含由运行的 cmdlet 修改的所有属性。Property 标记是此标记的子级。

每个 Event 标记有一个 ModifiedProperties 标记。

Property

 

此标记包含运行 cmdlet 时指定的单个属性。此标记包含 Name、OldValue 和 NewValue 特性。

每个 ModifiedProperties 标记可以有多个 Property 标记。

 

Name

此特性包含运行 cmdlet 时修改的属性的名称。

 

OldValue

此特性包含 Name 特性在更改之前指定的属性所包含的值。

 

NewValue

此特性包含 Name 特性中的属性更改后的值。

示例审核日志条目

以下是典型审核日志条目的示例。根据日志条目中的信息，我们知道发生了以下事件：

  • 2010 年 3 月 5 日下午 11:59 (UTC)，用户 Administrator 运行 cmdlet Set-Mailbox。

  • 运行 Set-Mailbox cmdlet 时提供了以下两个参数：

    • Identity 值为 david

    • ProhibitSendReceiveQuota 值为 1.727 GB

  • 修改了对象 david 中的以下两个属性：

    • ProhibitSendReceiveQuota，其新值为 1.727 GB，替换了旧值 523.4 MB

    • ObjectState，其新值为 Changed，替换了旧值 Unchanged

  • 操作没有发生任何错误，成功完成。

<?xml version="1.0" encoding="utf-8"?>
<SearchResults>
  <Event Caller="Wally14.extest.microsoft.com/Users/Administrator" Cmdlet="Set-Mailbox" ObjectModified="Wally14.extest.microsoft.com/Users/David" RunDate="3/5/2010 11:59:12 PM" Succeeded="true" Error="None">
    <CmdletParameters>
      <Parameter Name="Identity" Value="david" />
      <Parameter Name="ProhibitSendReceiveQuota" Value="1.727 GB (1,854,030,822 bytes)" />
    </CmdletParameters>
    <ModifiedProperties>
      <Property Name="ProhibitSendReceiveQuota" OldValue=" 523.4 MB (548,845,001 bytes) " NewValue="1.727 GB (1,854,030,822 bytes)" />
      <Property Name="ObjectState" OldValue="Unchanged" NewValue="Changed" />
    </ModifiedProperties>
  </Event>
</SearchResults>