Exchange 中的訊息追蹤

適用於：Exchange Server 2013

在 Microsoft Exchange Server 2013 中，郵件追蹤記錄檔會在信箱伺服器上的傳輸服務、信箱伺服器上的信箱和邊緣傳輸伺服器上傳入及傳出郵件時詳細記錄所有的郵件活動。 您可以使用郵件追蹤記錄檔進行郵件鑑識、郵件流程分析、報告及疑難排解等工作。

在 Exchange 2013 中，因為 Exchange 2013 信箱伺服器含有傳輸服務與信箱，所以您可以使用 Set-TransportService Cmdlet 或 Set-MailboxServer Cmdlet 進行所有的郵件追蹤組態工作。 您可以使用其中一項 Cmdlet，進行下列郵件追蹤組態變更：

• 啟用或停用郵件追蹤。 預設值是啟用。
• 指定郵件追蹤記錄檔的位置。
• 指定個別郵件追蹤記錄檔的大小上限。 預設值是 10 MB。
• 指定含有郵件追蹤記錄檔之目錄的大小上限：預設值為 1000 MB。
• 指定郵件追蹤記錄檔的保留天數上限：預設為 30 天。
• 啟用或停用郵件追蹤記錄檔中的郵件主旨記錄。 預設值是啟用。

Exchange 預設會根據檔案大小及檔案保留天數，使用循環記錄來限制郵件追蹤記錄檔，以助控制郵件追蹤記錄檔所使用的硬碟空間。

搜尋郵件追蹤記錄檔

隨著郵件在 Exchange 2013 信箱伺服器中移動，郵件追蹤記錄檔會包含大量資料。 若要搜尋郵件追蹤記錄檔，您有不同的選項可以使用。

• Get-MessageTrackingLog：系統管理員可以使用此 Cmdlet 來搜尋訊息追蹤記錄檔，以取得使用各種篩選準則的訊息相關資訊。 如需詳細資訊，請參閱＜ 搜尋郵件追蹤記錄檔＞。

• 系統管理員的傳遞報告：系統管理員可以使用 Exchange 系統管理中心內的 [ 傳遞報告 ] 索引標籤， (EAC) 或基礎 Search-MessageTrackingReport 和 Get-MesageTrackingReport Cmdlet 來搜尋郵件追蹤記錄檔，以取得組織中特定信箱所傳送或接收之郵件的相關資訊。 如需詳細資訊，請參閱＜ 系統管理員的傳遞回報＞。

郵件追蹤記錄檔的結構

郵件追蹤記錄檔預設位於 %ExchangeInstallPath%TransportRoles\Logs\MessageTracking。

訊息追蹤記錄目錄中記錄檔的命名慣例是 MSGTRKyyyymmdd-nnnn.log 、 MSGTRKMAyyyymmdd-nnnn.log 、 MSGTRKMDyyyymmdd-nnnn.log 和 MSGTRKMSyyyymmdd-nnnn.log 。 不同的記錄檔分別供下列服務使用：

• MSGTRK：這些記錄會與傳輸服務相關聯。
• MSGTRKMA：這些記錄與仲裁傳輸所使用的核准和拒絕相關聯。 如需詳細資訊，請參閱＜管理郵件核准＞。
• MSGTRKMD：這些記錄與信箱傳輸傳遞服務傳遞至信箱的訊息相關聯。
• MSGTRKMS：這些記錄與信箱傳輸提交服務從信箱傳送的訊息相關聯。

記錄檔名稱中的預留位置代表下列資訊：

• 預留位置 yyyymmdd 是 UTC) 建立記錄檔的協調通用時間 (。 yyyy = year、 mm = month 和 dd = day。
• 預留位置 nnnn 是實例編號，從每個訊息追蹤記錄檔名稱前置詞的每日值 1 開始。

資訊會寫入每個記錄檔中，直到檔案大小達到每個記錄檔的最大指定值為止。 此時會開啟具有遞增之執行個體編號的新記錄檔。 這個程序會在一天當中不斷地重複。 當下列其中一種情況發生時，記錄檔輪替功能就會刪除最舊的記錄檔：

• 記錄檔達到指定的保留天數上限。

• 郵件追蹤記錄檔目錄達到指定的大小上限。

  重要事項

  郵件追蹤記錄檔目錄的大小上限，是以擁有相同名稱前置詞之所有記錄檔的總大小來計算。 其他不遵循名稱前置詞慣例的檔案，並不會納入總目錄大小的計算。 將舊的記錄檔重新命名或將其他檔案複製到郵件追蹤記錄檔目錄中，可能會導致該目錄超過其指定的大小上限。

  在 Exchange 2013 信箱伺服器上，郵件追蹤記錄目錄的大小上限是指定值的三倍。 雖然由這四種不同的服務所產生的郵件追蹤記錄檔有四種不同的名稱前置詞，但寫入至 MSGTRKMA 的資料數量與頻率，相較於其他三種記錄檔前置詞而言顯得微不足道。

郵件追蹤記錄檔是包含逗號分隔值 (CSV) 格式之資料的文字檔。 每個郵件追蹤記錄檔都有包含下列資訊的標頭：

• #Software：：建立訊息追蹤記錄檔的軟體名稱。 一般情況下，這個值是 Microsoft Exchange Server。

• #Version：： 建立訊息追蹤記錄檔的軟體版本號碼。 目前這個值為 15.0.0.0。

• #Log-Type：：記錄類型值，也就是訊息追蹤記錄檔。

• #Date：：建立記錄檔時的 UTC 日期時間。 UTC 日期時間會以 ISO 8601 日期時間格式表示： yyyy-mm-ddThh：mm：ss.fffZ、 其中 yyyy = year， mm = month， and dd = day， T 表示時間元件的開頭， hh = hour， mm = minute， ss = second， fff = fractions of a second， and Z 表示 Zulu，這是表示 UTC 的另一種方式。

• #Fields：：訊息追蹤記錄檔中使用的逗號分隔功能變數名稱。

郵件追蹤記錄檔中的欄位

郵件追蹤記錄檔會在記錄中將每個郵件事件儲存成一行。 郵件事件資訊會以欄位來組織，而這些欄位會以逗號分隔。 欄位名稱通常具有足夠的描述資訊，可用以判斷其內含的資訊類型。 但有些欄位可能會空白，或者，儲存在欄位中的資訊類型，可能會根據郵件事件類型以及記錄了該事件的郵件追蹤記錄檔的類型而變更。 下表提供將每個郵件追蹤事件進行分類時所使用欄位的一般描述。

郵件追蹤記錄檔中的事件類型

event-id 欄位中的各種事件類型可用來將郵件追蹤記錄檔中的郵件事件分類。 有些郵件事件只會出現在一種類型的郵件追蹤記錄檔中，有些郵件事件則會出現在所有類型的郵件追蹤記錄檔中。 下表說明用以分類每個郵件事件的事件類型。

郵件追蹤記錄檔中的來源值

在郵件追蹤記錄檔中， source 欄位的值可指出負責處理郵件追蹤事件的傳輸元件。 下表說明 source 欄位的值。

郵件追蹤記錄檔中的範例項目

在兩個使用者之間傳送未引發事件的郵件時，會在郵件追蹤記錄檔中產生數個項目。 您可以使用 Get-MessageTrackingLog Cmdlet 來查看結果。 如需詳細資訊，請參閱＜ 搜尋郵件追蹤記錄檔＞。

這是當使用者成功傳送測試訊息給使用者 chris@contoso.com 時所建立之訊息追蹤記錄專案的壓縮範例 michelle@contoso.com 。 這兩名使用者在同一部伺服器上都有信箱。

EventId    Source      Sender            Recipients             MessageSubject
-------    ------      ------            ----------             --------------
NOTIFYMAPI STOREDRIVER                   {}
RECEIVE    STOREDRIVER chris@contoso.com {michelle@contoso.com} test
SUBMIT     STOREDRIVER chris@contoso.com {michelle@contoso.com} test
HAREDIRECT SMTP        chris@contoso.com {michelle@contoso.com} test
RECEIVE    SMTP        chris@contoso.com {michelle@contoso.com} test
AGENTINFO  AGENT       chris@contoso.com {michelle@contoso.com} test
SEND       SMTP        chris@contoso.com {michelle@contoso.com} test
DELIVER    STOREDRIVER chris@contoso.com {michelle@contoso.com} test

郵件追蹤記錄的安全性考量

郵件追蹤記錄檔中不會儲存郵件內容。 依預設，郵件追蹤記錄檔中會儲存電子郵件的主旨行。 為了滿足日益提高的安全性或隱私權需求，您可能想停用郵件主旨記錄。 啟用或停用郵件主旨記錄前，請務必確認您組織中有關公開主旨列資訊的相關原則。 如需詳細資訊，請參閱＜設定郵件追蹤＞。