Nachrichtenverfolgung

Das Nachrichtenverfolgungsprotokoll ist eine detaillierte Aufzeichnung aller Aktivitäten, wenn E-Mails die Transportpipeline auf Postfachservern und Edge-Transport-Servern durchlaufen. Sie können die Nachrichtenverfolgung für Nachrichtenforensik, Nachrichtenflussanalyse, Berichterstellung und Fehlerbehebung verwenden.

Standardmäßig verwendet Exchange die Zirkelprotokollierung, um das Nachrichtenverfolgungsprotokoll basierend auf der Dateigröße und dem Dateialter zu begrenzen, um den von den Protokolldateien verwendeten Festplattenspeicher zu steuern. Informationen zum Konfigurieren des Nachrichtenverfolgungsprotokolls finden Sie unter Konfigurieren der Nachrichtennachverfolgung.

Durchsuchen des Nachrichtenverfolgungsprotokolls

Nachrichtenverfolgungsprotokolle enthalten große Datenmengen, wenn Nachrichten über einen Postfachserver oder Edge-Transport-Server verschoben werden. Beim Durchsuchen der Nachrichtenverfolgungsprotokolle stehen Ihnen folgende Optionen zur Auswahl:

• Get-MessageTrackingLog: Administratoren können dieses Exchange-Verwaltungsshell-Cmdlet verwenden, um das Nachrichtenverfolgungsprotokoll mithilfe einer Vielzahl von Filterkriterien nach Informationen zu Nachrichten zu durchsuchen. Weitere Informationen finden Sie unter Durchsuchen von Nachrichtenverfolgungsprotokollen.

• Übermittlungsberichte für Administratoren: Administratoren können die Registerkarte Übermittlungsberichte im Exchange Admin Center oder die zugrunde liegenden Cmdlets Search-MessageTrackingReport und Get-MessageTrackingReport in der Exchange-Verwaltungsshell verwenden, um die Nachrichtenverfolgungsprotokolle nach Informationen zu Nachrichten zu durchsuchen, die von einem bestimmten Postfach im organization gesendet oder empfangen werden. Weitere Informationen finden Sie unter Übermittlungsberichte für Administratoren.

Struktur der Protokolldateien der Nachrichtenverfolgung

Standardmäßig sind die Protokolldateien für die Nachrichtennachverfolgung in %ExchangeInstallPath%TransportRoles\Logs\MessageTrackingvorhanden. Der Ordner enthält Protokolldateien mit unterschiedlichen Namen, aber alle folgen der Namenskonvention MSGTRKServiceyyyyMMdd-nnnn.log. Die verschiedenen Protokolldateinamen werden in der folgenden Tabelle beschrieben.

Die anderen Platzhalter in den Protokolldateinamen stehen für folgende Informationen:

• yyyyMMddd ist das Koordinierte Datum der Weltzeit (UTC), an dem die Protokolldatei erstellt wurde. yyyy = Jahr, MM = Monat und TT = Tag.

• Der Platzhalter nnnn ist eine Instanznummer, die mit dem Wert 1 für jeden Tag beginnt.

In die Protokolldatei werden solange Informationen geschrieben, bis die für die Datei festgelegte maximale Größe erreicht ist. Dann wird eine neue Protokolldatei mit der nächsthöheren Instanznummer geöffnet. Die zirkuläre Protokollierung löscht die ältesten Protokolldateien für einen Dienst, wenn eine der folgenden Bedingungen zutrifft:

• Eine Protokolldatei erreicht ihr Höchstalter.

• Der Ordner für Nachrichtenverfolgungsprotokolle erreicht seine maximal zulässige Größe.

  Hinweise:

  • Die maximale Größe des Nachrichtenverfolgungsprotokollordners wird als Gesamtgröße aller Protokolldateien berechnet, die das gleiche Namenspräfix aufweisen. Andere Dateien, die nicht der Namenspräfixkonvention entsprechen, werden in der Berechnung der Gesamtordnergröße nicht gezählt. Das Umbenennen alter Protokolldateien oder das Kopieren anderer Dateien in den Nachrichtenverfolgungsprotokollordner kann dazu führen, dass der Ordner seine angegebene maximale Größe überschreitet.

  • Auf Postfachservern beträgt die maximale Größe des Nachrichtenverfolgungsprotokollordners das Dreifache des angegebenen Werts. Obwohl die Protokolldateien für die Nachrichtenverfolgung von den vier verschiedenen Diensten generiert werden und vier unterschiedliche Namenspräfixe aufweisen, ist die Menge und Häufigkeit der Daten, die in das moderierte Transportprotokoll (MSGTRKMA) geschrieben werden, im Vergleich zu den anderen drei Protokollen vernachlässigbar.

Bei den Protokolldateien der Nachrichtenverfolgung handelt es sich um Textdateien, die Daten im CSV-Format (Comma Separated Value, durch Komma getrennte Werte) enthalten. Jede Datei enthält eine Kopfzeile mit den folgenden Informationen:

• #Software: Der Wert ist Microsoft Exchange Server.

• #Version: Versionsnummer des Exchange-Servers, der die Protokolldatei zur Nachrichtenverfolgung erstellt hat. Der -Wert verwendet das Format 15.01.nnnn.nnn.

• #Log-Type: Der Wert ist Message Tracking Log.

• #Date: Das UTC-Datum und die Uhrzeit der Erstellung der Protokolldatei. Das UTC-Datum/Uhrzeit-Format wird im ISO 8601-Datums-/Uhrzeitformat dargestellt: yyyy-MM-ttThh:mm:ss.fffZ, Wobei yyyy = Jahr, MM = Monat, dd = Tag, T den Anfang der Zeitkomponente angibt, hh = Stunde, mm = Minute, ss = Sekunde, fff = Bruchteile einer Sekunde und Z steht für Zulu, was eine andere Möglichkeit zum Bezeichnen von UTC ist.

• #Fields: Kommagetrennte Feldnamen, die in den Nachrichtenverfolgungs-Protokolldateien verwendet werden.

Felder in den Protokolldateien für die Nachrichtenverfolgung

Im Nachrichtenverfolgungsprotokoll werden die einzelnen Nachrichtenereignisse jeweils in einer einzelnen Zeile gespeichert. Die Nachrichtenereignisinformationen sind in Feldern organisiert, die durch Kommas voneinander getrennt sind. Anhand des Feldnamens kann im Allgemeinen festgestellt werden, welchen Informationstyp das jeweilige Feld enthält. Einige Felder können jedoch leer sein, oder die Art der Informationen im Feld kann sich basierend auf dem Nachrichtenereignistyp und dem Dienst, der das Ereignis aufgezeichnet hat, ändern. Allgemeine Beschreibungen der Felder, die zum Klassifizieren der einzelnen Protokollereignisse verwendet werden, werden in folgenden Tabelle erläutert.

Ereignistypen im Nachrichtenverfolgungsprotokoll

Verschiedene Ereignistypen im Feld event-id dienen zum Klassifizieren der Nachrichtenereignisse im Nachrichtenverfolgungsprotokoll. Einige Nachrichtenereignisse werden nur in einem Typ von Protokolldatei für die Nachrichtenverfolgung angezeigt, andere hingegen in allen. Die Ereignistypen, die zum Klassifizieren der einzelnen Nachrichtenereignisse verwendet werden, sind in Tabelle 1 beschrieben.

Quellwerte im Nachrichtenverfolgungsprotokoll

Die Werte im Feld source im Nachrichtenverfolgungsprotokoll geben die Transportkomponente an, die für das Nachrichtenverfolgungsereignis zuständig ist. In der folgenden Tabelle werden die Werte des Felds source beschrieben.

Beispieleinträge im Nachrichtenverfolgungsprotokoll

Eine ereignislose Nachricht, die zwischen zwei Benutzern gesendet wurde, generiert mehrere Einträge im Nachrichtenverfolgungsprotokoll. Sie können die Ergebnisse mit dem Cmdlet Get-MessageTrackingLog überprüfen. Weitere Informationen finden Sie unter Durchsuchen von Nachrichtenverfolgungsprotokollen.

Dies ist ein Beispiel für die Nachrichtenverfolgungsprotokolleinträge, die erstellt werden, wenn der Benutzer chris@contoso.com erfolgreich eine Testnachricht an den Benutzer michelle@contoso.comsendet. Beide Benutzer haben Postfächer auf demselben Server.

EventId    Source      Sender            Recipients             MessageSubject
-------    ------      ------            ----------             --------------
NOTIFYMAPI STOREDRIVER                   {}
RECEIVE    STOREDRIVER chris@contoso.com {michelle@contoso.com} test
SUBMIT     STOREDRIVER chris@contoso.com {michelle@contoso.com} test
HAREDIRECT SMTP        chris@contoso.com {michelle@contoso.com} test
RECEIVE    SMTP        chris@contoso.com {michelle@contoso.com} test
AGENTINFO  AGENT       chris@contoso.com {michelle@contoso.com} test
SEND       SMTP        chris@contoso.com {michelle@contoso.com} test
DELIVER    STOREDRIVER chris@contoso.com {michelle@contoso.com} test

Sicherheitsüberlegungen zum Nachrichtenverfolgungsprotokoll

Im Nachrichtenverfolgungsprotokoll wird kein Nachrichteninhalt gespeichert. Standardmäßig wird die Betreffzeile einer E-Mail-Nachricht im Nachrichtenverfolgungsprotokoll gespeichert. Möglicherweise müssen Sie die Antragstellerprotokollierung deaktivieren, um erhöhte Sicherheits- oder Datenschutzanforderungen zu erfüllen. Anweisungen zum Deaktivieren der Betreffprotokollierung finden Sie unter Konfigurieren der Nachrichtennachverfolgung.