Exchange 監査レコードのプロパティについて説明します

この記事では、 Search-UnifiedAuditLog によって返される Exchange 監査レコードに表示されるプロパティとフィールドについて説明します。 これは、メールボックスアクティビティを調査したり、監査出力を解析するためのスクリプトを作成したりする Exchange および Microsoft 365 管理者向けに作成されています。 主要なプロパティの簡潔な説明、一般的な操作の代表的な AuditData JSON、PowerShell 抽出の例、および一般的なプロパティ値と調査シナリオのクイック リファレンスがあります。

このリファレンスを使用して、次の内容を理解します。

• 監査レコードの結果の主要なプロパティ
• 各フィールドが表す内容と含まれる内容
• 一般的なプロパティ値とその意味
• 監査データから基本情報を抽出する方法

監査レコード構造リファレンス

Exchange 監査レコードには、監査されたアクティビティに関するさまざまな種類の情報を提供するいくつかのキー プロパティが含まれています。

プライマリ監査レコードのプロパティ

Search-UnifiedAuditLog を実行すると、各結果に次の主なプロパティが含まれます。

AuditData JSON 構造体リファレンス

AuditData プロパティには、JSON 形式の詳細情報が含まれています。 一般的な操作の一般的な JSON 応答構造を次に示します。

• Email削除 (SoftDelete/HardDelete)

{   
  "CreationTime": "2025-11-17T14:30:15",   
  "Id": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",   
  "Operation": "SoftDelete",   
  "OrganizationId": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",   
  "RecordType": 2,   
  "ResultStatus": "Success",   
  "UserKey": "user@domain.com",   
  "UserType": 0,   
  "Version": 1,   
  "Workload": "Exchange",   
  "ClientIP": "192.168.1.100",   
  "ObjectId": "AAMkADM2NDIyMzUzLWE1ZjQtNGVkNS04OGE3LTg5NzY4ZDc1ZTZhNwBGAAAAAAC7...",   
  "UserId": "user@domain.com",   
  "ClientInfoString": "Client=OWA;Mozilla/5.0...",   
  "ExternalAccess": false,   
  "InternalLogonType": 0,   
  "MailboxGuid": "87654321-4321-4321-4321-210987654321",   
  "MailboxOwnerUPN": "mailboxowner@domain.com",   
  "LogonType": 0,   
  "Item": {   
    "Id": "AAMkADM2NDIyMzUzLWE1ZjQtNGVkNS04OGE3LTg5NzY4ZDc1ZTZhNwBGAAAAAAC7...",   
    "Subject": "Meeting Request - Q4 Planning",   
    "ParentFolder": {   
      "Id": "AAMkADM2NDIyMzUzLWE1ZjQtNGVkNS04OGE3LTg5NzY4ZDc1ZTZhNwAuAAAAAAC7...",   
      "Name": "Inbox",   
      "Path": "[\\Inbox](file:///\\inbox\)"   
    }   
  },   
  "SessionId": "11111111-2222-3333-4444-555555555555"   
}

• メールボックス ルールの作成 (New-InboxRule)

{   
  "CreationTime": "2025-11-17T14:45:22",   
  "Id": "98765432-8765-8765-8765-876543218765",   
  "Operation": "New-InboxRule",   
  "OrganizationId": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",   
  "RecordType": 1,   
  "ResultStatus": "Success",   
  "UserKey": "user@domain.com",   
  "UserType": 0,   
  "Version": 1,   
  "Workload": "Exchange",   
  "ClientIP": "10.0.0.50",   
  "ObjectId": "InboxRule:aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",   
  "UserId": "user@domain.com",   
  "ClientInfoString": "Client=WebServices;ExchangeWebServices",   
  "MailboxGuid": "87654321-4321-4321-4321-210987654321",   
  "MailboxOwnerUPN": "mailboxowner@domain.com",   
  "Parameters": \[   
    {   
      "Name": "Name",   
      "Value": "Move Microsoft Security Emails"   
    },   
    {   
      "Name": "MoveToFolder",   
      "Value": "[\\Inbox\\Security](file:///\\inbox\Security)"   
    },   
    {   
      "Name": "From",   
      "Value": "security-noreply@microsoft.com"   
    }   
  \],   
  "SessionId": "22222222-3333-4444-5555-666666666666"   
} 

• メールボックス アクセス (MailItemsAccessed)

{   
  "CreationTime": "2025-11-17T15:00:10",   
  "Id": "13579246-1357-1357-1357-135792468135",   
  "Operation": "MailItemsAccessed",   
  "OrganizationId": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",   
  "RecordType": 50,   
  "ResultStatus": "Success",     
  "UserKey": "user@domain.com",   
  "UserType": 0,   
  "Version": 1,   
  "Workload": "Exchange",   
  "ClientIP": "203.0.113.45",   
  "UserId": "user@domain.com",   
  "ClientInfoString": "Client=ActiveSync;Apple-iPhone/1309.63",   
  "MailboxGuid": "87654321-4321-4321-4321-210987654321",   
  "MailboxOwnerUPN": "mailboxowner@domain.com",   
  "ClientAppId": "00000002-0000-0ff1-ce00-000000000000",   
  "Folders": \[   
    {   
      "Id": "AAMkADM2NDIyMzUzLWE1ZjQtNGVkNS04OGE3LTg5NzY4ZDc1ZTZhNwAuAAAAAAC7...",   
      "Path": "[\\Inbox](file:///\\inbox\)",   
      "FolderItems": \[   
        {   
          "Id": "AAMkADM2NDIyMzUzLWE1ZjQtNGVkNS04OGE3LTg5NzY4ZDc1ZTZhNwBGAAAAAAC7...",   
          "Subject": "Weekly Status Report"   
        }   
      \]   
    }   
  \],   
  "OperationCount": 5,   
  "SessionId": "33333333-4444-5555-6666-777777777777"   
} 

カテゴリ別に整理された主なフィールドを次に示します。

ユーザーとセッションの情報

アクティビティの詳細

ターゲット情報

基本的なデータ抽出手法

JSON データの変換

AuditData JSON から情報を抽出するには、次のコマンドを使用します。

\$AuditData = ConvertFrom-Json \$Results[0].AuditData \$AuditData.UserId \$AuditData.ClientIP \$AuditData.MailboxOwnerUPN

キー プロパティを表示する

読み取り可能な形式でメイン プロパティを表示するには、次のコマンドを使用します。

\$Results \| Select CreationDate, UserIds, Operations, @{Name="MailboxOwner";Expression={(ConvertFrom-Json \$\_.AuditData).MailboxOwnerUPN}} \| Format-Table -AutoSize

一般的なプロパティ値について

次の表は、監査レコードのプロパティにある一般的な値を理解するのに役立ちます。

操作の種類

RecordType 値

UserType 値

ClientInfoString の例

クイック リファレンス

調査に不可欠なプロパティ

便利な PowerShell 手法

次の手順

• 特定のメールボックス内のメールボックス アクティビティの監査ログを検索する: Exchange 監査プロパティに関する知識を適用して、特定のメールボックス アクティビティを検索します。
• PowerShell スクリプトを使用して監査ログを検索する: 自動監査ログ検索では、この記事の PowerShell 手法を使用します。
• MailItemsAccessed を使用して侵害されたアカウントを調査する: MailItemsAccessed 監査アクションを使用して Exchange メールボックスアクセス パターンを調査します。