この記事でわかること
- 仕分けルール(受信トレイのルール)の作成・削除が、どの監査ログに記録されるか
- 管理者監査ログとメールボックス監査ログ、それぞれの記録条件の違い
- PowerShellで該当のログだけを絞り込んで出力する方法
仕分けルール(受信トレイのルール)の作成・削除は、管理者監査ログとメールボックス監査ログの両方に記録されます。ただし、この2つのログは記録される条件が異なるため、状況によってはどちらか一方にしか記録が残らないケースがあります。この記事では、それぞれのログの違いと、PowerShellでの確認方法をご紹介します。
以前使われていた
Search-MailboxAuditLog・Search-AdminAuditLogは既に廃止されており、現在は統合監査ログ(Search-UnifiedAuditLog)で取得する形に統一されています。詳細は別記事もあわせてご参照ください。
2つの監査ログの違い(サマリー)
| 項目 | 管理者監査ログ | メールボックス監査ログ |
|---|---|---|
| 記録される操作 | Outlook on the webでの作成・削除 | Outlookクライアントでの作成・削除 |
| 記録されない操作 | Outlookクライアントでの操作 | クライアントルールの作成・削除 |
| 絞り込む操作(Operations) | New-InboxRule, Remove-InboxRule | UpdateInboxRules |
| ルール名の確認箇所 | Name の値 | OperationProperties 内の RuleName の値 |
| 削除時の詳細情報 | ルール名など詳細情報は確認不可 | ルール名など詳細情報は確認不可 |
※どちらのログも、管理者の操作だけでなく、ユーザー自身が作成・削除した受信トレイのルールについても記録される動作を確認しています。
管理者監査ログ
管理者監査ログでは、Outlook on the web にて受信トレイのルールを作成、削除した場合に記録されます。Outlookクライアントから仕分けルールの作成・削除をした場合は記録されません。
ルールの作成については、ルール名や条件、処理などを確認することが可能ですが、削除についてはルール名など詳細な情報を確認することができません。ルール名は Name の値から確認できますが、条件や処理などはコマンドレットのパラメーターとして記録されるため、New-InboxRule のパラメーターと照らし合わせて判断する必要があります。
以下のコマンドレットで、統合監査ログから受信トレイのルールの作成・削除ログのみを出力できます。あらかじめ以下の記事を参考にExchange Online PowerShellに接続してから実行してください。
[構文]
Search-UnifiedAuditLog -StartDate "<開始日時>" -EndDate "<終了日時>" -ResultSize <ログを取得する件数> -Operations "<コマンドレット>" -Formatted -RecordType ExchangeAdmin | Export-CSV -Path <ファイルの出力場所\ファイル名.csv> -Encoding UTF8 -NoTypeInformation
[実行例]
Search-UnifiedAuditLog -StartDate "02/28/2025" -EndDate "03/13/2025" -ResultSize 5000 -Operations "New-InboxRule,Remove-InboxRule" -Formatted -RecordType ExchangeAdmin | Export-CSV -Path "C:\Temp\AdminAuditLog.csv" -Encoding UTF8 -NoTypeInformation
※実行例ではCドライブのTempフォルダーへ [AdminAuditLog] というファイル名で保存しています。既定では180日前までのログを取得できます(詳細は後述のTipsをご参照ください)。
出力されたCSVファイルの確認方法
出力されたExcelファイルの [AuditData] 列の [Name] 値で各パラメーター名を、[Value] 値でパラメーターに指定された値を確認できます。
Name Value ------------------------------ From user@contoso.com MoveToFolder 迷惑メールフォルダ Name testルール
上記の例では、「testルール」というルール名で、送信者が user@contoso.com の場合に迷惑メールフォルダへ移動するルールが作成されたことを示しています。また、[UserIds] 列で操作したユーザー、[CreationDate] 列で操作した日時を確認できます。[Operations] 列が「New-InboxRule」の場合はルールの作成、「Remove-InboxRule」の場合はルールの削除を示します。
ルールの条件や処理の詳細は、以下の公式リファレンスもあわせてご参照ください。
メールボックス監査ログ
メールボックス監査ログでは、Outlookクライアントから仕分けルールの作成、削除をした場合に記録されます。なお、Outlookクライアントのみで作成可能な「クライアントルール」は、作成・削除いずれの場合もログが記録されないことを確認しています。
UpdateInboxRules の監査項目として記録される動作で、作成についてはルール名や条件、処理などを確認できますが、削除についてはルール名など詳細な情報を確認できません。ルール名は OperationProperties 内の RuleName の値から確認でき、条件や処理は RuleActions に New-InboxRule のパラメーターとして記録されます。
ルールを作成した場合は OperationProperties の値に RuleOperation:AddMailboxRule、削除した場合は RuleOperation:RemoveMailboxRule と記録されます。
以下のコマンドレットで、統合監査ログから UpdateInboxRules の監査項目のみを出力できます。
[構文]
Search-UnifiedAuditLog -StartDate "<開始日時>" -EndDate "<終了日時>" -ResultSize <ログを取得する件数> -Operations "UpdateInboxRules" -Formatted | Export-CSV -Path <ファイルの出力場所\ファイル名.csv> -Encoding UTF8 -NoTypeInformation
[実行例]
Search-UnifiedAuditLog -StartDate "02/28/2025" -EndDate "03/13/2025" -ResultSize 5000 -Operations "UpdateInboxRules" -Formatted | Export-CSV -Path "C:\Temp\MailboxAuditLog.csv" -Encoding UTF8 -NoTypeInformation
※実行例ではCドライブのTempフォルダーへ [MailboxAuditLog] というファイル名で保存しています。既定では180日前までのログを取得できます。
出力される主な列
- CreationTime: オペレーションを実行した日時
- Operation: 操作の内容
- ClientIPAddress: クライアントのIPアドレス
- ClientInfoString: 操作したクライアントの情報
- ClientProcessName: クライアントプロセス名
- UserId: オペレーションを実行したユーザー名
- LogonType: メールボックスへのアクセスの種類(所有者(0)、管理者(1)、代理ユーザー(2)など)
- OperationProperties: ルールの詳細
Tips:大量のログを扱う場合・保持期間の延長
5,000件を超えるログを取得したい場合
-ResultSize で指定できる上限は5,000件です。それを超える件数を1回のコマンドで取得したい場合は、-SessionCommand ReturnLargeSet を組み合わせることで、最大50,000件まで分割取得できます。件数が多くなりそうな場合は、あらかじめこのオプションを利用することをおすすめします。
180日より前のログを確認したい場合
既定の監査ログ保持期間は180日です。Microsoft Purview監査(プレミアム)のライセンス(Microsoft 365 E5などに含まれる、またはアドオン)がある場合は、保持期間が365日まで延長されます。長期間のログ保持が必要な場合は、ライセンスの契約状況もあわせてご確認ください。
よくある質問
Q. Outlookクライアントで作成したルールが、管理者監査ログに記録されていません。なぜですか？
A. 管理者監査ログはOutlook on the webでの操作のみを記録する仕様のため、Outlookクライアントでの操作は記録されません。Outlookクライアントでの操作を確認したい場合は、メールボックス監査ログをご確認ください。
Q. ルールを削除した際の詳細な条件を確認したいのですが、可能ですか？
A. 現状、削除操作についてはルール名などの詳細情報を確認することができません。削除前にどのような条件のルールだったかを把握しておきたい場合は、作成時のログをあわせて確認する、または削除前に定期的にルール一覧をエクスポートしておくといった運用での対応が必要です。
Q. クライアントルール(Outlookクライアント限定の機能)の作成・削除は確認できませんか？
A. 確認できません。クライアントルールは、管理者監査ログ・メールボックス監査ログのいずれにも記録されない動作を確認しています。
まとめ
仕分けルールの作成・削除を監査ログで確認したい場合は、以下のポイントを押さえておきましょう。
- Outlook on the webでの操作は管理者監査ログ(
New-InboxRule/Remove-InboxRule)に記録される - Outlookクライアントでの操作はメールボックス監査ログ(
UpdateInboxRules)に記録される - いずれも作成時は詳細情報を確認できるが、削除時はルール名など詳細情報を確認できない
- クライアントルールはどちらのログにも記録されない
- 5,000件を超えるログは
-SessionCommand ReturnLargeSet、180日を超える保持期間はMicrosoft Purview監査(プレミアム)で対応する
操作したクライアントによって記録されるログが異なる点を理解しておくことで、調査時に無駄なく必要なログへたどり着けるようになります。
