フォーラムこのフォーラムは終了しました。ご投稿いただきありがとうございました。他の場所でヘルプを入手する場合は、リソースページにアクセスしてください。:UserAExchange管理者:Exchadmin【シナリオ】UserAに届いているメールをExchadminが管理者権限を使用してメールを盗み見た場合にExchadminがどこから、何のメールを、いつ開いたか監査ログから追うことができるかAuditlogを有効にすれば監査ログ自体は取得できると思われますが上記シナリオは実現できますでしょうか。出来るとすれば管理者監査ログを提示運用として取得し、不要な権限を付与していないかをチェックすることで担保されるのではないでしょうか?そもそも権限がないと無理なので。10:401サインインして投票まずは簡単にお答えできるところから回答します。監査ログの容量は概ね1件あたり2KB程度で各ユーザのメールボックス内に格納されます。監査が必要なイベントのみ記録する形になりますので、通常時は記録されません。デフォルトは90日間保存されますが、この日数は変更可能です。したがって、あまり容量のこと自体は気にしなくて良いと思いますが、Exchangeのメールボックス内に単一フォルダとして格納されますので、あまり大量に(100万件超など)保存し続けると、検索や読み出しが極端に遅くなったりタイムアウトするようになってしまいます。管理者権限を持った人間が悪意を持って...という点ですが、Exchangeの管理権限を悪意を持って利用している人に対して、Exchangeの機能を使ってそれを防御・監査しようというのは絶対無理とは言いませんが、少し対策法としては筋が悪いと思います。Directoryの管理権限を持っている人間は理論上様々なアプローチを使ってそれをくぐり抜けることが可能です。いくつか例を書きますね。Directory環境であればユーザー側の端末からのアプローチも可能でしょうし、色々な方法があると思います。対策ですが、個々のアプローチ方法に対して対策を取ることは可能ですが、どの方法を使っても完璧という物はありません。悪意のある管理者から守るためには、別のアプローチでの防御を組み合わせる方が有効だと思います。Onlineを使うと考慮が必要な項目がかなり減りますね。18:07すべての返信0サインインして投票UserAのメールボックスにおいて、メールボックス監査ログを有効化すればログを取得可能です。ログとして取得できる項目については以下で紹介されておりますが、頂いた要件は満たすと思います。各ユーザーのメールボックス自体へのアクセス権限は不要と思われますので、権限設計自体の見直しを並行して実施されることをお勧めさせていただきます。2:010サインインして投票ご回答ありがとうございます。シナリオとして少々ずれておりましたので再度確認させてください。実際のシナリオとしては、管理者権限など強力な権限を認知している人物が一般ユーザのメールを見れるよう悪意を持って権限設定を行いメールを開いた場合に検知あるいは後々確認できるようにしたいという意図があります。UserAを指定してログを有効化するというよりは、全ユーザの監査ログを有効にし自分以外のユーザがメールを開いたということを監査できればといった形です。その場合、全ユーザのメールボックスの監査ログを有効にし日時などでCSVに吐き出させ、MailboxOwnerUPNとLogonUserDisplayNameがそれぞれ別ユーザだった場合に確認できるのではと考えております。上記を踏まえたうえで下記確認させて頂けますでしょうか。・ユーザ数:2000・1日当たりの受信メール流量/人:100ご確認宜しくお願い致します。出来るとすれば管理者監査ログを提示運用として取得し、不要な権限を付与していないかをチェックすることで担保されるのではないでしょうか?そもそも権限がないと無理なので。10:401サインインして投票まずは簡単にお答えできるところから回答します。監査ログの容量は概ね1件あたり2KB程度で各ユーザのメールボックス内に格納されます。監査が必要なイベントのみ記録する形になりますので、通常時は記録されません。デフォルトは90日間保存されますが、この日数は変更可能です。したがって、あまり容量のこと自体は気にしなくて良いと思いますが、Exchangeのメールボックス内に単一フォルダとして格納されますので、あまり大量に(100万件超など)保存し続けると、検索や読み出しが極端に遅くなったりタイムアウトするようになってしまいます。管理者権限を持った人間が悪意を持って...という点ですが、Exchangeの管理権限を悪意を持って利用している人に対して、Exchangeの機能を使ってそれを防御・監査しようというのは絶対無理とは言いませんが、少し対策法としては筋が悪いと思います。Directoryの管理権限を持っている人間は理論上様々なアプローチを使ってそれをくぐり抜けることが可能です。いくつか例を書きますね。Directory環境であればユーザー側の端末からのアプローチも可能でしょうし、色々な方法があると思います。対策ですが、個々のアプローチ方法に対して対策を取ることは可能ですが、どの方法を使っても完璧という物はありません。悪意のある管理者から守るためには、別のアプローチでの防御を組み合わせる方が有効だと思います。Onlineを使うと考慮が必要な項目がかなり減りますね。