Überwachung der WorkMail Amazon-Auditprotokolle

Sie können Auditprotokolle verwenden, um den Zugriff auf die Postfächer Ihrer WorkMail Amazon-Organisation zu überwachen. Amazon WorkMail protokolliert vier Arten von Prüfereignissen, und diese Ereignisse können in CloudWatch Logs, Amazon S3 oder Amazon Firehouse veröffentlicht werden. Sie können Auditprotokolle verwenden, um Benutzerinteraktionen mit den Postfächern Ihres Unternehmens, Authentifizierungsversuche, die Bewertung von Zugriffskontrollregeln zu überwachen und Aufrufe von Verfügbarkeitsanbietern an externe Systeme durchzuführen. Informationen zur Konfiguration der Überwachungsprotokollierung finden Sie unterAudit-Protokollierung aktivieren.

In den folgenden Abschnitten werden die von Amazon protokollierten Prüfereignisse WorkMail, der Zeitpunkt der Übertragung der Ereignisse und Informationen zu den Ereignisfeldern beschrieben.

Protokolle des Postfach-Zugriffs

Postfachzugriffsereignisse liefern Informationen darüber, welche Aktion für welches Postfachobjekt ergriffen (oder versucht) wurde. Für jeden Vorgang, den Sie für ein Element oder einen Ordner in einem Postfach ausführen möchten, wird ein Postfachzugriffsereignis generiert. Diese Ereignisse sind nützlich, um den Zugriff auf Postfachdaten zu überwachen.

Feld	Beschreibung
event_timestamp	Wann das Ereignis eingetreten ist, in Millisekunden seit der Unix-Zeit.
request_id	Die ID, die die Anfrage eindeutig identifiziert.
organization_arn	Der ARN der & WorkMail Amazon-Organisation, zu der der authentifizierte Benutzer gehört.
user_id	Die ID des authentifizierten Benutzers.
impersonator_id	Die ID des Imitators. Nur vorhanden, wenn die Identitätswechselfunktion für die Anfrage verwendet wurde.
Protokoll	Das verwendete Protokoll. Das Protokoll kann sein:AutoDiscover,EWS,IMAP,WindowsOutlook,ActiveSync,SMTP,WebMail,IncomingEmail, oderOutgoingEmail.
source_ip	Die Quell-IP-Adresse der Anfrage.
user_agent	Der Benutzeragent, der die Anfrage gestellt hat.
action	Die für das Objekt ausgeführte Aktion. Dies kann sein: readread_hierarchy,read_summary,,read_attachment,read_permissions,create,update,update_permissions,update_read_state,delete,submit_email_for_sending,abort_sending_email,move,move_to,copy, odercopy_to.
owner_id	Die ID des Benutzers, dem das Objekt gehört, auf das reagiert wird.
object_type	Der Objekttyp, der sein kann: Ordner, Nachricht oder Anlage.
item_id	Die ID, die die Nachricht eindeutig identifiziert, die der Betreff des Ereignisses ist oder die den Anhang enthält, der den Betreff des Ereignisses darstellt.
folder_path	Der Pfad des Ordners, für den eine Aktion ausgeführt wird, oder der Pfad des Ordners, der das Objekt enthält, auf das reagiert wird.
folder_id	Die ID, die den Ordner eindeutig identifiziert, der Gegenstand des Ereignisses ist oder der das Objekt enthält, das Gegenstand des Ereignisses ist.
attachment_path	Der Pfad der Anzeigenamen zum betroffenen Anhang.
action_allowed	Ob die Aktion erlaubt war. Kann wahr oder falsch sein.

Protokolle zur Zugriffskontrolle

Zugriffskontrollereignisse werden immer dann generiert, wenn eine Zugriffskontrollregel ausgewertet wird. Diese Protokolle sind nützlich, um verbotene Zugriffe zu überprüfen oder Zugriffskontrollkonfigurationen zu debuggen.

Feld	Beschreibung
event_timestamp	Wann das Ereignis eingetreten ist, in Millisekunden seit der Unix-Epoche.
request_id	Die ID, die die Anfrage eindeutig identifiziert.
organization_arn	Der ARN der WorkMail Organisation, zu der der authentifizierte Benutzer gehört.
user_id	Die ID des authentifizierten Benutzers.
impersonator_id	Die ID des Imitators. Nur vorhanden, wenn die Identitätswechselfunktion für die Anfrage verwendet wurde.
Protokoll	Das verwendete Protokoll, das sein kann:AutoDiscover,,EWS,IMAP,WindowsOutlook,,ActiveSync, SMTP WebMailIncomingEmail, oder. OutgoingEmail
source_ip	Die Quell-IP-Adresse der Anfrage.
scope	Der Geltungsbereich der Regel, der sein kann:AccessControl,DeviceAccessControl, oderImpersonationAccessControl.
rule_id	Die ID der übereinstimmenden Zugriffskontrollregel. Wenn keine Regeln übereinstimmen, ist rule_id nicht verfügbar.
access_granted	Ob der Zugriff erlaubt war. Kann wahr oder falsch sein.

Authentifizierungsprotokolle

Authentifizierungsereignisse enthalten Informationen über Authentifizierungsversuche.

Anmerkung

Authentifizierungsereignisse werden nicht für Authentifizierungsereignisse über die WorkMail WebMail Amazon-Anwendung generiert.

Feld	Beschreibung
event_timestamp	Wann das Ereignis eingetreten ist, in Millisekunden seit der Unix-Epoche.
request_id	Die ID, die die Anfrage eindeutig identifiziert.
organization_arn	Der ARN der WorkMail Organisation, zu der der authentifizierte Benutzer gehört.
user_id	Die ID des authentifizierten Benutzers.
user	Der Benutzername, mit dem die Authentifizierung versucht wurde.
Protokoll	Das verwendete Protokoll, das sein kann:AutoDiscover,EWS,IMAP,WindowsOutlook,ActiveSync,SMTP,WebMail,IncomingEmail, oderOutgoingEmail.
source_ip	Die Quell-IP-Adresse der Anfrage.
user_agent	Der Benutzeragent, der die Anfrage gestellt hat.
Methode	Die Authentifizierungsmethode. Derzeit wird nur Basic unterstützt.
auth_successful	Ob der Authentifizierungsversuch erfolgreich war. Kann wahr oder falsch sein.
auth_failed_reason	Der Grund für den Authentifizierungsfehler. Nur vorhanden, wenn die Authentifizierung fehlgeschlagen ist.

Protokolle des Verfügbarkeitsanbieters

Verfügbarkeitsanbieter-Ereignisse werden für jede Verfügbarkeitsanfrage generiert, die Amazon in Ihrem Namen an Ihren konfigurierten Verfügbarkeitsanbieter WorkMail stellt. Diese Ereignisse sind nützlich, um die Konfiguration Ihres Verfügbarkeitsanbieters zu debuggen.

Feld	Beschreibung
event_timestamp	Wann das Ereignis eingetreten ist, in Millisekunden seit der Unix-Epoche.
request_id	Die ID, die die Anfrage eindeutig identifiziert.
organization_arn	Der ARN der WorkMail Organisation, zu der der authentifizierte Benutzer gehört.
user_id	Die ID des authentifizierten Benutzers.
Typ	Der Typ des aufgerufenen Verfügbarkeitsanbieters. Dies kann sein: EWS oder. LAMBDA
Domain	Die Domain, für die die Verfügbarkeit erreicht wird.
function_arn	Der ARN des aufgerufenen Lambdas, falls der Typ LAMBDA ist. Andernfalls ist dieses Feld nicht vorhanden.
ews_endpoint	Der Typ des EWS-Endpunkts ist EWS. Andernfalls ist dieses Feld nicht vorhanden.
error_message	Die Meldung, die die Ursache des Fehlers beschreibt. Wenn die Anfrage erfolgreich war, ist dieses Feld nicht vorhanden.
availability_event_successful	Ob die Verfügbarkeitsanfrage erfolgreich bearbeitet wurde.