Monitoraggio dei log WorkMail di controllo di Amazon

Puoi utilizzare i log di controllo per monitorare l'accesso alle caselle di posta della tua Amazon WorkMail Organization. Amazon WorkMail registra quattro tipi di eventi di controllo e questi eventi possono essere pubblicati su CloudWatch Logs, Amazon S3 o Amazon Firehouse. Puoi utilizzare i log di controllo per monitorare l'interazione degli utenti con le caselle di posta dell'organizzazione, i tentativi di autenticazione, la valutazione delle regole di controllo degli accessi ed eseguire chiamate dei provider di disponibilità a sistemi esterni. Per informazioni sulla configurazione della registrazione di controllo, vedere. Abilitazione della registrazione di controllo

Le seguenti sezioni descrivono gli eventi di controllo registrati da Amazon WorkMail, quando gli eventi vengono trasmessi e le informazioni sui campi degli eventi.

Registri di accesso alle cassette postali

Gli eventi di accesso alla cassetta postale forniscono informazioni su quale azione è stata intrapresa (o tentata) su quale oggetto della cassetta postale. Viene generato un evento di accesso alla cassetta postale per ogni operazione che si tenta di eseguire su un elemento o una cartella in una cassetta postale. Questi eventi sono utili per controllare l'accesso ai dati delle cassette postali.

Campo	Descrizione
event_timestamp	Quando si è verificato l'evento, in millisecondi dall'epoca di Unix.
request_id	L'ID che identifica in modo univoco la richiesta.
organization_arn	L'ARN dell' WorkMail organizzazione & Amazon a cui appartiene l'utente autenticato.
user_id	L'ID dell'utente autenticato.
impersonator_id	L'ID dell'imitatore. Presente solo se la funzione di impersonificazione è stata utilizzata per la richiesta.
protocol	Il protocollo utilizzato. Il protocollo può essere: AutoDiscoverEWS,IMAP,WindowsOutlook,ActiveSync, SMTPWebMail,IncomingEmail, oOutgoingEmail.
source_ip	L'indirizzo IP di origine della richiesta.
user_agent	L'agente utente che ha effettuato la richiesta.
action	L'azione intrapresa sull'oggetto, che può essere: readread_hierarchy,read_summary,read_attachment,read_permissions,create,update,update_permissions, update_read_statedelete,submit_email_for_sending,abort_sending_email,move,move_to,copy, ocopy_to.
owner_id	L'ID dell'utente proprietario dell'oggetto su cui si sta agendo.
object_type	Il tipo di oggetto, che può essere: cartella, messaggio o allegato.
id_articolo	L'ID che identifica in modo univoco il messaggio che è l'oggetto dell'evento o che contiene l'allegato che è l'oggetto dell'evento.
percorso_cartella	Il percorso della cartella su cui si sta agendo o il percorso della cartella contenente l'elemento su cui si sta agendo.
folder_id	L'ID che identifica in modo univoco la cartella oggetto dell'evento o che contiene l'oggetto dell'evento.
pathment_path	Il percorso dei nomi visualizzati dell'allegato interessato.
action_allowed	Se l'azione è stata consentita. Può essere vero o falso.

Registri di controllo degli accessi

Gli eventi di controllo degli accessi vengono generati ogni volta che viene valutata una regola di controllo degli accessi. Questi registri sono utili per controllare gli accessi vietati o per eseguire il debug delle configurazioni di controllo degli accessi.

Campo	Descrizione
event_timestamp	Quando si è verificato l'evento, in millisecondi dall'epoca di Unix.
request_id	L'ID che identifica in modo univoco la richiesta.
organization_arn	L'ARN dell' WorkMail organizzazione a cui appartiene l'utente autenticato.
user_id	L'ID dell'utente autenticato.
impersonator_id	L'ID dell'imitatore. Presente solo se la funzione di impersonificazione è stata utilizzata per la richiesta.
protocol	Il protocollo utilizzato, che può essere:AutoDiscover,,EWS,IMAP,WindowsOutlook,ActiveSync, SMTP WebMailIncomingEmail, o. OutgoingEmail
source_ip	L'indirizzo IP di origine della richiesta.
scope	L'ambito della regola, che può essere: AccessControlDeviceAccessControl, oImpersonationAccessControl.
rule_id	L'ID della regola di controllo degli accessi corrispondente. Quando non ci sono regole corrispondenti, rule_id non è disponibile.
access_granted	Se l'accesso era consentito. Può essere vero o falso.

Registri di autenticazione

Gli eventi di autenticazione contengono informazioni sui tentativi di autenticazione.

Nota

Gli eventi di autenticazione non vengono generati per gli eventi di autenticazione tramite l' WorkMail WebMail applicazione Amazon.

Campo	Descrizione
event_timestamp	Quando si è verificato l'evento, in millisecondi dall'epoca Unix.
request_id	L'ID che identifica in modo univoco la richiesta.
organization_arn	L'ARN dell' WorkMail organizzazione a cui appartiene l'utente autenticato.
user_id	L'ID dell'utente autenticato.
Utente	Il nome utente con cui è stata tentata l'autenticazione.
protocol	Il protocollo utilizzato, che può essere:AutoDiscover,EWS,IMAP,WindowsOutlook,ActiveSync,SMTP, WebMailIncomingEmail, oOutgoingEmail.
source_ip	L'indirizzo IP di origine della richiesta.
user_agent	L'agente utente che ha effettuato la richiesta.
metodo	Il metodo di autenticazione. Attualmente è supportata solo la versione di base.
auth_successful	Se il tentativo di autenticazione ha avuto successo. Può essere vero o falso.
auth_failed_reason	Il motivo dell'errore di autenticazione. Presente solo se l'autenticazione non è riuscita.

Registri del provider di disponibilità

Gli eventi del provider di disponibilità vengono generati per ogni richiesta di disponibilità WorkMail che Amazon effettua per tuo conto al provider di disponibilità configurato. Questi eventi sono utili per eseguire il debug della configurazione del provider di disponibilità.

Campo	Descrizione
event_timestamp	Quando si è verificato l'evento, in millisecondi dall'epoca Unix.
request_id	L'ID che identifica in modo univoco la richiesta.
organization_arn	L'ARN dell' WorkMail organizzazione a cui appartiene l'utente autenticato.
user_id	L'ID dell'utente autenticato.
type (tipo)	Il tipo di provider di disponibilità richiamato, che può essere: EWS o. LAMBDA
domain	Il dominio per il quale viene ottenuta la disponibilità.
function_arn	L'ARN della Lambda richiamata, se il tipo è LAMBDA. Altrimenti, questo campo non è presente.
ews_endpoint	Il tipo di endpoint EWS è EWS. Altrimenti, questo campo non è presente.
error_message	Il messaggio che descrive la causa dell'errore. Se la richiesta ha avuto successo, questo campo non è presente.
availability_event_successful	Se la richiesta di disponibilità è stata soddisfatta con successo.