Office 365 メッセージ追跡 REST API プロトコルの FAQ

Office 365 メッセージ追跡 REST API からログを収集するために必要な権限は何ですか?

Microsoft Entra ID でサービスプリンシパルに付与されたアプリケーションのアクセス許可を使用して、Exchange Online のメッセージトレースデータにアクセスします。 詳細については、以下を参照してください：Message Trace API の権限 ( https://learn.microsoft.com/en-us/exchange/monitoring/trace-an-email-message/graph-api-message-trace#permissions-required )。

Microsoft Office 365 Message Trace REST API プロトコルによって収集されるイベントには、どのような情報が含まれていますか?

Microsoft Message Trace REST API プロトコルは、電子メールメッセージが Exchange Online 組織を通過する際のトレース情報を返します。 メッセージの追跡機能により、テナント管理者はメールのライフサイクルを追跡し、配信状況（配信済み、保留中、配信失敗、または隔離中）を確認し、そのメールに対して適用された処理を把握することができます。 各メッセージについて、送信者、受信者、件名、受信日時、ステータス、および関連するメッセージトレースイベントなどのフィールドを返します

利用可能なフィールドの完全な一覧については、 「メッセージトレース」 リソース（ https://learn.microsoft.com/en-us/graph/api/resources/exchangemessagetrace?view=graph-rest-1.0 ）を参照してください。

イベント遅延オプションの用途を教えてください。

イベント遅延オプションは、イベントが欠落しないようにするために使用されます。 イベントの欠落は、このコンテキストでは、プロトコルがイベントの受信時刻よりも新しい時間フレームに照会範囲を更新した後でイベントが使用可能になったために発生します。 イベントが発生したにもかかわらず、Microsoft Message Trace REST API に投稿されなかった場合、プロトコルがそのイベントの作成時刻を照会しても、そのイベントを取得することはできません。

例 1: 次の例は、イベントがどのように失われるのかを示しています。

このプロトコルは、午後2時にMicrosoft Message Trace APIにクエリを送信し、午後1時から午後1時59分までのイベントを収集します。 Microsoft Message Trace API のレスポンスには、午後1時00分から午後1時59分の間に Microsoft Message Trace API で利用可能なイベントが返されます。 このプロトコルは、すべてのイベントが収集されたかのように動作し、午後3時にMicrosoft Message Trace APIに対して次のクエリを送信して、午後1時45分から午後2時59分の間に発生したイベントを取得します。 このシナリオの問題点は、Microsoft Message Trace API に、午後1時から午後1時59分の間に発生したイベントがすべて含まれていない可能性があることです。 あるイベントが午後1時58分に発生した場合、そのイベントは午後2時03分になるまでMicrosoft Message Trace APIでは利用できない可能性があります。 しかし、このプロトコルは既に午後 1 時から午後 1 時 59 分までの時刻範囲で照会しているため、その時刻範囲を再照会することはできず、重複イベントを取得することはありません。 この遅延は 1 分から 24 時間の範囲で変動します。

例 2: 次の例は例 1 を示していますが、このシナリオでは 15 分の遅延が追加されています。

この例では、プロトコルが照会呼び出しを行うときに 15 分の遅延を使用しています。 プロトコルが午後2時にMicrosoft Message Trace APIに対してクエリ呼び出しを行う際、午後1時から1時45分の間に発生したイベントを収集します。 このプロトコルは、すべてのイベントが収集されたかのように動作し、午後3時にMicrosoft Message Trace APIへ次のクエリを送信し、午後1時45分から午後2時45分の間に発生したすべてのイベントを収集します。 イベントは、例 1 のように欠落せず、午後 1 時 45 分から午後 2 時 45 分までの次の照会呼び出しで取得されます。

例 3: 次の例は例 2 を示していますが、このシナリオではイベントが翌日に入手可能になります。

イベントが午後1時58分に発生したにもかかわらず、Microsoft Message Trace API で利用可能になったのが翌日の午後1時57分だった場合、 例2 で説明されているイベント遅延は、そのイベントを捕捉できなくなります。 代わりに、イベント遅延をより大きい値 (この場合は 24 時間) に設定する必要があります。

イベント遅延オプションの仕組みを教えてください。

最後に受信したイベント時刻 から 現在時刻 までを問い合わせるのではなく、このプロトコルでは、最後に受信したイベント時刻 から 現在時刻 - <イベント遅延> までを問い合わせます。イベント遅延は秒単位です。 例えば、15 分 (900 秒) の遅延は、15 分前までのみ照会することを意味します。 このクエリでは、イベントが失われる前に、Microsoft Message Trace API がそのイベントを利用可能にするまでの時間を15分間設定します。 現在の時刻 - < イベント遅延 > が、 最後に受信したイベント時刻よりも小さい場合、プロトコルは Microsoft Message Trace API へのクエリを実行せず、その状態が解消されるまで待機してからクエリを実行します。

イベント遅延オプションにどの値を使用すればよいですか?

Microsoft Message Trace API では、イベントが利用可能になるまで最大 24 時間かかる場合があります。 イベントが欠落しないようにするために、「イベント遅延 (Event Delay)」パラメーター・オプションの値を 24 時間に設定できます。 ただし、イベント遅延が大きいほど、結果がリアルタイムでなくなります。 24 時間のイベント遅延を使用すると、発生してから 24 時間後にしかイベントを確認できません。 値は、受け入れ可能なリスクの程度や、リアルタイム・データの重要度によって異なります。 このデフォルトの遅延である 15 分は、設定された値をリアルタイムで提供します。また、ほとんどのイベントが欠落しないようにします。

メッセージトレース機能に関する詳細（よくある質問、トラブルシューティングのシナリオ、データの挙動など）については、「 Microsoft メッセージトレース FAQ 」（ https://learn.microsoft.com/en-us/exchange/monitoring/trace-an-email-message/message-trace-FAQ ）を参照してください。