企業中已經爲Office 365中Exchange Online啓用了審覈日誌，並且配置好了需要審覈的操作。當在正常的運行過程中，默認情況下郵箱的審覈日誌將保留90天。現在只要是符合審覈條件的操作，都將被記錄的日誌中。比如有管理員訪問的用戶的郵箱操作、有委派用戶刪除了用戶郵箱中的郵件等。每一條日誌中都會包含：訪問的時間、訪問的用戶、執行的操作、該操作是否執行成功等信息。
通過使用Exchange管理中心（EAC）可以獲取郵箱審覈日誌的內容。但是，由於Exchange Online的郵箱審覈日誌是通過XML格式提供的，並且是作爲附件形式發送到指定接收郵箱的。默認情況下，Exchange Online的Outlook Web App（OWA）是不支持XML附件的，因此，如果使用OWA作爲客戶端則需要額外配置啓用允許XML附件。
一、配置OWA允許XML附件
默認情況下，Exchange Online的OWA只允許如下擴展名的郵件附件：
而明確標記爲阻止的擴展名有：
1、如何瞭解Exchange Online的OWA默認支持或拒絕的附件格式
可以通過Get-OwaMailboxPolicy命令獲取當前Exchange Online的OWA支持或拒絕的所有附件文件擴展名格式
Get-OwaMailboxPolicy | Select-Object -ExpandProperty AllowedFileTypes
Get-OwaMailboxPolicy | Select-Object -ExpandProperty BlockedFileTypes
2、添加OWA支持XML附件格式文件
使用Set-OwaMailboxPolicy設置OWA郵箱策略，將XML格式擴展名添加到Exchange Online的OWA允許列表中。
Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -AllowedFileTypes @{add='.xml'}
通過Get-OwaMailboxPolicy查看結果，可以看見xml已經出現在允許列表中了。
如果不再需要支持那麼可以將其從允許列表中移除。
Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -AllowedFileTypes @{remove='.xml'}
3、保證XML不在OWA阻止附件格式文件列表中
同樣可以使用Set-OwaMailboxPolicy設置OWA郵箱策略，將指定格式的擴展名從Exchange Online的OWA阻止列表中移除。
Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -BlockedFileTypes @{remove='.xml'}
當然如果需要阻止一個特定格式的文件，可以直接用add在阻止列表中進行添加即可。
二、導出郵箱審覈日誌
在Exchange管理中心（EAC）中，點擊左側導航欄中的“合規性管理”，在右邊窗口中點擊“審覈”，然後點擊“導出郵箱審覈日誌”。
在彈出的“導出郵箱審覈日誌”頁面中，需要先後設置如下參數：
日誌的開始時間和結束時間，指定需要導出哪個用戶的郵箱審覈日誌或所有郵箱的審覈日誌。
默認情況下是搜索“全部非所有者”訪問日誌，此外還可以選擇其它類型。
全部非所有者：將包含組織內的管理員和受委派用戶的訪問，以及運行Exchange Online的微軟數據中心的管理員的訪問；
外部用戶：僅包含運行Exchange Online的微軟數據中心的管理員的訪問；
管理員和收委派用戶：僅包含組織內的管理員和受委派用戶的訪問；
管理員：僅包含組織內的管理員的訪問。
最後，指定接收審覈日誌的郵箱，點擊“導出”完成配置。
需要注意的是，收到郵件的過程較爲緩慢，EAC中提示“會在24小時內”發送給指定的收件人。
三、如何分析郵箱審覈日誌
當Exchange Online執行審覈日誌導出後，指定接收郵箱將收到如下格式的電子郵件：
附件中包含一個SearchResult.xml的文件。在該xml文件中，每一個事件都是以條目的形式出現的，一個條目是以“<Event”開頭，以“</Evnet>”結尾。
在一條事件中，比較有用的字段如下：
Owner：郵箱的所有者；
LastAccessd：該事件訪問郵箱的時間；
Operation：訪問者在郵箱中進行的操作；
OperationResult：操作是否成功？還是失敗；
Logon Type：非所有者訪問的類型，包括：管理員、受委派用戶和外部用戶；
FolderPathName：此次訪問受影響的文件夾路徑名稱；
ClientInfoString：此次訪問使用的客戶端軟件信息；
ClientIPAddress：此次訪問是從那個IP地址發起的；
InternalLogonType：此次訪問所使用的賬戶登錄類型；
MailboxOwnerUPN：此次訪問的郵箱的所有者的郵件地址；
LogonUserDN：此次訪問者的顯示名；
Subject：此次訪問涉及到的郵件主題。
通過上述信息，可以幫助企業很快定位用戶郵箱被非所有者訪問的具體情況，從而幫助企業進行合規、法務，以及訴訟方面的取得相關利益。