【Exchange】メッセージ追跡で包括的レポートがダウンロードできない？

## Exchangeのメッセージ追跡機能とは
Exchange管理センター上に”メッセージ追跡”という項目があります。
[メッセージ追跡](https://learn.microsoft.com/ja-jp/exchange/monitoring/trace-an-email-message/message-trace-modern-eac)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3618331/9bfb8433-782d-2e21-f6ac-8d4a40de399f.png)
*[Exchange管理センター]-[メールフロー]-[メッセージ追跡]*
こちらの機能は、メールの送受信が行われた際の”送信者/受信者”,”成功/失敗”などのメッセージの追跡ログを確認できます。

ここでは詳細については割愛させて頂きますが、メッセージ追跡機能を利用する流れは概ね以下の通りです。

:::note 
1.メッセージ追跡を行う範囲（日時,送信者,受信者など）の指定を行う
2.ログの確認に必要なレポートを出力する
（要約レポート、増補要約レポート、包括的レポートの3種から選択）
3.増補要約レポート、包括的レポートを選んだ場合、対象のレポートをダウンロードする
4.レポートの内容を確認する
:::

上記の流れの通り”要約レポート”に関しては出力したものをすぐに管理センター上で確認することが出来ますが、”増補要約レポート”及び”包括的レポート”は一度ダウンロードしないと内容を確認できません。
（コネクタを利用しているケースなど、メッセージイベントの詳細を確認したい場合には包括的レポートの利用が必要となります）

ただし、意外な原因により「必要な手順を実施しているのに何故かダウンロード時にエラーが出てしまう…」という事象が発生することもあります。
当記事ではレポートのダウンロード方法及び注意点について確認していきます。

## レポートのダウンロード方法
### 事前準備
操作を実行するユーザーには以下の割り当てが必要です。
・グローバル管理者ロール
（実際に利用する権限はExchange Onlineアクセス許可: Organization Management）

管理者権限を**個別に付与された**ユーザーを準備してください。


### 実行手順
ここでは包括的レポートを出力する場合の流れを記載します。
☆手順の詳細を確認したい場合は[こちら](https://learn.microsoft.com/ja-jp/exchange/monitoring/trace-an-email-message/message-trace-modern-eac)を参考にしてください

1.Exchange管理センターへ管理者ユーザーでアクセスし、[Exchange管理センター]-[メールフロー]-[メッセージ追跡]と画面遷移します

2.メッセージ追跡を行う範囲（日時,送信者,受信者など）の指定を行い、"包括的レポート”にチェックを入れます
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3618331/ccf68f51-d738-2811-d6f0-99f08ab59a72.png)

3.ログの確認に必要なレポートを出力します
![SnapCrab_NoName_2023-12-6_9-37-3_No-00.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3618331/378b404a-c8ca-4eab-55cd-5cbd4c3da45a.png)

4.レポートの出力が開始され、出力が完了すると”ダウンロード可能なレポート”にレポートが表示されます
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3618331/c5b59fa2-7025-d686-5682-3c8a1a2c543e.png)

5.対象レポートをクリックして開き、”レポートのダウンロード”をクリックすることでダウンロードが開始されます
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3618331/2de7b2e4-907b-2652-d2ec-8841c75a8830.png)

### 注意点
実行手順の5.を実行した際に以下のような画面が表示され、ダウンロードが出来ないケースがあります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3618331/c5ce17e0-c67a-3385-86d6-591c361b9a4d.png)

こちらの事象が発生する原因は**管理者権限が個別に付与されていない**ということです。

例えば以下のようなケースです。

:::note warn
複数の管理者対象ユーザーを1つのセキュリティグループで管理しており、グループに対して管理者ロールを付与しているケース
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3618331/1442216c-55d9-7e3d-a342-858332452fff.png)
（上記の場合、”adminグループ”に所属したユーザーはグローバル管理者権限をグループによって付与される）
*[Entra管理センター]-[グループ]-[割り当てられたロール]*
:::

上記のケースのような、**グループによって管理者権限が付与されたユーザー**でレポート発行を実施するとエラーが発生してしまいます（掲載時時点）

こちらの回避方法として確認出来ているのは
・管理者グループから対象ユーザーを外し、管理者権限を個別に付与する
・レポートダウンロードを実施する管理者ユーザーをOrganization ManagementにByNameで追加する
の2点です。


後者の手順を簡潔に記載します。

1.Microsoft Defenderへ管理者ユーザーでアクセスし、[Microsoft Defender]-[アクセス許可]と画面遷移します
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3618331/9fa86734-33f4-3bc7-6320-de56fbb81033.png)

2.Organization Managementをクリックし、"編集"をクリックします
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3618331/9406d745-b89a-c3ed-a289-7300aa5da6bf.png)

3.役割グループのメンバー編集画面で、"ユーザーの選択”をクリックし、レポートダウンロードを実施する管理者ユーザーをメンバーに追加します
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3618331/3775b094-7354-9943-1021-5128246bab4c.png)

4.確認画面で、"保存”をクリックします
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3618331/bf407ebe-51a2-fa93-7607-8b1f28928516.png)


以上の手順を実施することでレポートのダウンロードに必要なOrganization Management権限を個別で付与されたこととなり、レポートのダウンロードが実施可能となります。

### まとめ
Exchangeを利用する上でメッセージ追跡機能の利用は欠かせないかと思います。
ただ、個人的には包括的レポートのダウンロードを利用する頻度はそこまで高くないと感じており、ふとした時のダウンロードが失敗すると非常に困るなー…と思いこちらの記事に備忘を兼ねて記載しました。

Exchangeのアクセス許可関連はどうにも複雑ですが、上手に活用していきましょう。