Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

Microsoft Graph Mail Delegated

Microsoft Graph Mail | Microsoft Graph Mail Delegated

本文档介绍了如何将 Microsoft Graph Mail Delegated 与 Google Security Operations (Google SecOps) 集成。

准备工作

在配置 Microsoft Graph Mail Delegated 集成之前，请先完成以下准备工作：

创建 Microsoft Entra 应用。
为您的应用配置 API 权限。
创建客户端密钥。
生成刷新令牌。

创建 Microsoft Entra 应用

如需创建 Microsoft Entra 应用，请完成以下步骤：

以用户管理员或密码管理员身份登录 Azure 门户。
选择 Microsoft Entra ID。
依次前往应用注册 > 新注册。
输入应用名称。
选择合适的受支持账号类型。
使用以下值配置 Redirect URI：
1. 站台：Web
2. 重定向网址：http://localhost
点击注册。

本文档提供了一个使用单租户设置的示例。由于此集成使用 OAuth 2.0 授权代码流程，因此会发生交互式用户登录流程。因此，在设置过程中需要 Redirect URI。
保存应用（客户端）ID 和目录（租户）ID 值，以配置集成参数。

配置 API 权限

如需为集成配置 API 权限，请完成以下步骤：

在 Azure 门户中，依次前往 API 权限 > 添加权限。
依次选择 Microsoft Graph > 委托权限。
在选择权限部分中，选择以下必需权限：
- Mail.Read
- Mail.ReadWrite
- Mail.Send
- User.Read
- Directory.Read.All
注意：如需与共享邮箱互动，请确保进行身份验证的用户账号对目标共享邮箱具有明确的委托访问权限，并在 Microsoft Entra 应用配置中分配相应的委托权限（例如 Mail.Read.Shared 或 Mail.Send.Shared）。
点击添加权限。
点击为 ORGANIZATION_NAME 授予管理员同意书。

当授予管理员同意书确认对话框出现时，点击是。

创建客户端密钥

如需创建客户端密钥，请完成以下步骤：

依次前往证书和密钥 > 新客户端密钥。
提供客户端密钥的说明，并设置其到期期限。
点击 Add（添加）。
保存客户端密钥的值（而非密钥 ID），以便在配置集成时将其用作客户端密钥值参数值。客户端密钥值仅显示一次。

生成刷新令牌

如需生成刷新令牌，请完成以下步骤：

配置集成参数（Refresh Token 参数除外）并保存。
可选：在 Google SecOps 中模拟案例。
运行获取授权操作。
运行生成令牌操作。
配置 Refresh Token 参数。

可选：模拟支持请求

如需生成刷新令牌，请对任意支持请求执行手动操作。如果您的 Google SecOps 实例是新实例且没有现有案例，请模拟一个案例。

如需在 Google SecOps 中模拟案例，请按以下步骤操作：

在左侧导航栏中，选择支持请求。
在案例页面上，依次点击 add 添加案例 > 模拟案例。
选择任一默认用例，然后点击创建。您选择模拟哪种情况并不重要。
点击模拟。

如果您有默认环境以外的环境，并且想要使用该环境，请选择正确的环境，然后点击模拟。
在支持请求标签页中，点击刷新。您模拟的支持请求会显示在支持请求列表中。

运行“获取授权”操作

如需手动运行获取授权操作，请完成以下步骤：

在案例标签页中，选择任意案例或使用模拟案例打开案例视图。
在支持请求视图中，点击 手动操作。
在手动操作搜索字段中，输入 Microsoft Graph Mail Delegated。
在 Microsoft Graph Mail Delegated 集成下的结果中，选择获取授权。此操作会返回一个授权链接，用于以交互方式登录 Microsoft Entra 应用。
点击执行。
执行操作后，前往该支持请求的支持请求墙。在 Microsoft Graph Mail Delegated_Get Authorization 操作记录中，点击查看更多。复制授权链接。
在无痕模式下打开一个新的浏览器窗口，然后粘贴生成的授权网址。系统会打开 Azure 登录页面。
使用您在集成时所用的用户凭证登录。登录后，浏览器会将您重定向到一个地址，地址栏中会显示一个代码。

浏览器应该会显示错误，因为应用会将您重定向到 http://localhost。
从地址栏中复制包含访问代码的完整网址。

运行“生成令牌”操作

如需手动运行生成令牌操作，请完成以下步骤：

在案例标签页中，选择任意案例或使用模拟案例打开案例视图。
在支持请求视图标签页中，点击 手动操作。
在手动操作搜索字段中，输入 Microsoft Graph Mail Delegated。
在 Microsoft Graph Mail Delegated 集成下的结果中，选择生成令牌。
在 Authorization URL 字段中，粘贴您在运行获取身份验证操作后复制的包含访问代码的完整网址。
点击执行。
执行操作后，前往支持请求的支持请求墙。在 Microsoft Graph Mail Delegated_Generate Token 操作记录中，点击查看更多。
复制生成的刷新令牌的完整值。

配置“刷新令牌”参数

前往 Microsoft Graph Mail Delegated 集成的配置对话框。
在刷新令牌字段中，输入您在生成令牌操作中获取的刷新令牌值。
点击保存。
点击测试，测试配置是否正确以及集成是否按预期运行。

集成参数

Microsoft Graph Mail Delegated 集成需要以下参数：

参数	说明
`Microsoft Entra ID Endpoint`	必填。要在集成中使用的 Microsoft Entra ID 端点。不同租户类型的值可能不同。默认值为 `https://login.microsoftonline.com`。
`Microsoft Graph Endpoint`	必填。要在集成中使用的 Microsoft Graph 端点。不同租户类型的值可能不同。默认值为 `https://graph.microsoft.com`。
`Client ID`	必填。要在集成中使用的 Microsoft Entra 应用的客户端（应用）ID。
`Client Secret Value`	必填。要在集成中使用的 Microsoft Entra 应用的客户端密钥值。
`Microsoft Entra ID Directory ID`	必填。 Microsoft Entra ID（租户 ID）值。
`User Mailbox`	必填。要在集成中使用的邮箱。
`Refresh Token`	必填。用于进行身份验证的刷新令牌。
`Redirect URL`	必填。您在创建 Microsoft Entra ID 应用时配置的重定向网址。默认值为 `http://localhost`。
`Mail Field Source`	必填。如果选中，集成会从用户详细信息 `mail` 属性中检索邮箱地址。如果未选择，集成会从 `userPrincipalName` 字段中检索邮箱地址。默认处于启用状态。
`Verify SSL`	必填。如果选中此选项，集成会在连接到 Microsoft Graph 服务器时验证 SSL 证书。默认处于启用状态。
`Base64 Encoded Private Key`	可选。用于解密 S/MIME 加密电子邮件的 Base64 编码私钥。如果提供了值，您还必须提供 `Base64 Encoded Certificate`。
`Base64 Encoded Certificate`	可选。用于解密 S/MIME 加密电子邮件的 Base64 编码证书。如果提供了值，您还必须提供 `Base64 Encoded Private Key`。
`Base64 Encoded CA certificate`	可选。用于签名验证的 Base64 编码可信 CA 证书。如果未提供任何值，则传入的已签名电子邮件的签名验证会失败，除非启用了 `Bypass S/MIME Signature Verification`。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在后续阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅在工作桌上响应待处理的操作和在案例中运行手动操作。

屏蔽网域

使用屏蔽网域操作，将特定电子邮件网域添加到目标邮箱中的邮件规则，从而屏蔽这些网域。如果该规则不存在，系统会创建该规则。

此操作是异步的。根据需要在 Google SecOps 集成开发环境 (IDE) 中调整操作超时。

操作输入

屏蔽网域操作需要以下参数：

参数	说明
`Domains`	可选。要屏蔽的发件人网域的逗号分隔列表（例如 `example.com`）。在此字段中手动输入的网域和从实体中动态提取的网域会协同工作，并且都会添加到规则条件中。
`Mailboxes`	必需。默认值为 `Default Mailbox`。要添加邮件规则的目标邮箱。注意：只能为经过身份验证的用户邮箱创建邮件规则。如需管理其他邮箱中的规则，请使用 Microsoft Graph Mail 集成。
`Rule Name`	必需。默认值为 `Google SecOps - Blocked Domains`。要将这些网域添加到的邮件规则的名称。如果该规则已存在，则会更新。
`Action`	必需。默认值为 `Select One`。应针对这些网域执行的操作。可能的值：`Select One`、`moveToJunk`、`delete`。`Move To Junk` 会将这些邮件移至“垃圾邮件”文件夹，而 `Delete` 会将这些邮件路由到“已删除邮件”。如果规则存在，`Select One` 会保留现有操作。
`How many mailboxes to process in a single batch`	可选。默认值为 `1`。指定该操作应在单个批次中处理多少个邮箱。

操作输出

屏蔽网域操作会提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例说明了使用屏蔽网域操作时收到的 JSON 结果输出：

{
    "status": "Success",
    "mailbox": "user@domain.com",
    "blocked_domain": "malicious-domain.com"
}

输出消息

屏蔽网域操作会提供以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully blocked domain DOMAIN for mailbox MAILBOX.`	操作成功。
`Failed to block domain DOMAIN for mailbox MAILBOX. Reason: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭证。

Successfully blocked domain DOMAIN for mailbox MAILBOX.

操作成功。

Failed to block domain DOMAIN for mailbox MAILBOX. Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表介绍了使用屏蔽网域操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

屏蔽发件人

使用屏蔽发件人操作，将指定电子邮件发件人添加到目标邮箱中的邮件规则，从而屏蔽这些发件人。如果该规则不存在，系统会创建该规则。

此操作是异步的。根据需要在 Google SecOps 集成开发环境 (IDE) 中调整操作超时。

操作输入

屏蔽发件人操作需要以下参数：

参数	说明
`Senders`	可选。要屏蔽的发件人邮箱地址的逗号分隔列表。发件人手动输入此字段，而从实体中动态提取的发件人会协同工作，并且都会添加到规则条件中。
`Mailboxes`	必需。默认值为 `Default Mailbox`。要添加邮件规则的目标邮箱。注意：只能为经过身份验证的用户邮箱创建邮件规则。如需管理其他邮箱中的规则，请使用 Microsoft Graph Mail 集成。
`Rule Name`	必需。默认值为 `Google SecOps - Blocked Senders`。要将这些发件人添加到的邮件规则的名称。如果该规则已存在，则会更新。
`Action`	必需。默认值为 `Select One`。应针对这些发件人采取的操作。可能的值：`Select One`、`Move To Junk`、`Delete`。`Move To Junk` 会将这些邮件移至“垃圾邮件”文件夹，而 `Delete` 会将这些邮件路由到“已删除邮件”。如果规则存在，`Select One` 会保留现有操作。
`How many mailboxes to process in a single batch`	可选。默认值为 `1`。指定该操作应在单个批次中处理多少个邮箱。

操作输出

屏蔽发件人操作会提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例说明了使用屏蔽发件人操作时收到的 JSON 结果输出：

[
  {
    "Entity": "user@example.com",
    "EntityResult": {
      "successful_mailboxes": [
        "target@example.com"
      ],
      "failed_mailboxes": []
    }
  }
]

输出消息

Block Sender 操作会提供以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully blocked sender SENDER for mailbox MAILBOX.`	操作成功。
`Failed to block sender SENDER for mailbox MAILBOX. Reason: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭证。

Successfully blocked sender SENDER for mailbox MAILBOX.

操作成功。

Failed to block sender SENDER for mailbox MAILBOX. Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表介绍了使用屏蔽发件人操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

删除电子邮件

您可以使用删除电子邮件操作从邮箱中删除一封或多封电子邮件。此操作会根据您的搜索条件删除电子邮件。如果拥有适当的权限，删除电子邮件操作可以将电子邮件移至不同的邮箱。

此操作是异步的。根据需要在 Google SecOps 集成开发环境 (IDE) 中调整操作超时。

此操作不会在 Google SecOps 实体上运行。

操作输入

删除电子邮件操作需要以下参数：

参数	说明
`Delete In Mailbox`	必填。要在其中运行删除操作的默认邮箱。如果权限允许，该操作还可以在其他邮箱中搜索。此参数接受以逗号分隔的字符串形式的多个值。
`Folder Name`	必填。用于搜索电子邮件的邮箱文件夹。如需指定子文件夹，请使用 `/` 正斜杠，例如 `Inbox/Subfolder`。
`Mail IDs`	可选用于搜索具有特定电子邮件 ID 的电子邮件的过滤条件。此参数接受要搜索的电子邮件 ID 的逗号分隔列表。如果提供了此参数，搜索会忽略 `Subject Filter` 和 `Sender Filter` 参数。
`Subject Filter`	可选指定要搜索的电子邮件主题的过滤条件。
`Sender Filter`	可选指定所请求电子邮件的发件人的过滤条件。
`Timeframe (Minutes)`	可选一个过滤条件，用于指定搜索电子邮件的时间范围（以分钟为单位）。
`Only Unread`	可选如果选中此选项，该操作将仅搜索未读邮件。默认情况下不选择。
`How many mailboxes to process in a single batch`	可选在单个批次（与邮件服务器的单个连接）中处理的邮箱数量。默认值为 `25`。

操作输出

下表介绍了与删除电子邮件操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

删除电子邮件操作会提供以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully deleted emails in the following mailboxes: MAILBOX_NAME: DELETED_EMAILS_NUMBER` `Mailbox MAILBOX was not found.`	操作成功。
`Action was not able to find any emails based on the specified search criteria.` `Action failed to delete any emails because the provided mailbox folder name was not found in the mailbox(es): MAILBOX_NAME, MAILBOX_FOLDER` `Failed to find any of the provided mailboxes: MAILBOX_LIST` `Failed to execute action, the error is: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭证。

Successfully deleted emails in the following mailboxes: MAILBOX_NAME: DELETED_EMAILS_NUMBER

Mailbox MAILBOX was not found.

操作成功。

Action was not able to find any emails based on the specified search criteria.

Action failed to delete any emails because the provided mailbox folder name was not found in the mailbox(es): MAILBOX_NAME, MAILBOX_FOLDER

Failed to find any of the provided mailboxes: MAILBOX_LIST

Failed to execute action, the error is:
      ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表介绍了使用删除电子邮件操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

删除收件箱规则

使用删除收件箱规则操作可删除指定邮箱的指定收件箱邮件规则。此操作是异步的。根据需要在 Google SecOps 集成开发环境 (IDE) 中调整操作超时。

操作输入

删除收件箱规则操作需要以下参数：

参数说明

参数	说明
`Mailboxes`	必需。默认值为 `Default Mailbox`。要从中删除邮件规则的目标邮箱。注意：邮件规则只能从经过身份验证的用户邮箱中删除。如需管理其他邮箱中的规则，请使用 Microsoft Graph Mail 集成。
`Rule Name`	必填。要删除的收件箱消息规则的确切名称。
`How many mailboxes to process in a single batch`	可选。默认值为 `1`。指定该操作应在单个批次中处理多少个邮箱。默认值为 1，因为操作仅限于经过身份验证的用户的邮箱。

Mailboxes

必需。默认值为 Default Mailbox。

要从中删除邮件规则的目标邮箱。注意：邮件规则只能从经过身份验证的用户邮箱中删除。如需管理其他邮箱中的规则，请使用 Microsoft Graph Mail 集成。

Rule Name

必填。

要删除的收件箱消息规则的确切名称。

How many mailboxes to process in a single batch

可选。默认值为 1。

指定该操作应在单个批次中处理多少个邮箱。默认值为 1，因为操作仅限于经过身份验证的用户的邮箱。

操作输出

删除收件箱规则操作会提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例说明了使用删除收件箱规则操作时收到的 JSON 结果输出：

{
    "deleted_rule": [
        "New test cases"
    ],
    "successful_mailboxes": [
        "labops1@siemplifycyarx.onmicrosoft.com"
    ],
    "failed_mailboxes": [
        "user2@example.com",
        "user3@example.com"
    ]
}

输出消息

Delete Inbox Rules 操作会提供以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully deleted inbox rule RULE_NAME from mailbox MAILBOX.`	操作成功。
`Failed to delete inbox rule RULE_NAME from mailbox MAILBOX. Reason: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭证。

Successfully deleted inbox rule RULE_NAME from mailbox MAILBOX.

操作成功。

Failed to delete inbox rule RULE_NAME from mailbox MAILBOX. Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表介绍了使用删除收件箱规则操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

下载电子邮件中的附件

使用从电子邮件下载附件操作，根据提供的条件从电子邮件下载附件。

此操作不会在 Google SecOps 实体上运行。

此操作是异步的。如有必要，请在 Google SecOps IDE 中调整脚本超时值。

该操作会替换 \` forward slash or/backslash characters in the names of the downloaded attachments with the_` 下划线字符。

操作输入

从电子邮件下载附件操作需要以下参数：

参数	说明
`Search In Mailbox`	必填。运行搜索操作的默认邮箱。如果权限允许，该操作还可以在其他邮箱中搜索。此参数接受以逗号分隔的字符串形式的多个值。
`Folder Name`	必填。要在其中运行搜索的邮箱文件夹。如需指定子文件夹，请使用 `/` 正斜杠，例如 `Inbox/Subfolder`。
`Download Destination`	必填。用于保存下载的附件的存储类型。默认情况下，该操作会尝试将附件保存到 Cloud Storage 存储桶。将附件保存到本地文件系统是后备选项。可能的值包括 `GCP Bucket` 和 `Local File System`。默认值为 `GCP Bucket`。
`Download Path`	必填。下载附件的路径。将附件保存到 Cloud Storage 存储桶或本地文件系统时，该操作要求您以类似 Unix 的格式指定下载路径，例如 `/tmp/test`。
`Mail IDs`	可选用于搜索具有特定电子邮件 ID 的电子邮件的过滤条件。此参数接受要搜索的电子邮件 ID 的逗号分隔列表。如果提供了此参数，搜索会忽略 `Subject Filter` 和 `Sender Filter` 参数。
`Subject Filter`	可选指定要搜索的电子邮件主题的过滤条件。此过滤条件使用 `contains` 逻辑。
`Sender Filter`	可选指定所请求电子邮件的发件人的过滤条件。此过滤条件使用 `equals` 逻辑。
`Download Attachments From EML`	可选如果选择此选项，该操作会从 EML 文件中下载附件。默认情况下不选择。
`Download attachments to unique path?`	可选如果选中，该操作会将附件下载到 `Download Path` 参数字段中提供的唯一路径，以避免覆盖之前下载的任何附件。默认情况下不选择。
`How many mailboxes to process in a single batch`	可选在单个批次（与邮件服务器的单个连接）中处理的邮箱数量。默认值为 `25`。

操作输出

下载电子邮件中的附件操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例说明了使用从电子邮件下载附件操作时收到的 JSON 结果输出：

[
    {
        "attachment_name": "name1.png",
        "downloaded_path": "file_path/name1.png"
    },
    {
        "attachment_name": "name2.png",
        "downloaded_path": "file_path/name2.png"
    }
]

输出消息

从电子邮件下载附件操作提供以下输出消息：

输出消息消息说明

输出消息	消息说明
`Downloaded NUMBER_OF_ATTACHMENTS attachments. Files: PATHS.` `Failed to find emails in MAILBOX with the following mail ids: EMAIL_IDS.` `In the mailboxes listed below, emails were found, but there were no attachments to download. Affected mailboxes: MAILBOXES. Mail IDs without attachments to download: LIST_OF_EMAIL_IDS attachments.`	操作成功。
`Failed to find any emails using the provided criteria!` `Failed to find any of the provided mailboxes: MAILBOXES` `Action failed to run because the provided mailbox folder name FOLDER_NAME was not found in the mailbox MAILBOX`。 `Error executing action. Reason: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭据。

Downloaded NUMBER_OF_ATTACHMENTS attachments. Files: PATHS.

Failed to find emails in MAILBOX with the following mail ids: EMAIL_IDS.

In the mailboxes listed below, emails were found, but there were no attachments to download. Affected mailboxes: MAILBOXES. Mail IDs without attachments to download: LIST_OF_EMAIL_IDS attachments.

操作成功。

Failed to find any emails using the provided criteria!

Failed to find any of the provided mailboxes: MAILBOXES

Action failed to run because the provided mailbox folder name FOLDER_NAME was not found in the mailbox MAILBOX。

Error executing action. Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。

脚本结果

下表介绍了使用从电子邮件下载附件操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

从附加的 EML 中提取数据

使用从附加的 EML 中提取数据操作，从电子邮件 EML 附件中检索数据，并在操作结果中返回这些数据。此操作支持 .eml、.msg 和 .ics 文件格式。

此操作不会在 Google SecOps 实体上运行。

操作输入

从附加的 EML 中提取数据操作需要以下参数：

参数	说明
`Search In Mailbox`	必填。运行搜索操作的默认邮箱。如果权限允许，该操作还可以在其他邮箱中搜索。此参数接受以逗号分隔的字符串形式的多个值。
`Folder Name`	可选要在其中运行搜索的邮箱文件夹。如需指定子文件夹，请使用 `/` 正斜杠，例如 `Inbox/Subfolder`。
`Mail IDs`	必填。用于搜索具有特定电子邮件 ID 的电子邮件的过滤条件。此参数接受以英文逗号分隔的电子邮件 ID 列表，用于搜索。
`Regex Map JSON`	可选一个 JSON 定义，其中包含要应用于所附电子邮件文件的正则表达式，并在操作 JSON 结果中生成其他键值。此参数值的示例如下： {ips: \\b\\\\d{1,3}\\\\.\\\\d{1,3}\\\\.\\\\d{1,3}\\\\.\\\\d{1,3}\\b}

操作输出

从附加的 EML 中提取数据操作会提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例说明了使用从附加的 EML 中提取数据操作时收到的 JSON 结果输出：

[
    {
        "type": "EML",
        "subject": "examplesubject",
        "from": "sender@example.com",
        "to": "user1@example.com,user2@example.com",
        "date": "Thu,4Jul202412:11:29+0530",
        "text": "text",
        "html": "<p>example-html</p>",
        "regex": {},
        "regex_from_text_part": {},
        "id": "ID",
        "name": "example.eml"
    },
    {
        "type": "MSG",
        "subject": "examplesubject",
        "from": "user@example.com",
        "to": "user1@example.com,user2@example.com",
        "date": "Thu,4Jul202412:11:29+0530",
        "text": "text",
        "html": "<p>examplehtml</p>",
        "regex": {},
        "regex_from_text_part": {},
        "id": "ID",
        "name": "example.msg"
    },
    {
        "type": "ICS",
        "subject": "examplesubject",
        "from": "sender@example.com",
        "to": "user1@example.com,user2@example.com",
        "date": "Thu,4Jul202412:11:29+0530",
        "text": "text",
        "html": "<p>example-html</p>",
        "regex": {},
        "regex_from_text_part": {},
        "id": "ID",
        "name": "example.ics"
    }
]

输出消息

从附加的 EML 中提取数据操作会提供以下输出消息：

输出消息消息说明

输出消息	消息说明
`Extracted data from ATTACHMENT_NAMES attached email files. Files: PATHS` `Failed to find emails in MAILBOX with the following mail ids: MAIL_ID_LIST`	操作成功。
`Failed to find any emails using the provided criteria!` `Failed to find any of the provided mailboxes: MAILBOX_LIST` `Action failed to run because the provided mailbox folder name MAILBOX_FOLDER was not found in the mailbox MAILBOX` `Failed to execute action, the error is: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭据。

Extracted data from ATTACHMENT_NAMES attached email files. Files: PATHS

Failed to find emails in MAILBOX with the following mail ids: MAIL_ID_LIST

操作成功。

Failed to find any emails using the provided criteria!

Failed to find any of the provided mailboxes: MAILBOX_LIST

Action failed to run because the provided mailbox folder name MAILBOX_FOLDER was not found in the mailbox MAILBOX

Failed to execute action, the error is:
      ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。

脚本结果

下表介绍了使用从附加的 EML 中提取数据操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

转发邮件

使用转发电子邮件操作转发包含先前会话串的电子邮件。如果拥有适当的权限，此操作可以从集成配置中指定的邮箱以外的邮箱发送电子邮件。

此操作不会在 Google SecOps 实体上运行。

操作输入

转发电子邮件操作需要以下参数：

参数	说明
`Send From`	必填。用于发送电子邮件的可选电子邮件地址（如果权限允许）。默认情况下，电子邮件是从集成配置中指定的默认邮箱发送的。
`Folder Name`	可选要搜索电子邮件的邮箱文件夹。如需指定子文件夹，请使用 `/` 正斜杠，例如 `Inbox/Subfolder`。
`Mail ID`	必填。要转发的邮件的 ID。
`Subject`	必填。邮件主题。
`Send to`	必填。以英文逗号分隔的电子邮件收件人电子邮件地址列表，例如 `user1@example.com, user2@example.com`。
`CC`	可选电子邮件抄送字段的电子邮件地址逗号分隔列表。格式与 `Send to` 参数相同。
`BCC`	可选电子邮件密送字段的电子邮件地址逗号分隔列表。格式与 `Send to` 参数相同。
`Attachments Paths`	可选服务器上存储的文件附件路径的逗号分隔列表，例如 `/FILE_DIRECTORY/file.pdf`、`/FILE_DIRECTORY/image.jpg`。
`Mail content`	必填。邮件正文。

操作输出

下表介绍了与转发电子邮件操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

转发电子邮件操作会提供以下输出消息：

输出消息消息说明

Email with message ID MAIL_ID was forwarded successfully. 操作成功。

输出消息	消息说明
`Email with message ID MAIL_ID was forwarded successfully.`	操作成功。
`Error executing action "Forward Email" because the provided mail id EMAIL_ID was not found.` `Action failed to delete any emails because the provided mailbox folder name was not found in the mailbox(es): MAILBOX: MAILBOX_FOLDER` `Action failed to run because specified attachments were not found: ATTACHMENTS_LIST` `Failed to execute action, the error is: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭证。

Error executing action "Forward Email" because the provided mail id EMAIL_ID was not found.

Action failed to delete any emails because the provided mailbox folder name was not found in the mailbox(es): MAILBOX: MAILBOX_FOLDER

Action failed to run because specified attachments were not found: ATTACHMENTS_LIST

Failed to execute action, the error is: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表介绍了使用转发电子邮件操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

生成令牌

使用生成令牌操作，为采用委托身份验证的集成配置获取刷新令牌。使用您在获取授权操作中收到的授权网址。

此操作不会在 Google SecOps 实体上运行。

首次生成刷新令牌后，我们建议您配置并激活刷新令牌续订作业，以便该作业自动续订并使刷新令牌保持有效。

操作输入

生成令牌操作需要以下参数：

参数	说明
`Authorization URL`	必需。您在获取授权操作中收到的授权网址。请求刷新令牌时需要提供该网址。

操作输出

生成令牌操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

生成令牌操作可能会返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully fetched the refresh token: TOKEN_VALUE. Enter this token in the integration configuration to authenticate with delegated permissions on behalf of the user that performed the configuration steps. We recommend you to configure a Refresh Token Renewal Job after you generate the initial refresh token so the job automatically renews and keeps the token valid.`	操作成功。
`Failed to generate a token because the authorization URL that you provided is incorrect. The "code" parameter is missing. Make sure to copy the whole URL properly.` `Failed to get the refresh token! Error is ERROR_REASON` `Failed to connect to the Microsoft Graph Mail service! Error is ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭据。

Successfully fetched the refresh token: TOKEN_VALUE. Enter this token in the integration configuration to authenticate with delegated permissions on behalf of the user that performed the configuration steps. We recommend you to configure a Refresh Token Renewal Job after you generate the initial refresh token so the job automatically renews and keeps the token valid.

操作成功。

Failed to generate a token because the authorization URL that you provided is incorrect. The "code" parameter is missing. Make sure to copy the whole URL properly.

Failed to get the refresh token! Error is ERROR_REASON

Failed to connect to the Microsoft Graph Mail service! Error is ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用生成令牌操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

获取授权

使用获取授权操作获取包含委托身份验证访问代码的链接。复制整个链接，并在生成令牌操作中使用该链接来获取刷新令牌。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

获取授权操作会提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

获取授权操作可能会返回以下输出消息：

输出消息消息说明

Authorization URL generated successfully. To obtain a URL with access code, go to the link below as the user that you configured for the integration. Provide the URL with the access code in the Generate Token action. 操作成功。

输出消息	消息说明
`Authorization URL generated successfully. To obtain a URL with access code, go to the link below as the user that you configured for the integration. Provide the URL with the access code in the Generate Token action.`	操作成功。
`Failed to generate the authorization URL! Error is ERROR_REASON` `Failed to connect to the Microsoft Graph Mail service! Error is ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭据。

Failed to generate the authorization URL! Error is ERROR_REASON

Failed to connect to the Microsoft Graph Mail service! Error is ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用获取授权操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

获取邮箱账号的“不在设施内”设置

使用获取邮箱账号外出设置操作，检索所提供的 Google SecOps User 实体的邮箱账号外出 (OOF) 设置。

Get Mailbox Account Out Of Facility Settings 操作使用 Beta 版 Microsoft Graph API。

此操作在 Google SecOps User 实体上运行。

操作输入

无。

操作输出

Get Mailbox Account Out Of Facility Settings 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了使用获取邮箱账号的“不在设施内”设置操作时收到的 JSON 结果输出：

{
   "@odata.context": "https://graph.microsoft.com/beta/$metadata#communications/presences/$entity",
   "id": "ID",
   "availability": "Offline",
   "activity": "Offline",
   "statusMessage": null,
   "outOfOfficeSettings": {
       "message": "\n\nOut Of Facility111\n",
       "isOutOfOffice": true
   }
}

输出消息

Get Mailbox Account Out Of Facility Settings 操作可能会返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully returned OOF settings for ENTITY_ID.` `Failed to find the following usernames in Office 365 service: USERNAME_LIST.`	操作成功。
`Error executing action "Add Identity Protection Detection Comment". Reason: ERROR_REASON` `Action wasn't able to find OOF settings for ENTITY_ID.`	操作失败。请检查与服务器的连接、输入参数或凭据。

Successfully returned OOF settings for ENTITY_ID.

Failed to find the following usernames in Office 365 service: USERNAME_LIST.

操作成功。

Error executing action "Add Identity Protection Detection Comment". Reason: ERROR_REASON

Action wasn't able to find OOF settings for ENTITY_ID.

操作失败。

请检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用获取邮箱账号的设施外设置操作时，脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

列出规则

使用 List Rules（列出规则）操作，通过 Microsoft Graph API 列出特定邮箱的所有邮件规则。

操作输入

列出规则操作需要以下参数：

参数说明

参数	说明
`Mailboxes`	必需。默认值为 `Default Mailbox`。要列出邮件规则的目标邮箱。注意：只能列出经过身份验证的用户邮箱的消息规则。如需管理其他邮箱中的规则，请使用 Microsoft Graph Mail 集成。
`Rule Name`	可选。按规则的显示名称过滤。
`Limit`	可选。默认值为 `20`。限制每个邮箱返回的规则数量。

Mailboxes

必需。默认值为 Default Mailbox。

要列出邮件规则的目标邮箱。注意：只能列出经过身份验证的用户邮箱的消息规则。如需管理其他邮箱中的规则，请使用 Microsoft Graph Mail 集成。

Rule Name

可选。

按规则的显示名称过滤。

Limit

可选。默认值为 20。

限制每个邮箱返回的规则数量。

操作输出

列出规则操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

案例墙表格

列出规则操作会在案例墙表格中提供执行详情。

JSON 结果

以下示例介绍了使用列出规则操作时收到的 JSON 结果输出：

[
  {
    "mailbox": "user@example.com",
    "rules": [
      {
        "id": "AAMkAD...",
        "displayName": "Google SecOps - Blocked Senders",
        "sequence": 1,
        "isEnabled": true
      }
    ]
  }
]

输出消息

列出规则操作会提供以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully fetched NUMBER_OF_RULES rules for mailbox MAILBOX.`	操作成功。
`Failed to fetch rules for mailbox MAILBOX. Reason: ERROR_REASON`	操作失败。请检查与服务器的连接、输入参数或凭证。

Successfully fetched NUMBER_OF_RULES rules for mailbox MAILBOX.

操作成功。

Failed to fetch rules for mailbox MAILBOX. Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表介绍了使用列出规则操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

将邮件标记为垃圾邮件

使用将电子邮件标记为垃圾邮件操作，将指定邮箱中的电子邮件标记为垃圾邮件。此操作会将电子邮件发件人添加到阻止的发件人列表中，并将邮件移至垃圾邮件文件夹。

将电子邮件标记为垃圾邮件操作使用的是 Beta 版 Microsoft Graph API。

此操作不会在 Google SecOps 实体上运行。

操作输入

将电子邮件标记为垃圾邮件操作需要以下参数：

参数说明

参数	说明
`Search In Mailbox`	必填。要在其中搜索邮件的邮箱。默认情况下，该操作会尝试在您在集成配置中指定的默认邮箱中搜索电子邮件。如需在其他邮箱中执行搜索，请为该操作配置适当的权限。此参数接受多个值，以英文逗号分隔。
`Folder Name`	必填。要在其中搜索电子邮件的邮箱文件夹。如需指定子文件夹，请使用 `/` 正斜杠，例如 `Inbox/Subfolder`。默认值为 `Inbox`。
`Mail IDs`	必填。要标记为垃圾邮件的邮件的 ID 或 `internetMessageId` 值。此参数接受多个值，以逗号分隔的字符串形式表示。

Search In Mailbox

必填。

要在其中搜索邮件的邮箱。

默认情况下，该操作会尝试在您在集成配置中指定的默认邮箱中搜索电子邮件。如需在其他邮箱中执行搜索，请为该操作配置适当的权限。

此参数接受多个值，以英文逗号分隔。

Folder Name

必填。

要在其中搜索电子邮件的邮箱文件夹。如需指定子文件夹，请使用 / 正斜杠，例如 Inbox/Subfolder。

默认值为 Inbox。

Mail IDs

必填。

要标记为垃圾邮件的邮件的 ID 或 internetMessageId 值。

此参数接受多个值，以逗号分隔的字符串形式表示。

操作输出

将电子邮件标记为垃圾邮件操作会提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

将电子邮件标记为垃圾邮件操作可能会返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully marked the email as junk.` `Failed to find email with ID ID in MAILBOX.` `Mailbox MAILBOX was not found.`	操作成功。
`Error executing action "Mark Email as Junk". Reason: ERROR_REASON` `Failed to find any emails based on provided parameters!` `Action failed to run because the provided mailbox folder name MAILBOX_FOLDER was not found in the mailbox MAILBOX.`	操作失败。请检查与服务器的连接、输入参数或凭据。

Successfully marked the email as junk.

Failed to find email with ID ID in MAILBOX.

Mailbox MAILBOX was not found.

操作成功。

Error executing action "Mark Email as Junk". Reason: ERROR_REASON

Failed to find any emails based on provided parameters!

Action failed to run because the provided mailbox folder name MAILBOX_FOLDER was not found in the mailbox MAILBOX.

操作失败。

请检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用将电子邮件标记为垃圾邮件操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

将邮件标记为非垃圾邮件

使用将电子邮件标记为非垃圾邮件操作，在特定邮箱中将电子邮件标记为非垃圾邮件。此操作会将发件人从屏蔽的发件人列表中移除，并将邮件移至收件箱文件夹。

将电子邮件标记为非垃圾邮件操作使用 Beta 版 Microsoft Graph API。

此操作不会在 Google SecOps 实体上运行。

操作输入

将电子邮件标记为非垃圾邮件操作需要以下参数：

参数说明

参数	说明
`Search In Mailbox`	必填。要在其中搜索电子邮件的邮箱。默认情况下，该操作会尝试在您在集成配置中指定的默认邮箱中搜索电子邮件。如需在其他邮箱中执行搜索，请为该操作配置适当的权限。此参数接受多个值，以英文逗号分隔。
`Folder Name`	必填。要在其中搜索电子邮件的邮箱文件夹。如需指定子文件夹，请使用 `/` 正斜杠，例如 `Inbox/Subfolder`。
`Mail IDs`	必填。要标记为垃圾邮件的邮件的 ID 或 `internetMessageId` 值。此参数接受多个值，以英文逗号分隔的字符串形式表示。

Search In Mailbox

必填。

要在其中搜索电子邮件的邮箱。

默认情况下，该操作会尝试在您在集成配置中指定的默认邮箱中搜索电子邮件。如需在其他邮箱中执行搜索，请为该操作配置适当的权限。

此参数接受多个值，以英文逗号分隔。

Folder Name

必填。

要在其中搜索电子邮件的邮箱文件夹。如需指定子文件夹，请使用 / 正斜杠，例如 Inbox/Subfolder。

Mail IDs

必填。

要标记为垃圾邮件的邮件的 ID 或 internetMessageId 值。

此参数接受多个值，以英文逗号分隔的字符串形式表示。

操作输出

将电子邮件标记为非垃圾邮件操作会提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

将电子邮件标记为非垃圾邮件操作可能会返回以下输出消息：

输出消息消息说明

输出消息	消息说明
`Successfully marked the email as not junk.` `Failed to find email with ID ID in MAILBOX.` `Mailbox MAILBOX was not found.`	操作成功。
`Error executing action "Mark Email as Not Junk". Reason: ERROR_REASON` `Failed to find any emails based on provided parameters!` `Action failed to run because the provided mailbox folder name MAILBOX_FOLDER was not found in the mailbox MAILBOX.`	操作失败。请检查与服务器的连接、输入参数或凭据。

Successfully marked the email as not junk.

Failed to find email with ID ID in MAILBOX.

Mailbox MAILBOX was not found.

操作成功。

Error executing action "Mark Email as Not Junk". Reason: ERROR_REASON

Failed to find any emails based on provided parameters!

Action failed to run because the provided mailbox folder name MAILBOX_FOLDER was not found in the mailbox MAILBOX.

操作失败。

请检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用将电子邮件标记为非垃圾邮件操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

将电子邮件移至文件夹

使用将电子邮件移至文件夹操作，将一封或多封电子邮件从源电子邮件文件夹移至邮箱中的其他文件夹。如果拥有适当的权限，此操作可以将电子邮件移至与集成配置中提供的邮箱不同的其他邮箱。

此操作是异步的。根据需要在 Google SecOps 集成开发环境 (IDE) 中调整操作超时。

此操作不会在 Google SecOps 实体上运行。

操作输入

如需配置将电子邮件移至文件夹操作，请使用以下参数：

参数	说明
`Move In Mailbox`	必填。运行移动操作的默认邮箱。如果权限允许，该操作还可以搜索其他邮箱。此参数接受多个值，以逗号分隔的字符串形式。
`Source Folder Name`	必填。要从中移动电子邮件的来源文件夹。如需指定子文件夹，请使用 `/` 正斜杠，例如 `Inbox/Subfolder`。
`Destination Folder Name`	必填。要将邮件移到的目标文件夹。请按以下格式提供参数值：`Inbox/folder_name/subfolder_name`。此参数不区分大小写。
`Mail IDs`	可选用于搜索具有特定电子邮件 ID 的电子邮件的过滤条件。此参数接受要搜索的电子邮件 ID 的逗号分隔列表。如果提供了此参数，搜索会忽略 `Subject Filter` 和 `Sender Filter` 参数。
`Subject Filter`	可选指定要搜索的电子邮件主题的过滤条件。此过滤条件使用 `contains` 逻辑。
`Sender Filter`	可选指定所请求电子邮件的发件人的过滤条件。此过滤条件使用 `equals` 逻辑。
`Timeframe (Minutes)`	可选一个过滤条件，用于指定搜索电子邮件的时间范围（以分钟为单位）。
`Only Unread`	可选如果选中此选项，该操作将仅搜索未读邮件。默认情况下不选择。
`How many mailboxes to process in a single batch`	可选在单个批次（与邮件服务器的单个连接）中处理的邮箱数量。默认值为 `25`。

操作输出

下表介绍了与将电子邮件移至文件夹操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

将电子邮件移至文件夹操作会提供以下输出消息：

输出消息消息说明

Successfully moved emails in the following mailboxes: MAILBOX: MOVED_EMAILS_NUMBER

Mailbox MAILBOX was not found.

操作成功。

Action was not able to find any emails based on the specified search criteria.

Action failed to move any emails because the provided source folder was not found in the mailbox(es): MAILBOX_NAME, MAILBOX_FOLDER

Action failed to move any emails because the provided destination folder was not found in the mailbox(es): MAILBOX_NAME, MAILBOX_FOLDER

Failed to find any of the provided mailboxes: MAILBOX_LIST

Failed to execute action, the error is:
      ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表介绍了使用将电子邮件移至文件夹操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

Ping

使用 Ping 操作测试与 Microsoft Graph 邮件服务的连接。

此操作不会在 Google SecOps 实体上运行。

操作输入

无。

操作输出

下表介绍了与 Ping 操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

Ping 操作会提供以下输出消息：

输出消息消息说明

Successfully connected to the Microsoft Graph mail service with the provided connection parameters! 操作成功。

Failed to connect to the Microsoft Graph mail service! Error is
      ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表介绍了使用 Ping 操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

运行 Microsoft 搜索查询

使用运行 Microsoft 搜索查询操作，通过 Microsoft 搜索引擎执行搜索。搜索会使用您指定的已构建的基本或高级查询。如需详细了解 Microsoft Search，请参阅 Microsoft Graph 中的 Microsoft Search API 概览。

根据实体范围，运行 Microsoft 搜索查询操作可能需要您配置其他权限。如需详细了解特定实体类型所需的权限，请参阅使用 Microsoft Search API 查询数据。如需详细了解如何为集成配置权限，请参阅配置 API 权限。

此操作不会在 Google SecOps 实体上运行。

操作输入

运行 Microsoft 搜索查询操作需要以下参数：

参数	说明
`Entity Types To Search`	可选搜索响应的预期资源类型的逗号分隔列表。可能的值如下： `acronym` `bookmark` `chatMessage` `drive` `driveItem` `event` `externalItem` `list` `listItem` `message` `person` `site`
`Fields To Return`	可选要在搜索响应中返回的字段。如果您未配置此参数，该操作将返回所有可用字段。
`Search Query`	可选用于运行搜索的查询。如需详细了解搜索查询示例，请参阅使用 Microsoft Search API 搜索 Outlook 邮件。
`Max Rows To Return`	可选操作要返回的最大行数。如果您未配置此参数，操作将使用默认值。默认值为 `25`。
`Advanced Query`	可选完整的搜索载荷，用于代替使用其他操作参数构建的搜索查询。将搜索载荷格式设置为 JSON 字符串。如果您配置此参数，该操作会忽略所有其他参数。

操作输出

运行 Microsoft 搜索查询操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

运行 Microsoft 搜索查询操作可以返回以下输出消息：

输出消息消息说明

Successfully retrieved results for the provided search query.

No results found for the provided query.

操作成功。

Failed to construct a search query based on the provided parameters. Please check, if you specified all parameters properly.

Failed to run the search because the API doesn't support the provided combination of entities. See Microsoft documentation for supported entity combinations - URL. The error is ERROR_REASON

Failed to run the search as the provided advanced search query is invalid! Error is ERROR_REASON

Failed to connect to the Microsoft Graph Mail service! Error is ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用运行 Microsoft 搜索查询操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

移除屏蔽的域名

使用移除屏蔽的网域操作，从目标邮箱中的邮件规则中移除指定的电子邮件网域。如果规则变为空，则会被删除。

此操作是异步的。根据需要在 Google SecOps 集成开发环境 (IDE) 中调整操作超时。

操作输入

Remove Block Domain 操作需要以下参数：

参数	说明
`Domains`	可选。要移除的发件人网域的英文逗号分隔列表（例如 `example.com`）。在此字段中手动输入的网域和从实体中动态提取的网域会一起从规则条件中移除。
`Mailboxes`	必需。默认值为 `Default Mailbox`。邮件规则所在的目标邮箱。注意：只能为经过身份验证的用户邮箱更新邮件规则。如需管理其他邮箱中的规则，请使用 Microsoft Graph Mail 集成。
`Rule Name`	必需。默认值为 `Google SecOps - Blocked Domains`。要从中移除这些网域的邮件规则的名称。
`How many mailboxes to process in a single batch`	可选。默认值为 `1`。指定该操作应在单个批次中处理多少个邮箱。

操作输出

Remove Block Domain 操作会提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例说明了使用移除屏蔽的网域操作时收到的 JSON 结果输出：

[
  {
    "Entity": "example.com",
    "EntityResult": {
      "successful_mailboxes": [
        "user@example.com"
      ],
      "failed_mailboxes": []
    }
  }
]

输出消息

Remove Block Domain 操作会提供以下输出消息：

输出消息消息说明

Successfully removed domain DOMAIN from the blocked senders list for mailbox MAILBOX.

操作成功。

Failed to remove domain DOMAIN from the blocked senders list for mailbox MAILBOX. Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表介绍了使用移除屏蔽的网域操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

移除屏蔽发件人

使用移除屏蔽的发件人操作，从目标邮箱中的邮件规则中移除指定的电子邮件发件人。如果规则变为空，则会被删除。

此操作是异步的。根据需要在 Google SecOps 集成开发环境 (IDE) 中调整操作超时。

操作输入

Remove Block Sender（移除屏蔽的发件人）操作需要以下参数：

参数	说明
`Senders`	可选。要移除的发件人邮箱列表，以英文逗号分隔。在此字段中手动输入的发件人和从实体中动态提取的发件人会一起从规则条件中移除。
`Mailboxes`	必需。默认值为 `Default Mailbox`。邮件规则所在的目标邮箱。注意：只能为经过身份验证的用户邮箱更新邮件规则。如需管理其他邮箱中的规则，请使用 Microsoft Graph Mail 集成。
`Rule Name`	必需。默认值为 `Google SecOps - Blocked Senders`。要从中移除这些发件人的邮件规则的名称。
`How many mailboxes to process in a single batch`	可选。默认值为 `1`。指定该操作应在单个批次中处理多少个邮箱。

操作输出

Remove Block Sender 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例介绍了使用移除屏蔽的发件人操作时收到的 JSON 结果输出：

[
  {
    "Entity": "user@example.com",
    "EntityResult": {
      "successful_mailboxes": [
        "target@example.com"
      ],
      "failed_mailboxes": []
    }
  }
]

输出消息

Remove Block Sender 操作会提供以下输出消息：

输出消息消息说明

Successfully removed sender SENDER from the blocked senders list for mailbox MAILBOX.

操作成功。

Failed to remove sender SENDER from the blocked senders list for mailbox MAILBOX. Reason: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表介绍了使用移除屏蔽的发件人操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

将电子邮件保存到支持请求

使用将电子邮件保存到案例操作，将电子邮件或电子邮件附件保存到 Google SecOps 案例墙。如果拥有适当的权限，此操作可以保存集成配置中提供的邮箱以外的邮箱中的电子邮件。

此操作不会在 Google SecOps 实体上运行。

操作输入

Save Email To The Case 操作需要以下参数：

参数	说明
`Search In Mailbox`	必填。运行搜索操作的默认邮箱。如果权限允许，该操作还可以在其他邮箱中搜索。
`Folder Name`	可选要在其中搜索电子邮件的邮箱文件夹。如需指定子文件夹，请使用 `/` 正斜杠，例如 `Inbox/Subfolder`。
`Mail ID`	必填。要搜索的电子邮件 ID 的逗号分隔列表。如果您使用了发送电子邮件操作来发送电子邮件，请将参数值设置为 `{SendEmail.JSONResult\|id}` 或 `{SendEmail.JSONResult\|internetMessageId}` 占位符。
`Save Only Email Attachments`	可选如果选中，该操作只会保存指定电子邮件中的附件。默认情况下不选择。
`Attachment To Save`	可选如果选择了 `Save Only Email Attachments` 参数，则该操作仅保存此参数指定的附件。此参数接受以逗号分隔的字符串形式的多个值。
`Base64 Encode`	可选如果选中，该操作会将电子邮件文件编码为 base64 格式。默认情况下不选择。

操作输出

下表介绍了与将电子邮件保存到支持请求操作关联的输出类型：

操作输出类型	可用性
案例墙附件	可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

案例墙附件

以下附件与将电子邮件保存到支持请求操作相关联：

EMAIL_SUBJECT.eml（如果操作保存了电子邮件）。
如果操作保存了附件，则附件名称会包含文件扩展名（如有）。

JSON 结果

以下示例说明了使用将电子邮件保存到支持请求操作时收到的 JSON 结果输出：

{
    "id": "ID",
    "createdDateTime": "2024-02-16T14:10:34Z",
    "eml_info": "example_info",
    "lastModifiedDateTime": "2024-02-16T14:10:41Z",
    "changeKey": "cxsdjjh",
    "categories": [],
    "receivedDateTime": "2024-02-16T14:10:35Z",
    "sentDateTime": "2024-02-16T14:09:36Z",
    "hasAttachments": true,
    "internetMessageId": "INTERNET_MESSAGE_ID",
    "subject": "all attachments",
    "bodyPreview": "all the attachments",
    "importance": "normal",
    "parentFolderId": "PARENT_FOLDER_ID",
    "conversationId": "CONVERSATION_ID",
    "conversationIndex": "example-index",
    "isDeliveryReceiptRequested": false,
    "isReadReceiptRequested": false,
    "isRead": true,
    "isDraft": false,
    "webLink": "https://example.com/",
    "inferenceClassification": "focused",
    "body": {
        "contentType": "html",
        "content": "<html><head>example-html</head></html>"
    },
    "sender": {
        "emailAddress": {
            "name": "NAME",
            "address": "sender@example.com"
        }
    },
    "from": {
        "emailAddress": {
            "name": "NAME",
            "address": "user@example.com"
        }
    },
    "toRecipients": [
        {
            "emailAddress": {
                "name": "NAME",
                "address": "recipient@example.com"
            }
        }
    ],
    "ccRecipients": [],
    "bccRecipients": [],
    "replyTo": [],
    "flag": {
        "flagStatus": "notFlagged"
    }
}

输出消息

在 Case Wall 上，Save Email To The Case 操作会提供以下输出消息：

输出消息消息说明

Email successfully saved!

Successfully saved the following attachments: ATTACHMENTS_LIST

The following attachments were not found in email with mail id: EMAIL_ID: ATTACHMENTS_LIST

操作成功。

Mailbox MAILBOX_NAME was not found.

Action failed to run because the provided mailbox folder name MAILBOX_FOLDER was not found in the mailbox MAILBOX_NAME

Failed to execute action, the error is:
      ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表介绍了使用将电子邮件保存到支持请求操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

搜索邮件

使用搜索电子邮件操作，根据提供的搜索条件在默认邮箱中执行电子邮件搜索。如果拥有适当的权限，此操作可以在其他邮箱中运行搜索。

此操作是异步的。根据需要，在 Google SecOps IDE 中调整操作超时。

此操作不会在 Google SecOps 实体上运行。

操作输入

搜索电子邮件操作需要以下参数：

参数	说明
`Search In Mailbox`	Mandatory 运行搜索操作的默认邮箱。如果权限允许，该操作还可以在其他邮箱中搜索。此参数接受以逗号分隔的字符串形式的多个值。如需针对大量邮箱执行复杂搜索，请使用 Exchange Extension Pack 集成。
`Folder Name`	可选要在其中搜索电子邮件的邮箱文件夹。如需指定子文件夹，请使用 `/` 正斜线（例如 `Inbox/Subfolder`）。默认值为 `Inbox`。
`Subject Filter`	可选指定要搜索的电子邮件主题的过滤条件。此过滤条件使用 `contains` 逻辑。
`Sender Filter`	可选指定所请求电子邮件的发件人的过滤条件。此过滤条件使用 `equals` 逻辑。
`Recipient Filter`	可选指定所请求邮件的收件人的过滤条件。
`Timeframe (minutes)`	可选一个过滤条件，用于指定搜索电子邮件的时间段（以分钟为单位）。
`Start Time`	可选以 ISO 8601 格式指定电子邮件搜索的开始时间。此参数的优先级高于 `Timeframe (minutes)`。
`End Time`	可选以 ISO 8601 格式指定电子邮件搜索的结束时间。如果未提供且 `Start Time` 有效，则此参数会使用当前时间。
`Body Regex Filter`	可选指定要在电子邮件正文中搜索的正则表达式模式。
`Message IDs`	可选要搜索的邮件 ID 的逗号分隔列表。注意：此过滤条件的优先级高于其他过滤条件。
`Max Emails To Return`	可选要返回的操作电子邮件数量。如果您未设置值，系统会使用 API 默认值。默认值为 `10`。
`Only Unread`	可选如果选中此选项，该操作将仅搜索未读邮件。默认情况下不选择。
`Select All Fields For Return`	可选如果选中此选项，该操作会返回所获取电子邮件的所有可用字段。默认情况下不选择。
`How many mailboxes to process in a single batch`	可选单批（与邮件服务器建立单个连接）处理的邮箱数量。默认值为 `25`。
`Limit the Amount of Information Returned in the JSON Result`	可选如果选中，该操作返回的信息量将仅限于关键电子邮件字段。默认情况下不选择。
`Disable the Action JSON Result`	可选如果选中，该操作不会返回 JSON 结果。默认情况下不选择。

操作输出

搜索电子邮件操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	可用
丰富化表	不可用
JSON 结果	可用
脚本结果	可用

案例墙表格

搜索电子邮件操作可以生成下表：

表格标题：Matching Mails

列：

邮件 ID
Subject
Sender
接收器
收到日期

脚本结果

下表列出了使用搜索电子邮件操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`

操作输出消息

搜索电子邮件操作会提供以下输出消息：

输出消息消息说明

Successfully found emails in the following mailboxes: MAILBOX: FOUND_EMAILS_NUMBER

Mailbox MAILBOX was not found.

Action was not able to find any emails based on the specified search criteria.

操作成功。

Failed to find any of the provided mailboxes: MAILBOX_LIST

Failed to execute action, the error is: ERROR_REASON

操作失败。请检查与服务器的连接、输入参数或凭证。

发送电子邮件

使用发送电子邮件操作，从特定邮箱向任意收件人列表发送电子邮件。

此操作可以发送纯文本或 HTML 格式的电子邮件。如果拥有适当的权限，该操作可以从集成配置中指定的邮箱以外的其他邮箱发送电子邮件。

此操作不会在 Google SecOps 实体上运行。

S/MIME 配置快速参考

请参考下表，根据外发电子邮件的安全等级确定要配置的 S/MIME 参数：

所需的电子邮件类型	`Base64 Encoded Certificate`	`Base64 Encoded Private Key`	`Base64 Encoded Recipient Certificate`
标准电子邮件（无 S/MIME）	留空	留空	留空
已进行数字签名	必填	必填	留空
已加密	留空	留空	必填
已签名并加密	必填	必需	必填

将证书文件转换为 Base64 格式

如需将证书和私钥文件编码为单行 Base64 字符串以用作操作参数，请运行以下命令：

Linux 和 macOS：

base64 -w 0 sender_cert.crt
base64 -w 0 sender_key.key

Windows PowerShell：

[Convert]::ToBase64String([IO.File]::ReadAllBytes("C:\path\to\certificate.crt"))
[Convert]::ToBase64String([IO.File]::ReadAllBytes("C:\path\to\private_key.key"))

操作输入

发送电子邮件操作需要以下参数：

参数	说明
`Send From`	必填。用于发送电子邮件的可选电子邮件地址（如果权限允许）。默认情况下，该操作会从集成配置中指定的默认邮箱发送电子邮件。
`Subject`	必填。邮件主题。
`Send to`	必填。以英文逗号分隔的电子邮件收件人电子邮件地址列表，例如 `user1@example.com, user2@example.com`。
`CC`	可选电子邮件抄送字段的电子邮件地址逗号分隔列表。格式与 `Send to` 参数相同。
`BCC`	可选电子邮件密送字段的电子邮件地址逗号分隔列表。格式与 `Send to` 参数相同。
`Attachments Paths`	可选服务器上存储的文件附件路径的逗号分隔列表，例如 `/FILE_DIRECTORY/file.pdf`、`/FILE_DIRECTORY/image.jpg`。
`Attachments Location`	必填。附件的存储位置。默认情况下，该操作会尝试从 Cloud Storage 存储桶上传附件。可能的值为 `GCP Bucket` 或 `Local File System`。默认值为 `GCP Bucket`。
`Mail Content Type`	可选邮件内容的类型。可能的值如下： `Text` `HTML` 默认值为 `Text`。
`Mail Content`	必填。邮件正文。
`Reply-To Recipients`	可选要在 Reply-To 标头中使用的收件人的逗号分隔列表。使用回复标头将回复电子邮件重定向到指定的电子邮件地址，而不是发件人字段中的发件人地址。
`Base64 Encoded Certificate`	可选发送方的 Base64 编码 X.509 公共证书（`.cer`、`.crt`、`.pem`）（单行格式）。用于 S/MIME 数字签名。如果提供了此属性，您还必须提供 `Base64 Encoded Private Key`。
`Base64 Encoded Private Key`	可选发送方的 Base64 编码私钥（`.key`、`.pem`）（单行格式）。用于 S/MIME 数字签名。如果提供了 `Base64 Encoded Certificate`，则必须提供此字段。
`Base64 Encoded Recipient Certificate`	可选收件人的 Base64 编码公开证书（`.cer`、`.crt`、`.pem`）（单行格式）。用于电子邮件加密。

操作输出

下表介绍了与发送电子邮件操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

输出消息

发送电子邮件操作会提供以下输出消息：

输出消息消息说明

Email was sent successfully.

操作成功。

Action failed to run because specified attachments were not found: ATTACHMENTS_LIST

Failed to execute action, the error is:
      ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表介绍了使用发送电子邮件操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

发送电子邮件 HTML

使用发送电子邮件 HTML 操作，从特定邮箱向任意收件人列表发送使用 Google SecOps HTML 模板的电子邮件。如果拥有适当的权限，该操作可以从默认邮箱以外的邮箱发送电子邮件。

此操作不会在 Google SecOps 实体上运行。

操作输入

发送 HTML 电子邮件操作需要以下参数：

参数	说明
`Send From`	必填。用于发送电子邮件的可选电子邮件地址（如果权限允许）。默认情况下，该操作会从集成配置中指定的默认邮箱发送电子邮件。
`Subject`	必填。邮件主题。
`Send to`	必填。以英文逗号分隔的电子邮件收件人电子邮件地址列表，例如 `user1@example.com, user2@example.com`。
`CC`	可选电子邮件抄送字段的电子邮件地址逗号分隔列表。格式与 `Send to` 参数相同。
`BCC`	可选电子邮件密送字段的电子邮件地址逗号分隔列表。格式与 `Send to` 参数相同。
`Attachments Paths`	可选要提供的附件的完整路径，例如 `/FILE_DIRECTORY/file.pdf`、`/FILE_DIRECTORY/image.jpg`。您可以在以逗号分隔的字符串中提供多个值。
`Email HTML Template`	必填。要使用的 HTML 模板的类型。可能的值包括 `Email HTML Template` 和 `Dynamically generated list of available templates`。默认值为 `Email HTML Template`。
`Mail Content`	必填。邮件正文。
`Reply-To Recipients`	可选要在 Reply-To 标头中使用的收件人的逗号分隔列表。使用 Reply-To 标头将回复电子邮件重定向到特定电子邮件地址，而不是 From 字段中指定的发件人地址。
`Attachment Location`	必填。附件的存储位置。默认情况下，该操作会尝试从 Cloud Storage 存储桶上传附件。可能的值为 `GCP Bucket` 或 `Local File System`。默认值为 `GCP Bucket`。

操作输出

发送电子邮件 HTML 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例说明了使用发送电子邮件 HTML 操作时收到的 JSON 结果输出：

{
    "createdDateTime": "2024-01-30T16:50:27Z",
    "lastModifiedDateTime": "2024-01-30T16:50:27Z",
    "changeKey": "example-key",
    "categories": [],
    "receivedDateTime": "2024-01-30T16:50:27Z",
    "sentDateTime": "2024-01-30T16:50:27Z",
    "hasAttachments": false,
    "internetMessageId": "outlook.com",
    "subject": "Testing",
    "bodyPreview": "example",
    "importance": "normal",
    "parentFolderId": "ID",
    "conversationId": "ID",
    "conversationIndex": "INDEX",
    "isDeliveryReceiptRequested": false,
    "isReadReceiptRequested": false,
    "isRead": true,
    "isDraft": false,
    "webLink": "https://example.com",
    "inferenceClassification": "focused",
    "body": {
        "contentType": "html",
        "content": "content"
    },
    "sender": {
        "emailAddress": {
            "name": "NAME",
            "address": "sender@example.com"
        }
    },
    "from": {
        "emailAddress": {
            "name": "NAME",
            "address": "user@example.com"
        }
    },
    "toRecipients": [
        {
            "emailAddress": {
                "name": "NAME",
                "address": "recipient@example.com"
            }
        }
    ],
    "ccRecipients": [],
    "bccRecipients": [],
    "replyTo": [],
    "uniqueBody": {
        "contentType": "html",
        "content": "content"
    },
    "flag": {
        "flagStatus": "notFlagged"
    },
    "id": "ID"
}

输出消息

在案例墙上，发送电子邮件 HTML 操作会提供以下输出消息：

输出消息消息说明

Email was sent successfully. 操作成功。

Action failed to run because the HTML template was not specified.

Action failed to run because the following specified attachments were not found: ATTACHMENT_LIST

Failed to execute action, the error is: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。

脚本结果

下表介绍了使用发送电子邮件 HTML 操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

发送消息串回复

使用发送会话串回复操作，以回复邮件会话串的形式发送邮件。如果拥有适当的权限，该操作可以从集成配置中指定的邮箱以外的邮箱发送电子邮件。

此操作不会在 Google SecOps 实体上运行。

操作输入

发送会话回复操作需要以下参数：

参数	说明
`Send From`	必填。用于发送电子邮件的可选电子邮件地址（如果权限允许）。默认情况下，该操作会从集成配置中指定的默认邮箱发送电子邮件。
`Mail ID`	必填。要搜索的电子邮件 ID。
`Folder Name`	可选要在其中搜索电子邮件的邮箱文件夹。如需指定子文件夹，请使用 `/` 正斜杠，例如 `Inbox/Subfolder`。默认值为 `Inbox`。
`Attachments Paths`	可选服务器上存储的文件附件路径的逗号分隔列表，例如 `/FILE_DIRECTORY/file.pdf`、`/FILE_DIRECTORY/image.jpg`。
`Mail Content`	必填。邮件正文。
`Reply All`	可选如果选择此选项，该操作会向与原始电子邮件相关的所有收件人发送全部回复。默认情况下不选择。此参数的优先级高于 `Reply To` 参数。
`Reply To`	可选要向其发送回复的电子邮件地址的逗号分隔列表。如果您未提供任何值，并且 `Reply All` 复选框处于未选中状态，则该操作只会向原始电子邮件发件人发送回复。如果选中 `Reply All` 复选框，该操作会忽略此参数。
`Attachments Location`	必填。附件的存储位置。默认情况下，该操作会尝试从 Cloud Storage 存储桶上传附件。可能的值为 `GCP Bucket` 或 `Local File System`。默认值为 `GCP Bucket`。
`Message Timezone`	可选。回复标头中原始电子邮件发送日期所用的时区（例如 `UTC`、`America/New_York` 或 `Europe/London`）。如果提供的值无效，则使用默认值。默认值为 `UTC`。

操作输出

下表介绍了与发送话题回复操作关联的输出类型：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了使用发送会话串回复操作时收到的 JSON 结果输出：

  {
    "id": "yyyy",
    "createdDateTime": "2024-02-02T10:57:18Z",
    "lastModifiedDateTime": "2024-02-02T10:57:23Z",
    "changeKey": "dsf+oAAQLaPjk",
    "categories": [],
    "receivedDateTime": "2024-02-02T10:57:20Z",
    "sentDateTime": "2024-02-02T10:57:19Z",
    "hasAttachments": true,
    "internetMessageId": "sdfhsjdfhjsdjfd",
    "subject": "RE: reply checking",
    "bodyPreview": "Reply check kr",
    "importance": "normal",
    "parentFolderId": "id",
    "conversationId": "id",
    "conversationIndex": "sdghfjfke",
    "isDeliveryReceiptRequested": false,
    "isReadReceiptRequested": false,
    "isRead": true,
    "isDraft": false,
    "webLink": "https://www.example.com/about",
    "inferenceClassification": "focused",
    "body": {
      "contentType": "text",
      "content": "Reply check kr"
    },
    "sender": {
      "emailAddress": {
        "name": "aff",
        "address": "ddxsm@a.com"
      }
    },
    "from": {
      "emailAddress": {
        "name": "fasf",
        "address": "ddxsm@a.com"
      }
    },
    "toRecipients": [
      {
        "emailAddress": {
          "name": "wf",
          "address": "ddxsm@a.com"
        }
      }
    ],
    "ccRecipients": [],
    "bccRecipients": [],
    "replyTo": [],
    "uniqueBody": {
      "contentType": "html",
      "content": "Reply check"
    },
    "flag": {
      "flagStatus": "notFlagged"
    }
  }

输出消息

发送会话回复操作会提供以下输出消息：

输出消息消息说明

Successfully sent reply to the mail with ID: EMAIL_ID 操作成功。

Error executing action "Send Thread Reply". Reason: if you want
      to send a reply only to your own email address, you need to work with
      "Reply To" parameter.

操作失败。

检查 Reply To 参数值。

Error executing action "Send Thread Reply" because the provided mail id EMAIL_ID was not found.

Action failed to run because specified attachments were not found: ATTACHMENTS_LIST

Failed to execute action, the error is:
      ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭证。

脚本结果

下表介绍了使用发送话题回复操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

发送投票邮件

使用发送投票电子邮件操作发送包含预定义回答选项的电子邮件。此操作使用 Google SecOps HTML 模板来设置电子邮件格式。如果拥有适当的权限，发送投票电子邮件操作可以从默认邮箱以外的邮箱发送电子邮件。

此操作不会在 Google SecOps 实体上运行。

操作输入

发送投票电子邮件操作需要以下参数：

参数	说明
`Send From`	必填。用于发送电子邮件的可选电子邮件地址（如果权限允许）。默认情况下，该操作会从集成配置中指定的默认邮箱发送电子邮件。
`Subject`	必填。邮件主题。
`Send to`	必填。以英文逗号分隔的电子邮件收件人电子邮件地址列表，例如 `user1@example.com, user2@example.com`。
`CC`	可选电子邮件抄送字段的电子邮件地址逗号分隔列表。格式与 `Send to` 参数相同。
`BCC`	可选电子邮件密送字段的电子邮件地址逗号分隔列表。格式与 `Send to` 参数相同。
`Attachments Paths`	可选要提供的附件的完整路径，例如 `/FILE_DIRECTORY/file.pdf`、`/FILE_DIRECTORY/image.jpg`。您可以在以逗号分隔的字符串中提供多个值。
`Email HTML Template`	必填。要使用的 HTML 模板的类型。可能的值包括 `Email HTML Template` 和 `Dynamically generated list of available templates`。默认值为 `Email HTML Template`。
`Reply-To Recipients`	可选要在 Reply-To 标头中使用的收件人的逗号分隔列表。使用 Reply-To 标头将回复电子邮件重定向到指定的电子邮件地址，而不是 From 字段中声明的发件人地址。
`Structure of voting options`	必填。要发送给接收方的投票结构。可能的值为 `Yes/No` 或 `Approve/Reject`。默认值为 `Yes/No`。
`Attachment Location`	必填。附件的存储位置。默认情况下，该操作会尝试从 Cloud Storage 存储桶上传附件。可能的值为 `GCP Bucket` 或 `Local File System`。默认值为 `GCP Bucket`。

操作输出

发送投票电子邮件操作会提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
案例墙表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例说明了使用发送投票电子邮件操作时收到的 JSON 结果输出：

{
    "createdDateTime": "2024-01-30T16:50:27Z",
    "lastModifiedDateTime": "2024-01-30T16:50:27Z",
    "changeKey": "KEY",
    "categories": [],
    "receivedDateTime": "2024-01-30T16:50:27Z",
    "sentDateTime": "2024-01-30T16:50:27Z",
    "hasAttachments": false,
    "internetMessageId": "<example-message-ID>",
    "subject": "Testing",
    "bodyPreview": "example",
    "importance": "normal",
    "parentFolderId": "FOLDER_ID",
    "conversationId": "CONVERSATION_ID",
    "conversationIndex": "CONVERSATION_INDEX",
    "isDeliveryReceiptRequested": false,
    "isReadReceiptRequested": false,
    "isRead": true,
    "isDraft": false,
    "webLink": "https://www.example.com/about",
    "inferenceClassification": "focused",
    "body": {
        "contentType": "html",
        "content": "content"
    },
    "sender": {
        "emailAddress": {
            "name": "NAME",
            "address": "sender@example.com"
        }
    },
    "from": {
        "emailAddress": {
            "name": "NAME",
            "address": "user@example.com"
        }
    },
    "toRecipients": [
        {
            "emailAddress": {
                "name": "NAME",
                "address": "recipient@example.com"
            }
        }
    ],
    "ccRecipients": [],
    "bccRecipients": [],
    "replyTo": [],
    "uniqueBody": {
        "contentType": "html",
        "content": "content"
    },
    "flag": {
        "flagStatus": "notFlagged"
    },
    "id": "ID"
}

输出消息

在案例墙上，发送投票电子邮件操作会提供以下输出消息：

输出消息消息说明

Email was sent successfully. 操作成功。

Action failed to run because the HTML template was not specified.

Action failed to run because the following specified attachments were not found: ATTACHMENT_LIST

Failed to execute action, the error is: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。

脚本结果

下表介绍了使用发送投票电子邮件操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

等待用户发送电子邮件

使用等待用户发送电子邮件操作，根据使用发送电子邮件操作发送的电子邮件等待用户回复。

此操作是异步的。根据需要在 Google SecOps IDE 中调整操作超时。如果将超时设置为 0 或留空，则会使用环境设置中配置的默认超时。

此操作不会在 Google SecOps 实体上运行。

操作输入

等待用户发送电子邮件操作需要以下参数：

参数	说明
`Mail ID`	Mandatory 操作将等待的电子邮件的 ID 或 `internetMessageId`。如果您使用了发送电子邮件操作来发送电子邮件，请将参数值设置为 `{SendEmail.JSONResult\|id}` 或 `{SendEmail.JSONResult\|internetMessageId}` 占位符。
`Mail Date`	可选相应操作所等待的电子邮件的发送时间戳。如果邮件是使用发送电子邮件操作发送的，请选择 `{SendEmail.JSONResult\|sentDateTime}` 或 `{SendEmail.JSONResult\|createdDateTime}` 字段作为占位符。
`Mail Recipients`	可选以英文逗号分隔的收件人邮箱列表，该操作会等待这些收件人的回复。如果消息是使用发送电子邮件操作发送的，请选择 `{SendEmail.JSONResult\|toRecipients}` 字段作为占位符。
`How long to wait for recipient reply (minutes)`	可选等待用户回复的时长（以分钟为单位），超过此时长后，系统会将其标记为超时。默认值为 `10080`。
`Wait for All Recipients to Reply?`	可选如果选择此选项，操作会等待所有收件人的回复，直到超时或收到第一个回复后继续。默认情况下不选择。
`Wait Stage Exclude pattern`	可选用于从等待阶段排除特定回复的正则表达式。此参数同时适用于电子邮件主题和正文。例如，如果您配置了 `Out of Office.*` 正则表达式，该操作不会将自动发送的不在办公室时的邮件回复视为收件人回复，而是会等待实际的用户回复。
`Folder to Check for Reply`	可选用于搜索收件人回复的邮箱电子邮件文件夹。系统会在发送包含问题的电子邮件的邮箱中运行搜索。支持使用 `/` 正斜杠（例如 `Inbox/Subfolder`）的嵌套子文件夹。此参数区分大小写。默认值为 `Inbox`。
`Fetch Response Attachments`	可选如果选中此选项，并且收件人的回复包含附件，则该操作会提取回复并将其作为附件添加到操作结果中。默认情况下不选择。
`Limit the Amount of Information Returned in the JSON Result`	可选如果选中，该操作返回的信息量将仅限于关键电子邮件字段。默认处于选中状态。
`Disable the Action JSON Result`	可选如果选中，该操作不会返回 JSON 结果。默认情况下不选择。

操作输出

等待用户发送电子邮件操作提供以下输出：

操作输出类型	可用性
案例墙附件	可用
案例墙链接	不可用
案例墙表格	可用
丰富化表	不可用
JSON 结果	可用
脚本结果	可用

案例墙附件

以下 Case Wall 附件与等待用户发送电子邮件操作相关联：

类型：实体

附件内容：标题、文件名（包括扩展名，如有）、fileContent。

标题：RECIPIENT_EMAIL 回复附件。
文件名：ATTACHMENT_FILENAME + FILE_EXTENSION
fileContent: CONTENT_OF_THE_ATTACHED_FILE

案例墙表格

Wait For Email From User 操作可以生成下表：

表格标题：Matching Mails

列：

邮件 ID
收到日期
Sender
收件人
Subject

脚本结果

下表列出了使用等待用户发送电子邮件操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`true` 或 `false`

操作输出消息

等待用户发送电子邮件操作会提供以下输出消息：

输出消息消息说明

Found the user EMAIL_RECIPIENT reply: USER_REPLY

Timeout getting reply from user: EMAIL_RECIPIENT.

操作成功。

Action failed to receive any replies until timeout.

Failed to execute action, the error is: ERROR_REASON

操作失败。请检查与服务器的连接、输入参数或凭证。

等待投票电子邮件结果

使用等待投票电子邮件结果操作，根据使用发送投票电子邮件操作发送的投票电子邮件等待用户响应。

此操作是异步的。根据需要在 Google SecOps IDE 中调整操作超时。

此操作不会在 Google SecOps 实体上运行。

操作输入

Wait For Vote Email Results 操作需要以下参数：

参数	说明
`Vote Mail Sent From`	必填。 Send Vote Email 操作从中发送电子邮件的邮箱。默认值是您在集成配置中指定的邮箱。（可选）如果投票邮件是从其他邮箱发送的，您可以为此参数设置其他值。
`Mail ID`	必填。电子邮件的 ID。如果电子邮件是使用 `Send Vote Email` 操作发送的，请将参数值设置为 `SendVoteEmail.JSONResult\|id` 或 `SendEmail.JSONResult\|internetMessageId` 占位符。如需返回电子邮件 ID，您可以使用搜索电子邮件操作。
`Wait for All Recipients To Reply?`	可选如果选中此选项，该操作会等待所有收件人的回复，直到超时或收到第一个回复后继续执行。默认处于启用状态。
`Wait Stage Exclude Pattern`	可选用于从等待阶段排除特定回复的正则表达式。此参数适用于邮件正文。示例：该操作不会将自动发送的不在办公室消息视为收件人回复，而是会等待实际的用户回复。
`Folder To Check For Reply`	可选用于搜索用户回复的邮箱电子邮件文件夹。系统会在发送包含问题的电子邮件的邮箱中运行搜索。此参数接受逗号分隔列表形式的文件夹，以便在多个文件夹中检查用户响应。此参数区分大小写。默认值为 `Inbox`。
`Folder To Check For Sent Mail`	可选要在其中搜索已发邮件的邮箱文件夹。这是您发送电子邮件时使用的邮箱。此参数接受逗号分隔列表形式的文件夹，以便在多个文件夹中检查用户响应。此参数区分大小写。如需指定子文件夹，请使用 `/` 正斜杠，例如 `Inbox/Subfolder`。默认值为 `Sent Items`。
`Fetch Response Attachments`	可选如果选中此选项，并且收件人回复包含附件，则该操作会提取回复并将其作为附件添加到支持请求墙。默认情况下不选择。

操作输出

等待投票电子邮件结果操作会提供以下输出：

操作输出类型	可用性
案例墙附件	可用
案例墙链接	不可用
案例墙表格	可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

案例墙附件

以下案例墙附件与等待投票电子邮件结果操作相关联：

类型：实体

附件内容：标题、文件名（包括扩展名，如有）、fileContent。

标题：RECIPIENT_EMAIL 回复附件。
文件名：ATTACHMENT_FILENAME + FILE_EXTENSION
fileContent: CONTENT_OF_THE_ATTACHED_FILE

案例墙表格

在支持请求墙上，等待电子邮件结果操作会生成下表：

表格标题：Matching Mails

列：

邮件 ID
收到日期
Sender
收件人
Subject

JSON 结果

以下示例说明了使用等待投票电子邮件结果操作时收到的 JSON 结果输出：

{
    "Responses": [
        {
            "recipient": "user@example.com",
            "vote": "Approve"
        }
    ]
}

输出消息

Wait For Vote Email Results 操作会提供以下输出消息：

输出消息消息说明

Found the user EMAIL_RECIPIENT reply: USER_REPLY.

Exceeded timeout to get a reply from user: EMAIL_RECIPIENT.

操作成功。

Action failed to receive any replies until timeout.

Failed to execute action, the error is: ERROR_REASON

操作失败。

请检查与服务器的连接、输入参数或凭据。

脚本结果

下表介绍了使用等待投票电子邮件结果操作时脚本结果输出的值：

脚本结果名称	值
`is_success`	`True` 或 `False`

连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅注入数据（连接器）。

Microsoft Graph Mail 委托连接器

使用 Microsoft Graph Mail Delegated Connector 从 Microsoft Graph 邮件服务中检索邮件。

Microsoft Graph Mail Delegated Connector 在 Microsoft 365 中使用委托身份验证，并且需要用户进行交互式登录才能连接到 Microsoft 365。

使用动态列表，通过正则表达式从邮件正文和主题部分过滤指定的值。默认情况下，连接器会使用正则表达式从电子邮件中过滤出网址。

连接器前提条件

Microsoft Graph Mail Delegated Connector 要求您配置集成参数并生成刷新令牌。

连接器输入

Microsoft Graph Mail Delegated Connector 需要以下参数：

参数	说明
`Product Field Name`	必填。存储商品名称的字段的名称。默认值为 `device_product`。商品名称主要影响映射。为了简化和改进连接器的映射过程，默认值 `device_product` 会解析为从代码中引用的后备值。默认情况下，此参数的任何无效输入都会解析为后备值。
`Event Field Name`	必填。用于确定事件名称（子类型）的字段名称。默认值为 `event_name`。
`Environment Field Name`	可选存储环境名称的字段的名称。如果未找到环境字段，则环境会设置为 `""`。
`Environment Regex Pattern`	可选要对 `Environment Field Name` 字段中的值运行的正则表达式模式。此参数可让您使用正则表达式逻辑来操纵环境字段。使用默认值 `.*` 检索所需的原始 `Environment Field Name` 值。如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为 `""`。
`Email Exclude Pattern`	可选用于从提取中排除特定电子邮件（例如垃圾邮件或新闻）的正则表达式。此参数同时适用于电子邮件的主题和正文。
`Script Timeout (Seconds)`	必填。运行当前脚本的 Python 进程的超时限制（以秒为单位）。默认值为 `300`。
`Microsoft Entra ID Endpoint`	必填。要在集成中使用的 Microsoft Entra 端点。默认值为 `https://login.microsoftonline.com`。
`Microsoft Graph Endpoint`	必填。要在集成中使用的 Microsoft Graph 端点。默认值为 `https://graph.microsoft.com`。
`Mail Address`	必填。供连接器使用的邮箱。
`Refresh Token`	必填。用于进行身份验证的刷新令牌。
`Client ID`	必填。 Microsoft Entra 应用的应用（客户端）ID。
`Client Secret Value`	必填。 Microsoft Entra 应用的客户端密钥值。
`Microsoft Entra ID Directory ID`	必填。 Microsoft Entra ID（租户 ID）值。
`Folder to check for emails`	必填。要搜索邮件的邮件文件夹。此参数接受以英文逗号分隔的文件夹列表，以便在多个文件夹中搜索用户回复。如需指定子文件夹，请使用 `/` 正斜杠，例如 `Inbox/Subfolder`。此参数区分大小写。默认值为 `Inbox`。
`Offset Time In Hours`	必填。首次连接器迭代检索电子邮件之前的小时数。此参数适用于您首次启用连接器后的初始连接器迭代。当最新连接器迭代的时间戳过期时，连接器可以使用此参数作为后备值。默认值为 `24`。
`Max Emails Per Cycle`	必填。每次连接器迭代要提取的电子邮件数量。默认值为 `10`。
`Unread Emails Only`	可选如果选中此选项，连接器只会根据未读电子邮件创建支持请求。默认情况下不选择。
`Mark Emails as Read`	可选如果选中此选项，连接器会在提取电子邮件后将其标记为已读。默认情况下不选择。
`Disable Overflow`	可选如果选中，连接器会忽略 Google SecOps 溢出机制。默认情况下不选择。
`Verify SSL`	必填。如果选中，集成会在连接到 Microsoft Graph 时验证 SSL 证书。默认处于启用状态。
`Original Received Mail Prefix`	可选要添加到从受监控邮箱中收到的原始电子邮件中提取的事件键（例如 `to`、`from` 或 `subject`）的前缀。默认值为 `orig`。
`Attached Mail File Prefix`	可选要添加到从受监控邮箱中收到的附加电子邮件文件中提取的事件键（例如 `to`、`from` 或 `subject`）的前缀。默认值为 `attach`。
`Create a Separate Google Secops Alert per Attached Mail File`	可选如果选中此选项，连接器会创建多个提醒，每个附加的电子邮件文件对应一个提醒。当您处理附加了多个电子邮件文件的电子邮件，并将 Google SecOps 事件映射设置为根据附加的电子邮件文件创建实体时，此行为非常有用。默认情况下不选择。
`Attach Original EML`	可选如果选中此选项，连接器会将原始电子邮件作为 EML 文件附加到支持请求信息中。默认情况下不选择。
`Headers to add to events`	可选要添加到 Google SecOps 事件中的邮件标头（以逗号分隔的字符串），例如 `DKIM-Siganture`、`Received` 或 `From`。您可以为标头配置完全匹配，也可以将此参数值设置为正则表达式。连接器会从 `internetMessageHeaders` 列表中过滤配置的值，并将其添加到 Google SecOps 事件中。如需阻止连接器向事件添加标头，请将参数值设置为 `None`。默认情况下，连接器会添加所有可用的标头。
`Case Name Template`	可选自定义支持请求名称。配置此参数后，连接器会向 Google SecOps SOAR 事件添加一个名为 `custom_case_name` 的新键。您可以采用以下格式提供占位符：`[name of the field]`。示例：`Phishing - [event_mailbox]`。对于占位符，连接器使用第一个 Google SecOps SOAR 事件。连接器仅处理包含字符串值的键。
`Alert Name Template`	可选自定义提醒名称。您可以采用以下格式提供占位符：`[name of the field]`。示例：`Phishing - [event_mailbox]`。对于占位符，连接器会使用第一个 Google SecOps SOAR 事件。连接器仅处理包含字符串值的键。如果您未提供任何值或提供了无效模板，连接器将使用默认提醒名称。
`Proxy Server Address`	可选要使用的代理服务器的地址。
`Proxy Username`	可选用于进行身份验证的代理用户名。
`Proxy Password`	可选用于进行身份验证的代理密码。
`Mail Field Source`	可选如果选中，集成会从用户详细信息 `mail` 属性中检索邮箱地址。如果未选择，集成会从 `userPrincipalName` 字段中检索邮箱地址。默认处于启用状态。
`Extract URLs from HTML Email Part`	可选如果选中，连接器会从电子邮件的 HTML 正文中提取网址。这样，连接器就可以提取复杂的网址，但不会从电子邮件的纯文本部分提取网址。提取的网址可在 `urls_from_html_part` 事件字段中找到。默认处于启用状态。
`Event Fields to Exclude`	可选以逗号分隔列表形式表示的事件字段，这些字段在创建事件时会被排除（例如 `field1, field2`）。
`Exclude Attachments`	可选如果选中此选项，连接器不会注入电子邮件附件，也不会将其添加到案例中。
`Bypass S/MIME Signature Verification`	可选如果选择此选项，连接器会提取 S/MIME 签名的电子邮件，而无需使用 Base64 编码的 CA 证书进行签名验证。邮件正文、标头和附件会直接提取。
`Base64 Encoded Private Key`	可选用于解密传入的 S/MIME 加密电子邮件的 Base64 编码私钥。如果提供了此属性，您还必须提供 `Base64 Encoded Certificate`。
`Base64 Encoded Certificate`	可选用于解密传入的 S/MIME 加密电子邮件的 Base64 编码证书。如果提供了此属性，您还必须提供 `Base64 Encoded Private Key`。
`Base64 Encoded CA certificate`	可选用于验证传入 S/MIME 邮件数字签名的 Base64 编码受信任 CA 证书。如果未提供 CA 证书，则传入的已签名电子邮件的签名验证会失败，除非启用了 `Bypass S/MIME Signature Verification`。

连接器规则

此连接器支持代理。

作业

如需在 Google SecOps 中配置作业，请完成以下步骤：

在左侧导航栏中，依次选择响应 > 作业调度器。
在作业标签页中，点击 add 创建新作业。
从列表中选择所需作业，然后点击保存。
继续进行作业配置。

刷新令牌续订作业

使用刷新令牌续订作业定期更新集成的刷新令牌。

默认情况下，刷新令牌每 90 天过期一次。我们建议您将此作业配置为每 7 天或 14 天自动运行一次，以使刷新令牌保持最新状态。

作业输入

刷新令牌续订作业需要以下参数：

参数说明

Integration Environments

可选

要为其更新刷新令牌的集成环境。此参数接受多个值，以逗号分隔的字符串形式表示。

如需配置此参数，请用 "" 英文双引号将每个环境名称括起来，例如 "Default environment"、"Environment 1" 或 "Environment 5"。

Connector Names

可选

要为其更新刷新令牌的连接器名称。此参数接受以逗号分隔的字符串形式的多个值。

如需配置此参数，请将每个连接器名称括在 "" 双引号中，例如 "Microsoft Graph Mail Delegated Connector"、"Connector 2" 或 "Connector 5"。