將 Microsoft Graph Mail 與 Google SecOps 整合

本文說明如何將 Microsoft Graph Mail 與 Google Security Operations (Google SecOps) 整合。

事前準備

設定 Microsoft Graph Mail 整合前，請先完成下列事項：

  1. 建立 Microsoft Entra 應用程式。

  2. 設定應用程式的 API 權限。

  3. 建立用戶端密鑰。

建立 Microsoft Entra 應用程式

如要建立 Microsoft Entra 應用程式，請完成下列步驟：

  1. 以使用者管理員或密碼管理員的身分登入 Azure 入口網站。

  2. 選取「Microsoft Entra ID」。

  3. 依序前往「App registrations」>「New registration」。

  4. 輸入應用程式名稱。

  5. 按一下「註冊」。

    本文提供使用單一租戶設定的範例。這項整合功能使用 OAuth 2.0 用戶端憑證流程，因此不會發生互動式使用者登入。因此不需要 Redirect URI。

  6. 儲存「Application (client) ID」和「Directory (tenant) ID」值，以便設定整合參數。

設定 API 權限

如要設定整合的 API 權限，請完成下列步驟：

  1. 在 Azure 入口網站，依序前往 「API Permissions」 > 「Add a permission」。

  2. 依序選取「Microsoft Graph」 > 「Application permissions」。

  3. 在「Select Permissions」(選取權限) 部分，選取下列必要權限：

    • Mail.Read
    • Mail.ReadWrite
    • Mail.Send
    • User.Read
    • Directory.Read.All

  4. 按一下「Add permissions」。

  5. 按一下「Grant admin consent for ORGANIZATION_NAME」。

    畫面顯示「Grant admin consent confirmation」對話方塊時，按一下「Yes」。

限制應用程式存取特定信箱

根據預設，具有 Mail.ReadWrite 或 Mail.Send 應用程式權限的應用程式，可以存取貴組織的所有信箱。如要限制應用程式只能存取特定信箱，請在 Microsoft Exchange Online 中設定應用程式存取政策。

如要設定應用程式存取政策，請完成下列步驟：

  1. 連線至 Exchange Online PowerShell：

    1. 以管理員身分開啟 PowerShell。

    2. 安裝 Exchange Online 管理模組 (如果尚未安裝)：

      Install-Module -Name ExchangeOnlineManagement

    3. 連線至 Exchange Online：

      Connect-ExchangeOnline

  2. 找出應用程式 ID 和目標信箱：

    1. 從 Azure AD 取得 Microsoft Graph Mail 應用程式的用戶端 ID (應用程式 ID)。

    2. 找出您要讓應用程式存取的信箱電子郵件地址。為方便管理，請在 Azure AD 中建立啟用郵件功能的安全性群組，並將這些信箱新增為成員。

  3. 建立應用程式存取權政策：

    1. 使用 New-ApplicationAccessPolicy cmdlet 建立政策，限制對所選信箱的存取權。

    2. 選用：限制特定信箱安全性群組的存取權：

      1. 將 <Your_Application_ID> 替換為應用程式的用戶端 ID。

      2. 將 <Security_Group_Email_Address> 替換為包含允許信箱的安全性群組電子郵件地址。

      New-ApplicationAccessPolicy -AppId "<Your_Application_ID>" -PolicyScopeGroupId "<Security_Group_Email_Address>" -AccessRight RestrictAccess -Description "SOAR Graph Mail Access Policy"

  4. 使用 Test-ApplicationAccessPolicy Cmdlet 驗證政策成效：

       Test-ApplicationAccessPolicy -AppId "<Your_Application_ID>" -Identity "user_email_to_test@yourdomain.com"

    這項指令會根據套用的政策，指出應用程式是否能存取指定信箱。

注意：

  • 您必須具備 Exchange Online 的 OrganizationManagement 或 Security Administrator 權限，才能建立這些政策。

  • 政策變更通常會在 30 分鐘內生效。

  • 套用政策後，應用程式只能存取允許的信箱。如果嘗試存取其他項目，系統會傳回 Access Denied 錯誤。

建立用戶端密鑰

如要建立用戶端密鑰，請完成下列步驟：

  1. 依序前往「Certificates and secrets」(憑證和密鑰) >「New client secret」(新增用戶端密鑰)。

  2. 提供用戶端密鑰的說明，並設定到期期限。

  3. 按一下「新增」。

  4. 儲存用戶端密鑰的值 (而非密鑰 ID)，以便在設定整合時，將其做為「Secret ID」(密鑰 ID) 參數值使用。用戶端密鑰值只會顯示一次。

整合參數

Microsoft Graph Mail 整合需要下列參數：
參數 說明
Azure AD Endpoint

這是必填欄位。

要在整合作業中使用的 Microsoft Entra ID 端點。

不同租戶類型的值可能不同。

預設值為 https://login.microsoftonline.com。
Microsoft Graph Endpoint

這是必填欄位。

要在整合作業中使用的 Microsoft Graph 端點。

不同租戶類型的值可能不同。

預設值為 https://graph.microsoft.com。
Client ID

這是必填欄位。

要用於整合的 Microsoft Entra 應用程式用戶端 (應用程式) ID。
Secret ID

這是必填欄位。

Microsoft Entra 應用程式的用戶端密鑰值，用於整合。
Tenant

這是必填欄位。

Microsoft Entra ID (租戶 ID) 值。
Default Mailbox

這是必填欄位。

要在整合中使用的信箱。
Mail Field Source

選填。

如果選取這個選項，整合功能會從使用者詳細資料 mail 屬性擷取信箱地址。如未選取，整合功能會從 userPrincipalName 欄位擷取信箱地址。

預設為未選取。
Verify SSL

這是必填欄位。

如果選取，整合功能會在連線至 Microsoft Graph 伺服器時驗證 SSL 憑證。

(預設為啟用)。
Base64 Encoded Private Key

選填。

Base64 編碼的私密金鑰，用於解密 S/MIME 加密電子郵件。

如果提供值，則必須一併提供 Base64 Encoded Certificate。
Base64 Encoded Certificate

選填。

用於解密 S/MIME 加密電子郵件的 Base64 編碼憑證。

如果提供值，則必須一併提供 Base64 Encoded Private Key。
Base64 Encoded CA certificate

選填。

用於驗證簽章的 Base64 編碼信任 CA 憑證。

如果未提供任何值，除非啟用 Bypass S/MIME Signature Verification，否則系統會無法驗證內送已簽署電子郵件的簽章。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

封鎖網域

使用「封鎖網域」動作，將特定電子郵件網域新增至目標信箱的郵件規則，即可封鎖這些網域。如果規則不存在，系統會建立規則。

這項操作是非同步的。視需要調整 Google SecOps 整合式開發環境 (IDE) 中的動作逾時時間。

動作輸入內容

封鎖網域動作需要下列參數：

參數 說明
Domains

選填。

以半形逗號分隔的寄件者網域清單 (例如 example.com)，系統會封鎖這些網域。在這個欄位手動輸入的網域，以及從實體動態擷取的網域，都會新增至規則條件。
Mailboxes

這是必要旗標，預設值為 Default Mailbox。

要新增郵件規則的信箱。可以是以半形逗號分隔的使用者主體名稱清單。
Rule Name

這是必要旗標，預設值為 Google SecOps - Blocked Domains。

要加入這些網域的郵件規則名稱。如果規則已存在，系統會更新規則。
Action

這是必要旗標，預設值為 Select One。

應對這些網域採取的動作。可能的值：Select One、Move To Junk、Delete。Move To Junk 會將郵件移至「垃圾郵件」資料夾，Delete 則會將郵件轉送至「刪除的郵件」。如果規則存在，Select One 會保留現有動作。
How many mailboxes to process in a single batch

選用。預設值為 20。

指定動作在單一批次中應處理的信箱數量。

動作輸出內容

「封鎖網域」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「封鎖網域」動作時，收到的 JSON 結果輸出內容：

{
    "status": "Success",
    "mailbox": "user@domain.com",
    "blocked_domain": "malicious-domain.com"
}
輸出訊息

「Block Domain」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully blocked domain DOMAIN for mailbox MAILBOX.

 動作成功。

Failed to block domain DOMAIN for mailbox MAILBOX. Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「封鎖網域」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

封鎖寄件者

使用「封鎖寄件者」動作，將指定電子郵件寄件者加入目標信箱的郵件規則，即可封鎖這些寄件者。如果規則不存在，系統會建立規則。

這項操作是非同步的。視需要調整 Google SecOps 整合式開發環境 (IDE) 中的動作逾時時間。

動作輸入內容

「封鎖寄件者」動作需要下列參數：

參數 說明
Senders

選填。

列出要封鎖的寄件者電子郵件地址，並以半形逗號分隔。寄件者手動輸入這個欄位，並從實體動態擷取寄件者，兩者會一起運作，並新增至規則條件。
Mailboxes

這是必要旗標，預設值為 Default Mailbox。

要新增郵件規則的信箱。可以是以半形逗號分隔的使用者主體名稱清單。
Rule Name

這是必要旗標，預設值為 Google SecOps - Blocked Senders。

要將這些寄件者加入的郵件規則名稱。如果規則已存在，系統會更新規則。
Action

這是必要旗標，預設值為 Select One。

應對這些寄件者採取的動作。可能的值：Select One、Move To Junk、Delete。Move To Junk 會將郵件移至「垃圾郵件」資料夾，Delete 則會將郵件轉送至「刪除的郵件」。如果規則存在，Select One 會保留現有動作。
How many mailboxes to process in a single batch

選用。預設值為 20。

指定動作在單一批次中應處理的信箱數量。

動作輸出內容

「封鎖寄件者」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「封鎖寄件者」動作時，收到的 JSON 結果輸出內容：

[
  {
    "Entity": "user@example.com",
    "EntityResult": {
      "successful_mailboxes": [
        "target@example.com"
      ],
      "failed_mailboxes": []
    }
  }
]
輸出訊息

「封鎖寄件者」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully blocked sender SENDER for mailbox MAILBOX.

 動作成功。

Failed to block sender SENDER for mailbox MAILBOX. Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「封鎖寄件者」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

刪除電子郵件

您可以使用「Delete Email」動作，從信箱中刪除一或多封電子郵件。這項操作會根據搜尋條件刪除電子郵件。只要具備適當權限，Delete Email 動作就能將電子郵件移至不同信箱。

這項操作是非同步的。視需要調整 Google SecOps 整合式開發環境 (IDE) 中的動作逾時時間。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「刪除電子郵件」動作需要下列參數：

參數 說明
Delete In Mailbox

這是必填欄位。

執行刪除作業的預設信箱。如果權限允許，這項動作也可以搜尋其他信箱。這個參數接受多個值，請以半形逗號分隔。
Folder Name

這是必填欄位。

要搜尋電子郵件的信箱資料夾。如要指定子資料夾，請使用 / 正斜線，例如 Inbox/Subfolder。
Mail IDs

選用

用於搜尋特定電子郵件 ID 的篩選條件。

這個參數接受以半形逗號分隔的電子郵件 ID 清單，用於搜尋。

如果提供這個參數，搜尋會忽略 Subject Filter 和 Sender Filter 參數。
Subject Filter

選用

指定要搜尋的電子郵件主旨篩選條件。
Sender Filter

選用

篩選條件，指定所要求電子郵件的寄件者。
Timeframe (Minutes)

選用

篩選條件，指定搜尋電子郵件的時間範圍 (以分鐘為單位)。
Only Unread

選用

如果選取，動作只會搜尋未讀電子郵件。

預設為未選取。
How many mailboxes to process in a single batch

選用

單一批次 (與郵件伺服器建立單一連線) 處理的信箱數量。

預設值為 25。

動作輸出內容

下表說明與「Delete Email」(刪除電子郵件) 動作相關聯的輸出類型：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「刪除電子郵件」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully deleted emails in the following mailboxes: MAILBOX_NAME: DELETED_EMAILS_NUMBER

Mailbox MAILBOX was not found.

 動作成功。

Action was not able to find any emails based on the specified search criteria.

Action failed to delete any emails because the provided mailbox folder name was not found in the mailbox(es): MAILBOX_NAME, MAILBOX_FOLDER

Failed to find any of the provided mailboxes: MAILBOX_LIST

Failed to execute action, the error is: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Delete Email」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

刪除收件匣規則

使用「刪除收件匣規則」動作，刪除指定信箱的特定收件匣郵件規則。 這項操作是非同步的。視需要調整 Google SecOps 整合式開發環境 (IDE) 中的動作逾時時間。

動作輸入內容

「刪除收件匣規則」動作需要下列參數：

參數 說明
Mailboxes

這是必要旗標，預設值為 Default Mailbox。

要刪除郵件規則的信箱。可以是以半形逗號分隔的使用者主體 UPN 清單。
Rule Name

這是必填欄位。

要刪除的收件匣郵件規則確切名稱。
How many mailboxes to process in a single batch

選用。預設值為 25。

指定動作在單一批次中應處理的信箱數量。如未提供任何值，系統會使用預設值 25。

動作輸出內容

「刪除收件匣規則」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「Delete Inbox Rules」動作時，收到的 JSON 結果輸出內容：

{
    "deleted_rule": [
        "New test cases"
    ],
    "successful_mailboxes": [
        "labops1@siemplifycyarx.onmicrosoft.com"
    ],
    "failed_mailboxes": [
        "user2@example.com",
        "user3@example.com"
    ]
}
輸出訊息

「刪除收件匣規則」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully deleted inbox rule RULE_NAME from mailbox MAILBOX.

 動作成功。

Failed to delete inbox rule RULE_NAME from mailbox MAILBOX. Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「刪除收件匣規則」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

下載電子郵件附件

使用「Download Attachments From Email」動作，根據提供的條件從電子郵件下載附件。

這項動作不會在 Google SecOps 實體上執行。

這項操作是非同步的。如有需要，請在 Google SecOps IDE 中調整指令碼逾時值。

這項動作會取代 \` forward slash or/backslash characters in the names of the downloaded attachments with the_` 底線字元。

動作輸入內容

「Download Attachments From Email」(從電子郵件下載附件) 動作需要下列參數：

參數 說明
Search In Mailbox

這是必填欄位。

執行搜尋作業的預設信箱。 如果權限允許，這項動作也可以搜尋其他信箱。 這個參數接受多個值，請以半形逗號分隔。
Folder Name

這是必填欄位。

要執行搜尋的信箱資料夾。如要指定子資料夾，請使用 / 正斜線，例如 Inbox/Subfolder。
Download Destination

這是必填欄位。

用於儲存下載附件的儲存空間類型。

根據預設，這項動作會嘗試將附件儲存至 Cloud Storage bucket。將附件儲存至本機檔案系統是備用選項。

可能的值為 GCP Bucket 和 Local File System。預設值為 GCP Bucket。
Download Path

這是必填欄位。

下載附件的路徑。

將附件儲存至 Cloud Storage bucket 或本機檔案系統時，您必須以 Unix 格式指定下載路徑，例如 /tmp/test。
Mail IDs

選用

用於搜尋特定電子郵件 ID 的篩選條件。

這個參數接受以半形逗號分隔的電子郵件 ID 清單，用於搜尋。

如果提供這個參數，搜尋會忽略 Subject Filter 和 Sender Filter 參數。
Subject Filter

選用

指定要搜尋的電子郵件主旨篩選條件。

這個篩選器使用 contains 邏輯。
Sender Filter

選用

篩選條件，指定所要求電子郵件的寄件者。

這個篩選器使用 equals 邏輯。
Download Attachments From EML

選用

如果選取這個選項，系統會從 EML 檔案下載附件。

預設為未選取。
Download attachments to unique path?

選用

如果選取這個選項，動作會將附件下載到 Download Path 參數欄位中提供的專屬路徑，避免覆寫先前下載的附件。

預設為未選取。
How many mailboxes to process in a single batch

選用

單一批次 (與郵件伺服器建立單一連線) 處理的信箱數量。

預設值為 25。

動作輸出內容

「Download Attachments From Email」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「Download Attachments From Email」動作時，收到的 JSON 結果輸出內容：

[
    {
        "attachment_name": "name1.png",
        "downloaded_path": "file_path/name1.png"
    },
    {
        "attachment_name": "name2.png",
        "downloaded_path": "file_path/name2.png"
    }
]
輸出訊息

「Download Attachments From Email」(下載電子郵件附件) 動作會提供下列輸出訊息：

輸出訊息 訊息說明

Downloaded NUMBER_OF_ATTACHMENTS attachments. Files: PATHS.

Failed to find emails in MAILBOX with the following mail ids: EMAIL_IDS.

In the mailboxes listed below, emails were found, but there were no attachments to download. Affected mailboxes: MAILBOXES. Mail IDs without attachments to download: LIST_OF_EMAIL_IDS attachments.

 動作成功。

Failed to find any emails using the provided criteria!

Failed to find any of the provided mailboxes: MAILBOXES

Action failed to run because the provided mailbox folder name FOLDER_NAME was not found in the mailbox MAILBOX。

Error executing action. Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Download Attachments From Email」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

從附加的 EML 擷取資料

使用「Extract Data From Attached EML」動作，從電子郵件 EML 附件中擷取資料，並在動作結果中傳回。這項動作支援 .eml、.msg 和 .ics 檔案格式。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Extract Data From Attached EML」動作需要下列參數：

參數 說明
Search In Mailbox

這是必填欄位。

執行搜尋作業的預設信箱。 如果權限允許，這項動作也可以搜尋其他信箱。 這個參數接受多個值，請以半形逗號分隔。
Folder Name

選用

要執行搜尋的信箱資料夾。如要指定子資料夾，請使用 / 正斜線，例如 Inbox/Subfolder。
Mail IDs

這是必填欄位。

用於搜尋特定電子郵件 ID 的篩選條件。

這個參數接受以半形逗號分隔的電子郵件 ID 清單，用於搜尋。
Regex Map JSON

選用

JSON 定義，內含要套用至附加電子郵件檔案的規則運算式，並在動作 JSON 結果中產生額外的鍵值。這個參數值的範例如下：

{ips: \\b\\\\d{1,3}\\\\.\\\\d{1,3}\\\\.\\\\d{1,3}\\\\.\\\\d{1,3}\\b}

動作輸出內容

「Extract Data From Attached EML」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「Extract Data From Attached EML」動作時，收到的 JSON 結果輸出內容：

[
    {
        "type": "EML",
        "subject": "examplesubject",
        "from": "sender@example.com",
        "to": "user1@example.com,user2@example.com",
        "date": "Thu,4Jul202412:11:29+0530",
        "text": "text",
        "html": "<p>example-html</p>",
        "regex": {},
        "regex_from_text_part": {},
        "id": "ID",
        "name": "example.eml"
    },
    {
        "type": "MSG",
        "subject": "examplesubject",
        "from": "user@example.com",
        "to": "user1@example.com,user2@example.com",
        "date": "Thu,4Jul202412:11:29+0530",
        "text": "text",
        "html": "<p>examplehtml</p>",
        "regex": {},
        "regex_from_text_part": {},
        "id": "ID",
        "name": "example.msg"
    },
    {
        "type": "ICS",
        "subject": "examplesubject",
        "from": "sender@example.com",
        "to": "user1@example.com,user2@example.com",
        "date": "Thu,4Jul202412:11:29+0530",
        "text": "text",
        "html": "<p>example-html</p>",
        "regex": {},
        "regex_from_text_part": {},
        "id": "ID",
        "name": "example.ics"
    }
]
輸出訊息

「Extract Data From Attached EML」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Extracted data from ATTACHMENT_NAMES attached email files. Files: PATHS

Failed to find emails in MAILBOX with the following mail ids: MAIL_ID_LIST

 動作成功。

Failed to find any emails using the provided criteria!

Failed to find any of the provided mailboxes: MAILBOX_LIST

Action failed to run because the provided mailbox folder name MAILBOX_FOLDER was not found in the mailbox MAILBOX

Failed to execute action, the error is: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Extract Data From Attached EML」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

轉寄電子郵件

使用「轉寄電子郵件」動作，轉寄包含先前討論串的電子郵件。只要具備適當權限，這項動作就能從與整合設定中指定的信箱不同的信箱傳送電子郵件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「轉寄電子郵件」動作需要下列參數：

參數 說明
Send From

這是必填欄位。

如果權限允許，可選擇用來傳送電子郵件的電子郵件地址。

根據預設，電子郵件會從整合作業設定中指定的預設信箱傳送。
Folder Name

選用

要搜尋電子郵件的信箱資料夾。如要指定子資料夾，請使用 / 正斜線，例如 Inbox/Subfolder。
Mail ID

這是必填欄位。

要轉寄的電子郵件 ID。
Subject

這是必填欄位。

電子郵件主旨。
Send to

這是必填欄位。

以半形逗號分隔的電子郵件收件者電子郵件地址清單，例如 user1@example.com, user2@example.com。
CC

選用

電子郵件副本欄位的電子郵件地址清單，以半形逗號分隔。

格式與 Send to 參數相同。
BCC

選用

電子郵件密件副本欄位的電子郵件地址清單，以半形逗號分隔。

格式與 Send to 參數相同。
Attachments Paths

選用

以半形逗號分隔的清單，列出伺服器上儲存的檔案附件路徑，例如 /FILE_DIRECTORY/file.pdf、/FILE_DIRECTORY/image.jpg。
Mail content

這是必填欄位。

電子郵件內文。

動作輸出內容

下表說明與「Forward Email」(轉寄電子郵件) 動作相關聯的輸出類型：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「轉寄電子郵件」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Email with message ID MAIL_ID was forwarded successfully. 動作成功。

Error executing action "Forward Email" because the provided mail id EMAIL_ID was not found.

Action failed to delete any emails because the provided mailbox folder name was not found in the mailbox(es): MAILBOX: MAILBOX_FOLDER

Action failed to run because specified attachments were not found: ATTACHMENTS_LIST

Failed to execute action, the error is: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Forward Email」(轉寄電子郵件) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

取得信箱帳戶的「不在辦公室」設定

使用「Get Mailbox Account Out Of Facility Settings」動作，擷取所提供 Google SecOps User 實體的信箱帳戶不在辦公室 (OOF) 設定。

「Get Mailbox Account Out Of Facility Settings」動作會使用 Microsoft Graph API 的 Beta 版。

這項動作會在 Google SecOps User 實體上執行。

動作輸入內容

無

動作輸出內容

「Get Mailbox Account Out Of Facility Settings」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Mailbox Account Out Of Facility Settings」動作時，收到的 JSON 結果輸出內容：

{
   "@odata.context": "https://graph.microsoft.com/beta/$metadata#communications/presences/$entity",
   "id": "ID",
   "availability": "Offline",
   "activity": "Offline",
   "statusMessage": null,
   "outOfOfficeSettings": {
       "message": "\n\nOut Of Facility111\n",
       "isOutOfOffice": true
   }
}
輸出訊息

「Get Mailbox Account Out Of Facility Settings」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned OOF settings for ENTITY_ID.

Failed to find the following usernames in Office 365 service: USERNAME_LIST.

 動作成功。

Error executing action "Add Identity Protection Detection Comment". Reason: ERROR_REASON

Action wasn't able to find OOF settings for ENTITY_ID.

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Mailbox Account Out Of Facility Settings」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

清單規則

使用「List Rules」動作，透過 Microsoft Graph API 列出特定信箱的所有郵件規則。

動作輸入內容

List Rules 動作需要下列參數：

參數 說明
Mailboxes

這是必要旗標，預設值為 Default Mailbox。

要列出規則的信箱。可以是以半形逗號分隔的使用者主體名稱清單。
Rule Name

選填。

依規則的顯示名稱篩選。
Limit

選用。預設值為 20。

限制每個信箱傳回的規則數量。

動作輸出內容

「List Rules」(列出規則) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
案件總覽表格

「List Rules」動作會在案件牆表格中提供執行詳細資料。

JSON 結果

以下範例說明使用「List Rules」動作時，收到的 JSON 結果輸出內容：

[
  {
    "mailbox": "user@example.com",
    "rules": [
      {
        "id": "AAMkAD...",
        "displayName": "Google SecOps - Blocked Senders",
        "sequence": 1,
        "isEnabled": true
      }
    ]
  }
]
輸出訊息

「List Rules」(列出規則) 動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully fetched NUMBER_OF_RULES rules for mailbox MAILBOX.

 動作成功。

Failed to fetch rules for mailbox MAILBOX. Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「List Rules」(列出規則) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

將電子郵件標示為垃圾郵件

使用「將電子郵件標示為垃圾郵件」動作，將指定信箱中的電子郵件標示為垃圾郵件。這項操作會將電子郵件寄件者加入封鎖的寄件者清單，並將郵件移至「垃圾郵件」資料夾。

「將電子郵件標示為垃圾郵件」動作會使用 Beta 版 Microsoft Graph API。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「將電子郵件標示為垃圾郵件」動作需要下列參數：

參數 說明
Search In Mailbox

這是必填欄位。

要搜尋電子郵件的信箱。

根據預設，這項動作會嘗試在整合設定中指定的預設信箱中搜尋電子郵件。如要在其他信箱中執行搜尋，請為該動作設定適當權限。

這項參數接受多個值，請以半形逗號分隔。
Folder Name

這是必填欄位。

要搜尋電子郵件的信箱資料夾。如要指定子資料夾，請使用 / 正斜線，例如 Inbox/Subfolder。

預設值為 Inbox。
Mail IDs

這是必填欄位。

要標示為垃圾郵件的郵件 ID 或 internetMessageId 值。

這個參數接受多個值，並以半形逗號分隔。

動作輸出內容

「將電子郵件標示為垃圾郵件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「將電子郵件標示為垃圾郵件」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully marked the email as junk.

Failed to find email with ID ID in MAILBOX.

Mailbox MAILBOX was not found.

 動作成功。

Error executing action "Mark Email as Junk". Reason: ERROR_REASON

Failed to find any emails based on provided parameters!

Action failed to run because the provided mailbox folder name MAILBOX_FOLDER was not found in the mailbox MAILBOX.

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「將電子郵件標示為垃圾郵件」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

將電子郵件標示為非垃圾郵件

使用「將電子郵件標示為非垃圾郵件」動作，將特定信箱中的電子郵件標示為非垃圾郵件。這項操作會將寄件者從封鎖清單中移除，並將郵件移至「收件匣」資料夾。

「將電子郵件標示為非垃圾郵件」動作會使用 Beta 版 Microsoft Graph API。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「將電子郵件標示為非垃圾郵件」動作需要下列參數：

參數 說明
Search In Mailbox

這是必填欄位。

要搜尋電子郵件的信箱。

根據預設，這項動作會嘗試在整合設定中指定的預設信箱中搜尋電子郵件。如要在其他信箱中執行搜尋，請為該動作設定適當權限。

這項參數接受多個值，請以半形逗號分隔。
Folder Name

這是必填欄位。

要搜尋電子郵件的信箱資料夾。如要指定子資料夾，請使用 / 正斜線，例如 Inbox/Subfolder。
Mail IDs

這是必填欄位。

要標示為垃圾郵件的郵件 ID 或 internetMessageId 值。

這項參數接受多個值，請以半形逗號分隔。

動作輸出內容

「將電子郵件標示為非垃圾郵件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「將電子郵件標示為非垃圾郵件」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully marked the email as not junk.

Failed to find email with ID ID in MAILBOX.

Mailbox MAILBOX was not found.

 動作成功。

Error executing action "Mark Email as Not Junk". Reason: ERROR_REASON

Failed to find any emails based on provided parameters!

Action failed to run because the provided mailbox folder name MAILBOX_FOLDER was not found in the mailbox MAILBOX.

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「將電子郵件標示為非垃圾郵件」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

將電子郵件移至資料夾

使用「Move Email To Folder」動作，將一或多封電子郵件從來源電子郵件資料夾移至信箱中的其他資料夾。只要具備適當權限，這項動作就能將電子郵件移至其他信箱，不限於整合設定中提供的信箱。

這項操作是非同步的。視需要調整 Google SecOps 整合式開發環境 (IDE) 中的動作逾時時間。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

如要設定「Move Email To Folder」動作，請使用下列參數：

參數 說明
Move In Mailbox

這是必填欄位。

執行移動作業的預設信箱。 如果權限允許，這項動作也可以搜尋其他信箱。這項參數接受多個值，請以半形逗號分隔。
Source Folder Name

這是必填欄位。

要移出電子郵件的來源資料夾。如要指定子資料夾，請使用 / 正斜線，例如 Inbox/Subfolder。
Destination Folder Name

這是必填欄位。

要移入電子郵件的目標資料夾。

請按照下列格式提供參數值：Inbox/folder_name/subfolder_name。這個參數不區分大小寫。
Mail IDs

選用

用於搜尋特定電子郵件 ID 的篩選條件。

這個參數接受以半形逗號分隔的電子郵件 ID 清單，用於搜尋。

如果提供這個參數，搜尋會忽略 Subject Filter 和 Sender Filter 參數。
Subject Filter

選用

指定要搜尋的電子郵件主旨篩選條件。

這個篩選器使用 contains 邏輯。
Sender Filter

選用

篩選條件，指定所要求電子郵件的寄件者。

這個篩選器使用 equals 邏輯。
Timeframe (Minutes)

選用

篩選條件，指定搜尋電子郵件的時間範圍 (以分鐘為單位)。
Only Unread

選用

如果選取，動作只會搜尋未讀電子郵件。

預設為未選取。
How many mailboxes to process in a single batch

選用

單一批次 (與郵件伺服器建立單一連線) 處理的信箱數量。

預設值為 25。

動作輸出內容

下表說明與「Move Email To Folder」(將電子郵件移至資料夾) 動作相關聯的輸出類型：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「Move Email To Folder」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully moved emails in the following mailboxes: MAILBOX: MOVED_EMAILS_NUMBER

Mailbox MAILBOX was not found.

 動作成功。

Action was not able to find any emails based on the specified search criteria.

Action failed to move any emails because the provided source folder was not found in the mailbox(es): MAILBOX_NAME, MAILBOX_FOLDER

Action failed to move any emails because the provided destination folder was not found in the mailbox(es): MAILBOX_NAME, MAILBOX_FOLDER

Failed to find any of the provided mailboxes: MAILBOX_LIST

Failed to execute action, the error is: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Move Email To Folder」(將電子郵件移至資料夾) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

乒乓

使用 Ping 動作，測試與 Microsoft Graph 郵件服務的連線。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

下表說明與 Ping 動作相關聯的輸出類型：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

Ping 動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully connected to the Microsoft Graph mail service with the provided connection parameters! 動作成功。
Failed to connect to the Microsoft Graph mail service! Error is ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

移除封鎖網域

使用「移除封鎖網域」動作，從目標信箱的郵件規則中移除指定的電子郵件網域。如果規則變成空白，就會遭到刪除。

這項操作是非同步的。視需要調整 Google SecOps 整合式開發環境 (IDE) 中的動作逾時時間。

動作輸入內容

「Remove Block Domain」動作需要下列參數：

參數 說明
Domains

選填。

以半形逗號分隔的寄件者網域清單 (例如 example.com)。在這個欄位手動輸入的網域，以及從實體動態擷取的網域，都會從規則條件中移除。
Mailboxes

這是必要旗標，預設值為 Default Mailbox。

郵件規則所在的信箱。可以是以半形逗號分隔的使用者主體名稱清單。
Rule Name

這是必要旗標，預設值為 Google SecOps - Blocked Domains。

要從中移除這些網域的郵件規則名稱。
How many mailboxes to process in a single batch

選用。預設值為 20。

指定動作在單一批次中應處理的信箱數量。

動作輸出內容

「Remove Block Domain」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「Remove Block Domain」動作時，收到的 JSON 結果輸出內容：

[
  {
    "Entity": "example.com",
    "EntityResult": {
      "successful_mailboxes": [
        "user@example.com"
      ],
      "failed_mailboxes": []
    }
  }
]
輸出訊息

「Remove Block Domain」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully removed domain DOMAIN from the blocked senders list for mailbox MAILBOX.

 動作成功。

Failed to remove domain DOMAIN from the blocked senders list for mailbox MAILBOX. Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Remove Block Domain」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

移除封鎖寄件者

使用「移除封鎖寄件者」動作，從目標信箱的郵件規則中移除指定電子郵件寄件者。如果規則變成空白，就會遭到刪除。

這項操作是非同步的。視需要調整 Google SecOps 整合式開發環境 (IDE) 中的動作逾時時間。

動作輸入內容

「Remove Block Sender」動作需要下列參數：

參數 說明
Senders

選填。

列出要移除的寄件者電子郵件地址，並以半形逗號分隔 手動輸入這個欄位的寄件者，以及從實體動態擷取的寄件者，都會從規則條件中移除。
Mailboxes

這是必要旗標，預設值為 Default Mailbox。

郵件規則所在的信箱。可以是以半形逗號分隔的使用者主體名稱清單。
Rule Name

這是必要旗標，預設值為 Google SecOps - Blocked Senders。

要從中移除這些寄件者的郵件規則名稱。
How many mailboxes to process in a single batch

選用。預設值為 20。

指定動作在單一批次中應處理的信箱數量。

動作輸出內容

「Remove Block Sender」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「移除封鎖寄件者」動作時，收到的 JSON 結果輸出內容：

[
  {
    "Entity": "user@example.com",
    "EntityResult": {
      "successful_mailboxes": [
        "target@example.com"
      ],
      "failed_mailboxes": []
    }
  }
]
輸出訊息

「Remove Block Sender」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully removed sender SENDER from the blocked senders list for mailbox MAILBOX.

 動作成功。

Failed to remove sender SENDER from the blocked senders list for mailbox MAILBOX. Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Remove Block Sender」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

將電子郵件儲存至案件

使用「Save Email To The Case」動作，將電子郵件或電子郵件附件儲存至 Google SecOps 案件牆。只要具備適當權限，這項動作就能儲存其他信箱的電子郵件，不限於整合設定中提供的信箱。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Save Email To The Case」動作需要下列參數：

參數 說明
Search In Mailbox

這是必填欄位。

執行搜尋作業的預設信箱。 如果權限允許，這項動作也可以搜尋其他信箱。
Folder Name

選用

要搜尋電子郵件的信箱資料夾。如要指定子資料夾，請使用 / 正斜線，例如 Inbox/Subfolder。
Mail ID

這是必填欄位。

以半形逗號分隔的電子郵件 ID 清單，用於搜尋。

如果您使用「傳送電子郵件」動作傳送電子郵件，請將參數值設為 {SendEmail.JSONResult|id} 或 {SendEmail.JSONResult|internetMessageId} 預留位置。
Save Only Email Attachments

選用

如果選取這個選項，動作只會儲存指定電子郵件的附件。

預設為未選取。
Attachment To Save

選用

如果選取 Save Only Email Attachments 參數，動作只會儲存這個參數指定的附件。

這個參數接受多個值，請以半形逗號分隔。
Base64 Encode

選用

如果選取，動作會將電子郵件檔案編碼為 base64 格式。

預設為未選取。

動作輸出內容

下表說明與「Save Email To The Case」動作相關聯的輸出類型：

動作輸出類型 可用性
案件總覽附件 可用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
案件總覽附件

下列附件與「Save Email To The Case」動作相關聯：

  • EMAIL_SUBJECT.eml：如果動作會儲存電子郵件。

  • 如果動作會儲存附件，附件名稱會包含副檔名 (如有)。

JSON 結果

以下範例說明使用「Save Email To The Case」動作時，收到的 JSON 結果輸出內容：

{
    "id": "ID",
    "createdDateTime": "2024-02-16T14:10:34Z",
    "eml_info": "example_info",
    "lastModifiedDateTime": "2024-02-16T14:10:41Z",
    "changeKey": "cxsdjjh",
    "categories": [],
    "receivedDateTime": "2024-02-16T14:10:35Z",
    "sentDateTime": "2024-02-16T14:09:36Z",
    "hasAttachments": true,
    "internetMessageId": "INTERNET_MESSAGE_ID",
    "subject": "all attachments",
    "bodyPreview": "all the attachments",
    "importance": "normal",
    "parentFolderId": "PARENT_FOLDER_ID",
    "conversationId": "CONVERSATION_ID",
    "conversationIndex": "example-index",
    "isDeliveryReceiptRequested": false,
    "isReadReceiptRequested": false,
    "isRead": true,
    "isDraft": false,
    "webLink": "https://example.com/",
    "inferenceClassification": "focused",
    "body": {
        "contentType": "html",
        "content": "<html><head>example-html</head></html>"
    },
    "sender": {
        "emailAddress": {
            "name": "NAME",
            "address": "sender@example.com"
        }
    },
    "from": {
        "emailAddress": {
            "name": "NAME",
            "address": "user@example.com"
        }
    },
    "toRecipients": [
        {
            "emailAddress": {
                "name": "NAME",
                "address": "recipient@example.com"
            }
        }
    ],
    "ccRecipients": [],
    "bccRecipients": [],
    "replyTo": [],
    "flag": {
        "flagStatus": "notFlagged"
    }
}
輸出訊息

在案件總覽中，「Save Email To The Case」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Email successfully saved!

Successfully saved the following attachments: ATTACHMENTS_LIST

The following attachments were not found in email with mail id: EMAIL_ID: ATTACHMENTS_LIST

 動作成功。

Mailbox MAILBOX_NAME was not found.

Action failed to run because the provided mailbox folder name MAILBOX_FOLDER was not found in the mailbox MAILBOX_NAME

Failed to execute action, the error is: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Save Email To The Case」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

搜尋電子郵件

使用「搜尋電子郵件」動作，根據提供的搜尋條件在預設信箱中執行電子郵件搜尋。只要具備適當權限，這項動作就能在其他信箱中執行搜尋。

這項操作是非同步的。視需要調整 Google SecOps IDE 中的動作逾時時間。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「搜尋電子郵件」動作需要下列參數：

參數 說明
Search In Mailbox 必要

執行搜尋作業的預設信箱。如果權限允許，這項動作也可以搜尋其他信箱。這個參數接受多個值，請以半形逗號分隔。

如要對大量信箱執行複雜搜尋，請使用 Exchange Extension Pack 整合功能。
Folder Name 選填

要搜尋電子郵件的信箱資料夾。如要指定子資料夾，請使用 / 正斜線 (例如 Inbox/Subfolder)。

預設值為 Inbox。
Subject Filter 選用

指定要搜尋的電子郵件主旨篩選條件。這個篩選器使用 contains 邏輯。
Sender Filter 選用

指定所要求電子郵件寄件者的篩選條件。這個篩選器使用 equals 邏輯。
Recipient Filter 選用

指定要求電子郵件收件者的篩選條件。
Timeframe (minutes) 選用

篩選條件，指定搜尋電子郵件的時間範圍 (以分鐘為單位)。
Start Time 選用

以 ISO 8601 格式指定電子郵件搜尋的開始時間。這個參數的優先順序高於 Timeframe (minutes)。
End Time 選用

以 ISO 8601 格式指定電子郵件搜尋的結束時間。如未提供且 Start Time 有效，這個參數會使用目前時間。
Body Regex Filter 選用

指定規則運算式模式，在電子郵件內文中搜尋。
Message IDs 選用

以半形逗號分隔的郵件 ID 清單，用於搜尋。注意：這個篩選條件的優先順序高於其他篩選條件。
Max Emails To Return 選用

要傳回的動作電子郵件數量。如未設定值，系統會使用 API 預設值。預設值為 10。
Only Unread 選用

如果選取，動作只會搜尋未讀電子郵件。預設為未選取。
Select All Fields For Return 選用

如果選取，動作會傳回所取得電子郵件的所有可用欄位。預設為未選取。
How many mailboxes to process in a single batch 選用

單一批次 (與郵件伺服器單一連線) 處理的信箱數量。預設值為 25。
Search in all mailboxes 選用

如果選取這個選項，系統會搜尋所有可存取的信箱。預設為未選取。
Limit the Amount of Information Returned in the JSON Result 選用

如果選取這個選項，動作傳回的資訊量會限制在重要電子郵件欄位。預設為未選取。
Disable the Action JSON Result 選用

如果選取，動作就不會傳回 JSON 結果。預設為未選取。

動作輸出內容

「搜尋電子郵件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 可用
指令碼執行結果 可用
案件總覽表格

「搜尋電子郵件」動作可產生下表：

表格標題：Matching Mails

欄：

  • 郵件 ID
  • Subject
  • Sender
  • 接收端
  • Received Date
指令碼執行結果

下表列出使用「搜尋電子郵件」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false
動作輸出訊息

「搜尋電子郵件」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully found emails in the following mailboxes: MAILBOX: FOUND_EMAILS_NUMBER

Mailbox MAILBOX was not found.

Action was not able to find any emails based on the specified search criteria.

 動作成功。

Failed to find any of the provided mailboxes: MAILBOX_LIST

Failed to execute action, the error is: ERROR_REASON

 動作失敗。請檢查伺服器連線、輸入參數或憑證。

傳送電子郵件

使用「傳送電子郵件」動作，從特定信箱傳送電子郵件給任意收件者清單。

這項動作可以傳送純文字或 HTML 格式的電子郵件。只要具備適當權限，這項動作就能從整合設定指定以外的信箱傳送電子郵件。

這項動作不會在 Google SecOps 實體上執行。

S/MIME 設定快速參考

請參考下表，根據外寄電子郵件的安全等級，決定要設定哪些 S/MIME 參數：

想接收的電子郵件類型 Base64 Encoded Certificate Base64 Encoded Private Key Base64 Encoded Recipient Certificate
標準電子郵件 (無 S/MIME) 留空 留空 留空
已完成數位簽署 必填 必填 留空
加密 留空 留空 必填
已簽署並加密 必填 必填 必填

將憑證檔案轉換為 Base64

如要將憑證和私密金鑰檔案編碼為動作參數的單行 Base64 字串，請執行下列指令：

Linux 和 macOS：

base64 -w 0 sender_cert.crt
base64 -w 0 sender_key.key

Windows PowerShell：

[Convert]::ToBase64String([IO.File]::ReadAllBytes("C:\path\to\certificate.crt"))
[Convert]::ToBase64String([IO.File]::ReadAllBytes("C:\path\to\private_key.key"))

動作輸入內容

「傳送電子郵件」動作需要下列參數：

參數 說明
Send From

這是必填欄位。

如果權限允許，可選擇用來傳送電子郵件的電子郵件地址。

根據預設，這項動作會從整合作業設定中指定的預設信箱傳送電子郵件。
Subject

這是必填欄位。

電子郵件主旨。
Send to

這是必填欄位。

以半形逗號分隔的電子郵件收件者電子郵件地址清單，例如 user1@example.com, user2@example.com。
CC

選用

電子郵件副本欄位的電子郵件地址清單，以半形逗號分隔。

格式與 Send to 參數相同。
BCC

選用

電子郵件密件副本欄位的電子郵件地址清單，以半形逗號分隔。

格式與 Send to 參數相同。
Attachments Paths

選用

以半形逗號分隔的清單，列出伺服器上儲存的檔案附件路徑，例如 /FILE_DIRECTORY/file.pdf、/FILE_DIRECTORY/image.jpg。
Attachments Location

這是必填欄位。

附件的儲存位置。

根據預設，這項動作會嘗試從 Cloud Storage bucket 上傳附件。

可能的值為 GCP Bucket 或 Local File System。預設值為 GCP Bucket。
Mail Content Type

選用

電子郵件內容的類型。

可能的值如下：

  • Text
  • HTML

預設值為 Text。
Mail Content

這是必填欄位。

電子郵件內文。
Reply-To Recipients

選用

以半形逗號分隔的收件者清單，用於「Reply-To」標頭。

使用「Reply-To」標頭，將回覆電子郵件重新導向至指定的電子郵件地址，而非「From」欄位中的寄件者地址。
Base64 Encoded Certificate

選用

寄件者的 Base64 編碼 X.509 公開憑證 (.cer、.crt、.pem) (單行格式)。用於 S/MIME 數位簽章。

如果提供這項資訊，則必須一併提供 Base64 Encoded Private Key。
Base64 Encoded Private Key

選用

寄件者的 Base64 編碼私密金鑰 (.key、.pem) (單行格式)。用於 S/MIME 數位簽章。

如有提供 Base64 Encoded Certificate，則為必填。
Base64 Encoded Recipient Certificate

選用

收件者的 Base64 編碼公開憑證 (.cer、.crt、.pem) (單行格式)。用於電子郵件加密。

動作輸出內容

下表說明與「傳送電子郵件」動作相關聯的輸出類型：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
輸出訊息

「傳送電子郵件」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Email was sent successfully.

 動作成功。

Action failed to run because specified attachments were not found: ATTACHMENTS_LIST

Failed to execute action, the error is: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Send Email」(傳送電子郵件) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

傳送電子郵件 HTML

使用「Send Email HTML」動作，透過 Google SecOps HTML 範本，從特定信箱傳送電子郵件給任意收件者清單。只要具備適當權限，這項動作就能從預設信箱以外的信箱傳送電子郵件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Send Email HTML」(傳送電子郵件 HTML) 動作需要下列參數：

參數 說明
Send From

這是必填欄位。

如果權限允許，可選擇用來傳送電子郵件的電子郵件地址。

根據預設，這項動作會從整合作業設定中指定的預設信箱傳送電子郵件。
Subject

這是必填欄位。

電子郵件主旨。
Send to

這是必填欄位。

以半形逗號分隔的電子郵件收件者電子郵件地址清單，例如 user1@example.com, user2@example.com。
CC

選用

電子郵件副本欄位的電子郵件地址清單，以半形逗號分隔。

格式與 Send to 參數相同。
BCC

選用

電子郵件密件副本欄位的電子郵件地址清單，以半形逗號分隔。

格式與 Send to 參數相同。
Attachments Paths

選用

要提供的附件完整路徑，例如 /FILE_DIRECTORY/file.pdf、/FILE_DIRECTORY/image.jpg。

您可以在以半形逗號分隔的字串中提供多個值。
Email HTML Template

這是必填欄位。

要使用的 HTML 範本類型。

可能的值為 Email HTML Template 和 Dynamically generated list of available templates。

預設值為 Email HTML Template。
Mail Content

這是必填欄位。

電子郵件內文。
Reply-To Recipients

選用

以半形逗號分隔的收件者清單，用於「Reply-To」標頭。

使用「Reply-To」標頭，將回覆電子郵件重新導向至特定電子郵件地址，而非「From」欄位中指定的寄件者地址。
Attachment Location

這是必填欄位。

附件的儲存位置。

根據預設，這項動作會嘗試從 Cloud Storage bucket 上傳附件。

可能的值為 GCP Bucket 或 Local File System。預設值為 GCP Bucket。

動作輸出內容

「Send Email HTML」(傳送電子郵件 HTML) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「Send Email HTML」動作時，收到的 JSON 結果輸出內容：

{
    "createdDateTime": "2024-01-30T16:50:27Z",
    "lastModifiedDateTime": "2024-01-30T16:50:27Z",
    "changeKey": "example-key",
    "categories": [],
    "receivedDateTime": "2024-01-30T16:50:27Z",
    "sentDateTime": "2024-01-30T16:50:27Z",
    "hasAttachments": false,
    "internetMessageId": "outlook.com",
    "subject": "Testing",
    "bodyPreview": "example",
    "importance": "normal",
    "parentFolderId": "ID",
    "conversationId": "ID",
    "conversationIndex": "INDEX",
    "isDeliveryReceiptRequested": false,
    "isReadReceiptRequested": false,
    "isRead": true,
    "isDraft": false,
    "webLink": "https://example.com",
    "inferenceClassification": "focused",
    "body": {
        "contentType": "html",
        "content": "content"
    },
    "sender": {
        "emailAddress": {
            "name": "NAME",
            "address": "sender@example.com"
        }
    },
    "from": {
        "emailAddress": {
            "name": "NAME",
            "address": "user@example.com"
        }
    },
    "toRecipients": [
        {
            "emailAddress": {
                "name": "NAME",
                "address": "recipient@example.com"
            }
        }
    ],
    "ccRecipients": [],
    "bccRecipients": [],
    "replyTo": [],
    "uniqueBody": {
        "contentType": "html",
        "content": "content"
    },
    "flag": {
        "flagStatus": "notFlagged"
    },
    "id": "ID"
}
輸出訊息

在案件牆上，「Send Email HTML」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Email was sent successfully. 動作成功。

Action failed to run because the HTML template was not specified.

Action failed to run because the following specified attachments were not found: ATTACHMENT_LIST

Failed to execute action, the error is: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「傳送電子郵件 HTML」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

傳送討論串回覆

使用「Send Thread Reply」動作，傳送訊息做為電子郵件討論串的回覆。只要具備適當權限，這項動作就能從整合設定指定以外的信箱傳送電子郵件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Send Thread Reply」動作需要下列參數：

參數 說明
Send From

這是必填欄位。

如果權限允許，可選擇用來傳送電子郵件的電子郵件地址。

根據預設，這項動作會從整合作業設定中指定的預設信箱傳送電子郵件。
Mail ID

這是必填欄位。

要搜尋的電子郵件 ID。
Folder Name

選用

要搜尋電子郵件的信箱資料夾。如要指定子資料夾，請使用 / 正斜線，例如 Inbox/Subfolder。

預設值為 Inbox。
Attachments Paths

選用

以半形逗號分隔的清單，列出伺服器上儲存的檔案附件路徑，例如 /FILE_DIRECTORY/file.pdf、/FILE_DIRECTORY/image.jpg。
Mail Content

這是必填欄位。

電子郵件內文。
Reply All

選用

如果選取，這項動作會傳送回覆所有人給與原始電子郵件相關的所有收件者。

預設為未選取。

這個參數的優先順序高於 Reply To 參數。
Reply To

選用

以半形逗號分隔的電子郵件清單，用於傳送回覆。

如果您未提供任何值，且未勾選「Reply All」核取方塊，則動作只會傳送回覆給原始電子郵件寄件者。

如果勾選「Reply All」核取方塊，動作會忽略這個參數。
Attachments Location

這是必填欄位。

附件的儲存位置。

根據預設，這項動作會嘗試從 Cloud Storage bucket 上傳附件。

可能的值為 GCP Bucket 或 Local File System。預設值為 GCP Bucket。
Message Timezone

選填。

回覆標頭中原始電子郵件傳送日期使用的時區 (例如 UTC、America/New_York 或 Europe/London)。如果提供的值無效，系統會使用預設值。

預設值為 UTC。

動作輸出內容

下表說明與「傳送討論串回覆」動作相關聯的輸出類型：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Send Thread Reply」動作時，收到的 JSON 結果輸出內容：

  {
    "id": "yyyy",
    "createdDateTime": "2024-02-02T10:57:18Z",
    "lastModifiedDateTime": "2024-02-02T10:57:23Z",
    "changeKey": "dsf+oAAQLaPjk",
    "categories": [],
    "receivedDateTime": "2024-02-02T10:57:20Z",
    "sentDateTime": "2024-02-02T10:57:19Z",
    "hasAttachments": true,
    "internetMessageId": "sdfhsjdfhjsdjfd",
    "subject": "RE: reply checking",
    "bodyPreview": "Reply check kr",
    "importance": "normal",
    "parentFolderId": "id",
    "conversationId": "id",
    "conversationIndex": "sdghfjfke",
    "isDeliveryReceiptRequested": false,
    "isReadReceiptRequested": false,
    "isRead": true,
    "isDraft": false,
    "webLink": "https://www.example.com/about",
    "inferenceClassification": "focused",
    "body": {
      "contentType": "text",
      "content": "Reply check kr"
    },
    "sender": {
      "emailAddress": {
        "name": "aff",
        "address": "ddxsm@a.com"
      }
    },
    "from": {
      "emailAddress": {
        "name": "fasf",
        "address": "ddxsm@a.com"
      }
    },
    "toRecipients": [
      {
        "emailAddress": {
          "name": "wf",
          "address": "ddxsm@a.com"
        }
      }
    ],
    "ccRecipients": [],
    "bccRecipients": [],
    "replyTo": [],
    "uniqueBody": {
      "contentType": "html",
      "content": "Reply check"
    },
    "flag": {
      "flagStatus": "notFlagged"
    }
  }
輸出訊息

「傳送討論串回覆」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully sent reply to the mail with ID: EMAIL_ID 動作成功。
Error executing action "Send Thread Reply". Reason: if you want to send a reply only to your own email address, you need to work with "Reply To" parameter.

動作失敗。

請檢查 Reply To 參數值。

Error executing action "Send Thread Reply" because the provided mail id EMAIL_ID was not found.

Action failed to run because specified attachments were not found: ATTACHMENTS_LIST

Failed to execute action, the error is: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「傳送討論串回覆」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

傳送投票電子郵件

使用「傳送投票電子郵件」動作，傳送含有預先定義回答選項的電子郵件。這項動作會使用 Google SecOps HTML 範本設定電子郵件格式。只要具備適當權限，Send Vote Email 動作就能從預設信箱以外的信箱傳送電子郵件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Send Vote Email」動作需要下列參數：

參數 說明
Send From

這是必填欄位。

如果權限允許，可選擇用來傳送電子郵件的電子郵件地址。

根據預設，這項動作會從整合作業設定中指定的預設信箱傳送電子郵件。
Subject

這是必填欄位。

電子郵件主旨。
Send to

這是必填欄位。

以半形逗號分隔的電子郵件收件者電子郵件地址清單，例如 user1@example.com, user2@example.com。
CC

選用

電子郵件副本欄位的電子郵件地址清單，以半形逗號分隔。

格式與 Send to 參數相同。
BCC

選用

電子郵件密件副本欄位的電子郵件地址清單，以半形逗號分隔。

格式與 Send to 參數相同。
Attachments Paths

選用

要提供的附件完整路徑，例如 /FILE_DIRECTORY/file.pdf、/FILE_DIRECTORY/image.jpg。

您可以在以半形逗號分隔的字串中提供多個值。
Email HTML Template

這是必填欄位。

要使用的 HTML 範本類型。

可能的值為 Email HTML Template 和 Dynamically generated list of available templates。

預設值為 Email HTML Template。
Reply-To Recipients

選用

以半形逗號分隔的收件者清單，用於「Reply-To」標頭。

使用「Reply-To」標頭，將回覆電子郵件重新導向至指定的電子郵件地址，而非「From」欄位中註明的寄件者地址。
Structure of voting options

這是必填欄位。

要傳送給收件者的投票結構。

可能的值為 Yes/No 或 Approve/Reject。預設值為 Yes/No。

Attachment Location

這是必填欄位。

附件的儲存位置。

根據預設，這項動作會嘗試從 Cloud Storage bucket 上傳附件。

可能的值為 GCP Bucket 或 Local File System。預設值為 GCP Bucket。

動作輸出內容

「Send Vote Email」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例說明使用「Send Vote Email」動作時，收到的 JSON 結果輸出內容：

{
    "createdDateTime": "2024-01-30T16:50:27Z",
    "lastModifiedDateTime": "2024-01-30T16:50:27Z",
    "changeKey": "KEY",
    "categories": [],
    "receivedDateTime": "2024-01-30T16:50:27Z",
    "sentDateTime": "2024-01-30T16:50:27Z",
    "hasAttachments": false,
    "internetMessageId": "<example-message-ID>",
    "subject": "Testing",
    "bodyPreview": "example",
    "importance": "normal",
    "parentFolderId": "FOLDER_ID",
    "conversationId": "CONVERSATION_ID",
    "conversationIndex": "CONVERSATION_INDEX",
    "isDeliveryReceiptRequested": false,
    "isReadReceiptRequested": false,
    "isRead": true,
    "isDraft": false,
    "webLink": "https://www.example.com/about",
    "inferenceClassification": "focused",
    "body": {
        "contentType": "html",
        "content": "content"
    },
    "sender": {
        "emailAddress": {
            "name": "NAME",
            "address": "sender@example.com"
        }
    },
    "from": {
        "emailAddress": {
            "name": "NAME",
            "address": "user@example.com"
        }
    },
    "toRecipients": [
        {
            "emailAddress": {
                "name": "NAME",
                "address": "recipient@example.com"
            }
        }
    ],
    "ccRecipients": [],
    "bccRecipients": [],
    "replyTo": [],
    "uniqueBody": {
        "contentType": "html",
        "content": "content"
    },
    "flag": {
        "flagStatus": "notFlagged"
    },
    "id": "ID"
}
輸出訊息

在案件總覽中，「傳送投票電子郵件」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Email was sent successfully. 動作成功。

Action failed to run because the HTML template was not specified.

Action failed to run because the following specified attachments were not found: ATTACHMENT_LIST

Failed to execute action, the error is: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Send Vote Email」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

等待使用者傳送電子郵件

使用「等待使用者傳送電子郵件」動作，根據透過「傳送電子郵件」動作傳送的電子郵件，等待使用者回覆。

這項操作是非同步的。視需要調整 Google SecOps IDE 中的動作逾時時間。如果將逾時時間設為 0 或留空，系統會使用環境設定中設定的預設逾時時間。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「等待使用者傳送電子郵件」動作需要下列參數：

參數 說明
Mail ID 必要

動作要等待的電子郵件 ID 或internetMessageId。如果您使用「傳送電子郵件」動作傳送電子郵件，請將參數值設為 {SendEmail.JSONResult|id} 或 {SendEmail.JSONResult|internetMessageId} 預留位置。
Mail Date 選用

動作等待的電子郵件傳送時間戳記。如果郵件是使用「傳送電子郵件」動作傳送，請選取 {SendEmail.JSONResult|sentDateTime} 或 {SendEmail.JSONResult|createdDateTime} 欄位做為預留位置。
Mail Recipients 選用

以半形逗號分隔的收件者電子郵件地址清單，動作會等待這些收件者回覆。如果郵件是透過「傳送電子郵件」動作傳送，請選取 {SendEmail.JSONResult|toRecipients} 欄位做為預留位置。
How long to wait for recipient reply (minutes) 選用

等待使用者回覆的時間 (以分鐘為單位)，超過這段時間就會標示為逾時。預設值為 10080。
Wait for All Recipients to Reply? 選用

如果選取這個選項，動作會等待所有收件者回覆，直到逾時或收到第一個回覆後繼續執行。預設為未選取。
Wait Stage Exclude pattern 選用

用於從等待階段排除特定回覆的規則運算式。這個參數適用於電子郵件主旨和內文。舉例來說，如果您設定 Out of Office.* 規則運算式，這項動作就不會將自動傳送的「不在辦公室」郵件視為收件者回覆，而是會等待實際的使用者回覆。
Folder to Check for Reply 選用

要搜尋收件者回覆的信箱電子郵件資料夾。系統會在傳送問題電子郵件的信箱中執行搜尋。支援使用 / 正斜線的巢狀子資料夾 (例如 Inbox/Subfolder)。這個參數區分大小寫。預設值為 Inbox。
Fetch Response Attachments 選用

如果選取這個選項，且收件者的回覆包含附件，這項動作就會擷取回覆，並將回覆新增為動作結果的附件。預設為未選取。
Limit the Amount of Information Returned in the JSON Result 選用

如果選取這個選項，動作傳回的資訊量會限制在重要電子郵件欄位。預設為選取。
Disable the Action JSON Result 選用

如果選取，動作就不會傳回 JSON 結果。預設為未選取。

動作輸出內容

「Wait For Email From User」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 可用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 可用
指令碼執行結果 可用
案件總覽附件

下列案件牆附件與「等待使用者電子郵件」動作相關聯：

類型：實體

附件內容：標題、檔案名稱 (包含副檔名，如有)、fileContent。

  • 標題：RECIPIENT_EMAIL 回覆附件。
  • 檔案名稱：ATTACHMENT_FILENAME + FILE_EXTENSION
  • fileContent: CONTENT_OF_THE_ATTACHED_FILE
案件總覽表格

「Wait For Email From User」動作可產生下表：

表格標題：Matching Mails

欄：

  • 郵件 ID
  • Received Date
  • Sender
  • 收件者
  • Subject
指令碼執行結果

下表列出使用「等待使用者傳送電子郵件」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false
動作輸出訊息

「等待使用者傳送電子郵件」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Found the user EMAIL_RECIPIENT reply: USER_REPLY

Timeout getting reply from user: EMAIL_RECIPIENT.

 動作成功。

Action failed to receive any replies until timeout.

Failed to execute action, the error is: ERROR_REASON

 動作失敗。請檢查伺服器連線、輸入參數或憑證。

等待投票電子郵件結果

使用「Wait For Vote Email Results」動作，根據使用「Send Vote Email」動作傳送的投票電子郵件，等待使用者回覆。

這項操作是非同步的。視需要調整 Google SecOps IDE 中的動作逾時時間。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Wait For Vote Email Results」動作需要下列參數：

參數 說明
Vote Mail Sent From

這是必填欄位。

Send Vote Email 動作傳送電子郵件的來源信箱。

預設值為您在整合設定中指定的信箱。

如果投票郵件是從其他信箱傳送，您可以視需要為這個參數設定其他值。
Mail ID

這是必填欄位。

電子郵件的 ID。

如果電子郵件是使用 Send Vote Email 動作傳送，請將參數值設為 SendVoteEmail.JSONResult|id 或 SendEmail.JSONResult|internetMessageId 預留位置。

如要傳回電子郵件 ID，可以使用「Search Emails」(搜尋電子郵件) 動作。
Wait for All Recipients To Reply?

選用

如果選取這個選項，動作會等待所有收件者回覆，直到逾時或收到第一個回覆後繼續執行。

(預設為啟用)。
Wait Stage Exclude Pattern

選用

用於從等待階段排除特定回覆的規則運算式。

這個參數適用於電子郵件內文。

舉例來說，動作不會將自動回覆的「不在辦公室」郵件視為收件者回覆，而是等待實際使用者回覆。
Folder To Check For Reply

選用

要搜尋使用者回覆的信箱電子郵件資料夾。系統會在傳送含有問題的電子郵件的信箱中執行搜尋。

這個參數接受以逗號分隔的清單，用於檢查多個資料夾中的使用者回覆。

這個參數須區分大小寫。

預設值為 Inbox。
Folder To Check For Sent Mail

選用

要搜尋寄件備份的信箱資料夾。 這是你用來傳送問題電子郵件的信箱。

這項參數接受以半形逗號分隔的資料夾清單，可在多個資料夾中檢查使用者回應。

這個參數須區分大小寫。 如要指定子資料夾，請使用 / 正斜線，例如 Inbox/Subfolder。

預設值為 Sent Items。
Fetch Response Attachments

選用

如果選取這個選項，且收件者的回覆包含附件，這項動作就會擷取回覆，並將其新增為案件牆的附件。

預設為未選取。

動作輸出內容

「Wait For Vote Email Results」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 可用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
案件總覽附件

下列案件總覽附件與「Wait For Vote Email Results」(等待投票電子郵件結果) 動作相關聯：

類型：實體

附件內容：標題、檔案名稱 (包含副檔名，如有)、fileContent。

  • 標題：RECIPIENT_EMAIL 回覆附件。
  • 檔案名稱：ATTACHMENT_FILENAME + FILE_EXTENSION
  • fileContent: CONTENT_OF_THE_ATTACHED_FILE
案件總覽表格

在案件總覽中，「Wait For Email Results」(等待電子郵件結果) 動作會產生下列資料表：

表格標題：Matching Mails

欄：

  • 郵件 ID
  • Received Date
  • Sender
  • 收件者
  • Subject
JSON 結果

以下範例說明使用「Wait For Vote Email Results」動作時，收到的 JSON 結果輸出內容：

{
    "Responses": [
        {
            "recipient": "user@example.com",
            "vote": "Approve"
        }
    ]
}
輸出訊息

「Wait For Vote Email Results」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Found the user EMAIL_RECIPIENT reply: USER_REPLY.

Exceeded timeout to get a reply from user: EMAIL_RECIPIENT.

 動作成功。

Action failed to receive any replies until timeout.

Failed to execute action, the error is: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表說明使用「Wait For Vote Email Results」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

Microsoft Graph Mail 連接器

使用 Microsoft Graph Mail Connector，從 Microsoft Graph 郵件服務擷取電子郵件。

使用動態清單，透過規則運算式篩選電子郵件內文和主旨部分中的指定值。根據預設，連接器會使用規則運算式篩除電子郵件中的網址。

連接器輸入

Microsoft Graph Mail Delegated Connector 需要下列參數：
參數 說明
Product Field Name

這是必填欄位。

儲存產品名稱的欄位名稱。

預設值為 device_product。

產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值 device_product 會解析為程式碼參照的備用值。根據預設，這個參數的任何無效輸入內容都會解析為備用值。
Event Field Name

這是必填欄位。

用於判斷事件名稱 (子類型) 的欄位名稱。

預設值為 event_name。
Environment Field Name

選用

儲存環境名稱的欄位名稱。

如果找不到環境欄位，環境會設為 ""。
Environment Regex Pattern

選用

規則運算式模式，用於對 Environment Field Name 欄位中的值執行。這個參數可讓您使用規則運算式邏輯，操控環境欄位。

使用預設值 .* 擷取必要的原始 Environment Field Name 值。

如果規則運算式模式為空值或空白，或環境值為空值，則最終環境結果為 ""。
Email Exclude Pattern

選用

規則運算式，用於排除特定電子郵件 (例如垃圾郵件或新聞)，不予擷取。

這個參數適用於電子郵件的主旨和內文。
PythonProcessTimeout

這是必填欄位。

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

預設值為 300。
Azure AD Endpoint

這是必填欄位。

要在整合中使用的 Microsoft Entra 端點。

預設值為 https://login.microsoftonline.com。
Microsoft Graph Endpoint

這是必填欄位。

要在整合作業中使用的 Microsoft Graph 端點。

預設值為 https://graph.microsoft.com。
Mail Address

這是必填欄位。

連接器要使用的電子郵件地址。
Client ID

這是必填欄位。

Microsoft Entra 應用程式的應用程式 (用戶端) ID。
Secret ID

這是必填欄位。

Microsoft Entra 應用程式的用戶端密鑰值。
Tenant (Directory) ID

這是必填欄位。

Microsoft Entra ID (租戶 ID) 值。
Folder to check for emails

這是必填欄位。

要搜尋電子郵件的電子郵件資料夾。這項參數接受以逗號分隔的清單，可在多個資料夾中搜尋使用者回覆。如要指定子資料夾，請使用 / 正斜線，例如 Inbox/Subfolder。

這個參數須區分大小寫。

預設值為 Inbox。
Offset Time In Hours

這是必填欄位。

第一次連接器疊代擷取電子郵件前的小時數。首次啟用連接器後，這項參數會套用至初始連接器疊代。當最新連接器疊代的 timestamp 到期時，連接器可以使用這個參數做為備用值。

預設值為 24。
Max Emails Per Cycle

這是必填欄位。

每次連接器疊代要擷取的電子郵件數量。

預設值為 10。
Unread Emails Only

選用

如果選取，連接器只會根據未讀取的電子郵件建立案件。

預設為未選取。
Mark Emails as Read

選用

如果選取，連接器會在擷取後將電子郵件標示為已讀。

預設為未選取。
Disable Overflow

選用

如果選取，連接器會忽略 Google SecOps 溢位機制。

預設為未選取。
Verify SSL

這是必填欄位。

如果選取這個選項，整合功能會在連線至 Microsoft Graph 時驗證 SSL 憑證。

(預設為啟用)。
Original Received Mail Prefix

選用

要加到擷取事件鍵的前置字元 (例如 to、from 或 subject)，這些事件鍵是從受監控信箱收到的原始電子郵件中擷取而來。

預設值為 orig。
Attached Mail File Prefix

選用

要新增至所擷取事件金鑰的前置字串 (例如 to、from 或 subject)，這些金鑰來自受監控信箱收到的附加電子郵件檔案。

預設值為 attach。
Create a Separate Google Secops Alert per Attached Mail File

選用

如果選取這個選項，連接器會建立多個快訊，每個附加的電子郵件檔案都會有一個快訊。

當您處理附加多個電子郵件檔案的電子郵件，並設定 Google SecOps 事件對應，從附加的電子郵件檔案建立實體時，這項行為就很有用。

預設為未選取。
Attach Original EML

選用

如果選取這個選項，連接器會將原始電子郵件以 EML 檔案的形式附加至案件資訊。

預設為未選取。
Headers to add to events

選用

以半形逗號分隔的電子郵件標頭字串，用於新增至 Google SecOps 事件，例如 DKIM-Siganture、Received 或 From。

您可以設定標頭的完全比對，或將這個參數值設為規則運算式。

連接器會從 internetMessageHeaders 清單中篩選設定的值，並新增至 Google SecOps 事件。

如要防止連接器在事件中新增標頭，請將參數值設為 None。

根據預設，連接器會新增所有可用的標頭。
Case Name Template

選用

自訂案件名稱。

設定這項參數後，連接器會在 Google SecOps SOAR 事件中新增名為 custom_case_name 的鍵。

您可以使用下列格式提供預留位置：[name of the field]。

範例：Phishing - [event_mailbox]。

如果是預留位置，連接器會使用第一個 Google SecOps SOAR 事件。連接器只會處理包含字串值的鍵。
Alert Name Template

選用

自訂快訊名稱。

您可以使用下列格式提供預留位置：[name of the field]。

範例：Phishing - [event_mailbox]。

如果是預留位置，連接器會使用第一個 Google SecOps SOAR 事件。連接器只會處理包含字串值的索引鍵。如果您未提供值或範本無效，連接器會使用預設快訊名稱。
Proxy Server Address

選用

要使用的 Proxy 伺服器位址。
Proxy Username

選用

用於驗證的 Proxy 使用者名稱。
Proxy Password

選用

用於驗證的 Proxy 密碼。
Mail Field Source

選用

如果選取這個選項，整合功能會從使用者詳細資料 mail 屬性擷取信箱地址。如未選取，整合功能會從 userPrincipalName 欄位擷取信箱地址。

預設為未選取。
Extract URLs from HTML Email Part

選用

如果選取，連接器會從電子郵件的 HTML 內文擷取網址。 這樣一來，連接器就能擷取複雜的網址，但不會從電子郵件的純文字部分擷取網址。

擷取的網址會顯示在 urls_from_html_part 事件欄位中。

(預設為啟用)。
Event Fields to Exclude

選用

以半形逗號分隔的事件欄位清單，用於在建立事件時排除特定欄位 (例如 field1,field2)。
Exclude Attachments

選用

如果選取這個選項，連接器就不會擷取電子郵件附件，也不會將附件新增至案件。
Bypass S/MIME Signature Verification

選用

如果選取這個選項，連接器會擷取 S/MIME 簽署的電子郵件，不需使用 Base64 編碼的 CA 憑證驗證簽章。系統會直接擷取郵件內文、標頭和附件。
Base64 Encoded Private Key

選用

Base64 編碼的私密金鑰，用於解密傳入的 S/MIME 加密電子郵件。

如果提供這項資訊，則必須一併提供 Base64 Encoded Certificate。
Base64 Encoded Certificate

選用

用於解密傳入 S/MIME 加密電子郵件的 Base64 編碼憑證。

如果提供這項資訊，則必須一併提供 Base64 Encoded Private Key。
Base64 Encoded CA certificate

選用

採用 Base64 編碼的信任 CA 憑證，用於驗證傳入 S/MIME 電子郵件的數位簽章。

如果未提供 CA 憑證，除非啟用 Bypass S/MIME Signature Verification，否則系統無法驗證內送已簽署電子郵件的簽章。

連接器規則

連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。