Audit des suppressions de mails dans une boite mail

Question

Bonjour

pour les administrateurs.

comment retrouver les actions de suppression de mail dans Outlook Office365.

mails qui disparaissent par suppression ou alors par déplacement dans le "dossier supprimé" ou autre boite mail. 

ceci sur une "boite mail" ou une "boite mail partagée"

j'ai cherché uniquement sur les BALP.

l'audit de la BALP est bien actif. (elle l'est par défaut et aussi sur Delegate)

Par la console d'administration les recherches sont infructueuses, on ne retrouve aucune action.

en powershell j'ai lancé cette commende :

Search-MailboxAuditLog -Identity ******@domaine.fr -StartDate 01/02/2021 -EndDate 08/02/2021 -LogonTypes Delegate -ShowDetails

cette commande me renvoi tous les enregistrements sans tenir compte des dates.

je me suis dit que c'était peut être a cause du format des dates, j'ai donc essayé du 02/01/2021 et 02/08/2021 à l'anglais...

rien, pas de résultat

si je met 02/01/2021 et 02/08/2020 , il voit bien que la date n'est pas correcte, que la date de fin ne peut pas être avant la date de début.

c'est peut être pour cela que la console ne fonctionne pas, il y a peut être un problème sur la gestion de ces dates.

comment borner ma recherche ?

Answer 1

Bonjour,Pour les boites partagées c’est un peu spécifique, voir ceci :Rechercher les activités de boîte aux lettres effectuées dans une boîte aux lettres spécifique (y compris les boîtes aux lettres partagées)En espèrent avoir pu vous venir en aide.Cordialement,BorisMicrosoft Engineer

Answer 2

Bonjour,Essayez une de ces commandes, qui devraient retourner les bons résultats :Search-MailboxAuditLog -Identity ******@domain.com -LogonTypes Owner,Delegate,Admin -ShowDetails -StartDate 4/15/2020 -EndDate 4/20/2020 -ResultSize 10000 | Where-Object {$_.Operation -eq "HardDelete"} | Export-Csv HardDelete.csvSearch-MailboxAuditLog -Identity ******@domain.com -LogonTypes Owner,Delegate,Admin -ShowDetails -StartDate 4/15/2020 -EndDate 4/20/2020 -ResultSize 10000 | Where-Object {$_.Operation -eq "SoftDelete"} | Export-Csv SoftDelete.csvSearch-MailboxAuditLog -Identity ******@domain.com -LogonTypes Owner,Delegate,Admin -ShowDetails -StartDate 4/15/2020 -EndDate 4/20/2020 -ResultSize 10000 | Where-Object {$_.Operation -eq "MoveToDeletedItems" | Export-Csv MoveToDeletedItems.csvSearch-MailboxAuditLog -Identity ******@domain.com -LogonTypes Owner,Delegate,Admin -ShowDetails -StartDate 4/15/2020 -EndDate 4/20/2020 -ResultSize 10000 | Where-Object {$_.Operation -eq "Move"} | Export-Csv Move.csvEn espèrent avoir pu vous venir en aide.Cordialement,BorisMicrosoft Engineer

Answer 3

Bonjour,Je ne peux malheureusement pas tester, dans mon environnement, mais je fais remonter.Cordialement,BorisMicrosoft Engineer

Answer 4

bonjour

merci Boris pour cet article.

c'est exactement ça, mais vu que cette commande ne semble pas fonctionner avec simplement une date, j'en conclu que ça ressemble plus a un bug qu'à autre chose.

je pense qu'on peut clore ce post.

bonne journée

Answer 5

bonjour

Merci Boris pour cette réponse rapide....

la commande ne fonctionne pas :

Search-MailboxAuditLog -Identity *** Adresse électronique supprimée pour cause de confidentialité *** -LogonTypes Owner,Delegate,Admin -ShowDetails -StartDate 2/8/2021 -EndDate 2/8/2021 -ResultSize 10000 | Where-Object {$_.Operation -eq "HardDelete"}

je cherche les actions du 08 février 2021

par contre celle ci fonctionne :

Search-MailboxAuditLog -Identity *** Adresse électronique supprimée pour cause de confidentialité ***  -LogonTypes Owner,Delegate,Admin -ShowDetails -StartDate "2/8/2021 00:00" -EndDate "2/8/2021 23:00" -ResultSize 10000 | Where-Object {$_.Operation -eq "HardDelete"}

dans ma console d'administration O365 la recherche est infructueuse car je n'ai que des licences Business Standard, et la doc Microsoft indique qu'il faut disposer de licences E5.  Mais qu'en est-il des boites mail partagées ?

Elles ne nécessitent pas de licence, ou il faut peut être affecter une licence E5 le temps de la recherche....

c'est confus...