Определение типов удержания почтовых ящиков Exchange в обнаружении электронных данных

Microsoft Purview предлагает несколько способов, с помощью которых ваша организация может предотвратить окончательное удаление содержимого почтового ящика. Эта защита позволяет вашей организации хранить содержимое в соответствии с нормативными требованиями или во время юридических и других видов расследований.

Совет

Приступая к работе с Microsoft Security Copilot изучить новые способы интеллектуальной и быстрой работы с использованием возможностей ИИ. Дополнительные сведения о Microsoft Security Copilot в Microsoft Purview.

Типы удержания

Ниже приведен список функций хранения (также называемых удержаниями) в Microsoft Purview и Microsoft 365:

  • Удержание для судебного разбирательства. Удержания, применяемые к почтовым ящикам пользователей в Exchange Online.

  • Удержание обнаружения электронных данных. Удерживает, связанный с делом обнаружения электронных данных на портале Microsoft Purview. Вы можете разместить удержание в почтовых ящиках Exchange и учетных записях OneDrive людей, которые вы расследуете в данном случае. Вы также можете удерживать почтовые ящики и сайты, связанные с Microsoft Teams, группами Microsoft 365 и группами Viva Engage.

  • Политики хранения Microsoft Purview. Можно настроить для хранения (или сохранения и последующего удаления) содержимого в почтовых ящиках пользователей в Exchange Online и в соответствующем почтовом ящике для Группы Microsoft 365 и Microsoft Teams. Вы также можете создать политику хранения для хранения Skype для бизнеса бесед, которые хранятся в почтовых ящиках пользователей.

    Существует два типа политик хранения Microsoft Purview, которые можно назначить почтовым ящикам.

    • Политики хранения определенных расположений. Эти политики назначаются расположениям содержимого определенных пользователей. Используйте командлет Get-Mailbox в Exchange Online PowerShell, чтобы получить сведения о политиках хранения, назначенных определенным почтовым ящикам. Дополнительные сведения об этом типе политики хранения см. в разделе Политика с определенными включениями или исключениями из документации по политике хранения.
    • Политики хранения на уровне организации. Эти политики назначаются всем расположениям содержимого в организации. Используйте командлет Get-OrganizationConfig в Exchange Online PowerShell, чтобы получить сведения о политиках хранения на уровне организации. Дополнительные сведения об этом типе политики хранения см. в разделе Политика A, которая применяется ко всем расположениям документации по политике хранения.

  • Метки хранения Microsoft Purview. Если пользователь применяет метку хранения Microsoft Purview (настроенную для хранения содержимого или хранения и последующего удаления содержимого) к любой папке или элементу в почтовом ящике, удержание помещается в почтовый ящик, как если бы вы разместили почтовый ящик на удержание для судебного разбирательства или назначили его политике хранения Microsoft Purview. Дополнительные сведения см. в разделе Определение почтовых ящиков при удержании, так как метка хранения была применена к папке или элементу этой статьи.

Чтобы управлять почтовыми ящиками на удержании, может потребоваться определить тип удержания, помещенного в почтовый ящик, чтобы можно было выполнять такие задачи, как изменение длительности хранения, временное или окончательное удаление удержания или исключение почтового ящика из политики хранения Microsoft Purview. В таких случаях первым шагом является определение типа удержания почтового ящика. Так как в одном почтовом ящике можно поместить несколько удержаний (и разных типов), необходимо определить все удержания, помещенные в почтовый ящик, если вы хотите удалить или изменить удержание.

Шаг 1. Получение GUID для удержаний, размещенных в почтовом ящике

Выполните следующие два командлета в Exchange Online PowerShell, чтобы получить GUID удержаний, размещенных в почтовом ящике. После получения GUID используйте его для определения конкретного удержания на шаге 2. Удержание для судебного разбирательства не использует GUID. Удержания для судебного разбирательства либо включены, либо отключены для почтового ящика.

  • Get-Mailbox. Используйте этот командлет, чтобы проверка, включено ли удержание для судебного разбирательства для почтового ящика, и получить идентификаторы GUID для удержаний eDiscovery и политик хранения Microsoft Purview, назначенных почтовому ящику. В выходных данных этого командлета также показано, исключен ли почтовый ящик из политики хранения на уровне организации.
  • Get-OrganizationConfig: используйте этот командлет, чтобы получить идентификаторы GUID для политик хранения на уровне организации.

Сведения о том, как подключиться к Exchange Online PowerShell, см. в статье Подключение к Exchange Online PowerShell.

Get-Mailbox

Выполните следующую команду, чтобы получить сведения о политиках хранения и Microsoft Purview, применяемых к почтовому ящику.

Get-Mailbox <username> | FL LitigationHoldEnabled,InPlaceHolds

Совет

Если в свойстве InPlaceHolds слишком много значений и не все из них отображаются, выполните Get-Mailbox <username> | Select-Object -ExpandProperty InPlaceHolds команду, чтобы отобразить каждый GUID в отдельной строке.

В следующей таблице описано, как определить различные типы удержаний на основе значений в свойстве InPlaceHolds при выполнении командлета Get-Mailbox .

Тип удержания Пример значения Как определить удержание
Хранение для судебного разбирательства True Удержание для судебного разбирательства включено для почтового ящика, если свойству LitigationHoldEnabled присвоено значение True.
Удержание обнаружения электронных данных UniH7d895d48-7e23-4a8d-8346-533c3beac15d Свойство InPlaceHolds содержит GUID любого удержания, связанного с делом обнаружения электронных данных на портале Microsoft Purview. Вы можете сказать, что это удержание eDiscovery, так как GUID начинается с UniH префикса (который обозначает унифицированное удержание).
Политика хранения Microsoft Purview, применяемая к почтовому ящику mbxcdbbb86ce60342489bff371876e7f224:1
или
skp127d7cf1076947929bf136b7a2a8c36f:3		 Свойство InPlaceHolds содержит идентификаторы GUID любой конкретной политики хранения расположения, применяемой к почтовому ящику. Политики хранения можно определить, так как GUID начинается с mbx префикса или skp . Префикс skp указывает, что политика хранения применяется к Skype для бизнеса беседам в почтовом ящике пользователя.
Исключен из политики хранения Microsoft Purview для всей организации -mbxe9b52bf7ab3b46a286308ecb29624696 Если почтовый ящик исключен из политики хранения Microsoft Purview для всей организации, guid для политики хранения, из которую исключен почтовый ящик, отображается в свойстве InPlaceHolds и использует -mbx префикс .

Get-OrganizationConfig

Если свойство InPlaceHolds пусто при выполнении командлета Get-Mailbox , к почтовому ящику по-прежнему может применяться одна или несколько политик хранения Microsoft Purview для всей организации. Выполните следующую команду в Exchange Online PowerShell, чтобы получить список идентификаторов GUID для политик хранения Microsoft Purview для всей организации.

Get-OrganizationConfig | FL InPlaceHolds

Совет

InPlaceHolds Если свойство содержит слишком много значений и не все из них отображаются, выполните Get-OrganizationConfig | Select-Object -ExpandProperty InPlaceHolds команду, чтобы отобразить каждый GUID в отдельной строке.

В следующей таблице описаны различные типы удержаний на уровне организации и способы определения каждого типа на основе идентификаторов GUID, содержащихся в свойстве InPlaceHolds, при выполнении командлета Get-OrganizationConfig .

Тип удержания Пример значения Описание
Политики хранения Microsoft Purview, применяемые к почтовым ящикам Exchange, общедоступным папкам Exchange и чатам Teams mbx7cfb30345d454ac0a989ab3041051209:2 Политики хранения на уровне организации, применяемые к почтовым ящикам Exchange, общедоступным папкам Exchange и чатам 1xN в Microsoft Teams, определяются идентификаторами GUID, которые начинаются с mbx префикса. Примечание. Чаты 1xN хранятся в почтовом ящике отдельных участников чата.
Политика хранения Microsoft Purview, применяемая к сообщениям каналов Группы Microsoft 365 и Teams grp1a0a132ee8944501a4bb6a452ec31171:3 Политики хранения на уровне организации, применяемые к группам Microsoft 365 и сообщениям каналов в Microsoft Teams, определяются идентификаторами GUID, которые начинаются с grp префикса. Обратите внимание, что сообщения канала хранятся в почтовом ящике группы, связанном с Командой Майкрософт.

Дополнительные сведения о политиках хранения, применяемых к Microsoft Teams, см. в статье Сведения о политиках хранения для Microsoft Teams.

Общие сведения о формате значения InPlaceHolds для политик хранения

Помимо префикса (mbx, skpили grp), который определяет элемент в свойстве как InPlaceHolds политику хранения Microsoft Purview, значение также содержит суффикс, определяющий тип действия хранения, настроенного для политики. Например, суффикс действия выделен полужирным шрифтом в следующих примерах:

skp127d7cf1076947929bf136b7a2a8c36f :1

mbx7cfb30345d454ac0a989ab3041051209 :2

grp1a0a132ee8944501a4bb6a452ec31171 :3

В следующей таблице определены три возможных действия хранения:

Значение Описание
1 Политика хранения настраивается для удаления элементов или политика хранения используется для публикации меток хранения. Если политика публикует метки хранения, проверка конфигурацию хранения для каждой опубликованной метки.
2 Политика хранения настроена для хранения элементов. Политика не удаляет элементы по истечении срока хранения.
3 Политика хранения настраивается для хранения элементов, а затем их удаления по истечении срока хранения.

Примечание.

Так как политики меток хранения публикуют или автоматически применяют метки, которые применяют действия на уровне элемента, они всегда показывают значение действия 1 в свойстве InPlaceHolds почтового ящика.

Сведения о том, применяется ли удержание к папке или элементу в почтовом ящике, см. в статье Определение почтовых ящиков, находящихся на удержании, так как к папке или элементу применена метка хранения.

Дополнительные сведения о действиях хранения см. в разделе Хранение содержимого за определенный период времени .

Шаг 2. Использование GUID для идентификации удержания

После получения GUID для удержания, примененного к почтовому ящику, используйте его для идентификации удержания. В следующих разделах показано, как определить имя удержания и другие сведения с помощью GUID удержания.

Удержание данных, созданных с помощью обращения обнаружения электронных данных

Чтобы найти удержание обнаружения электронных данных, примененное к почтовому ящику, выполните следующие команды в PowerShell для обеспечения соответствия безопасности & соответствия требованиям. Используйте GUID (без префикса UniH) для удержания обнаружения электронных данных, обнаруженного на шаге 1.

Сведения о подключении к PowerShell по соответствию требованиям безопасности & см. в статье Подключение к PowerShell для обеспечения безопасности & соответствия требованиям.

Первая команда создает переменную, содержащую сведения о удержании eDiscovery. Используйте эту переменную в других командах. Вторая команда показывает имя дела обнаружения электронных данных, с которым связано удержание. Третья команда показывает имя удержания и выводит список почтовых ящиков, к которым применяется удержание.

$CaseHold = Get-CaseHoldPolicy <hold GUID without prefix>

Get-ComplianceCase $CaseHold.CaseId | FL Name

$CaseHold | FL Name,ExchangeLocation

Политики хранения Microsoft Purview

Подключитесь к Службе безопасности & соответствия требованиям PowerShell и выполните следующую команду, чтобы найти политику хранения Microsoft Purview (для всей организации или определенного расположения), которая применяется к почтовому ящику. Используйте GUID (без префикса mbx, skp или grp или суффикса действия), который вы нашли на шаге 1.

Get-RetentionCompliancePolicy <hold GUID without prefix or suffix> -DistributionDetail  | FL Name,*Location

Новые политики хранения, применяемые к следующим расположениям, не метки непосредственно в конфигурации организации или Exchange Online объектах:

  • Корпоративные приложения ИИ
  • Microsoft Copilot интерфейсы
  • Чаты Teams
  • Сообщения закрытого канала Teams
  • сообщения сообщества Viva Engage
  • Viva Engage сообщений пользователей
  • Другие приложения ИИ

Чтобы определить, применяются ли эти политики соответствия требованиям к почтовому ящику во время исследования, используйте запрос на политику или командлеты хранения для новых расположений.

Get-AppRetentionCompliancePolicy <hold GUID without prefix or suffix> -DistributionDetail  | FL Name, Applications, *Location

Определение почтовых ящиков на удержании, так как метка хранения применяется к папке или элементу

Когда пользователь применяет метку хранения, настроенную для хранения или хранения, а затем удаления содержимого к любой папке или элементу в почтовом ящике, свойству Mailbox ComplianceTagHoldApplied присваивается значение True. Если это свойство имеет значение True, относитесь к почтовому ящику так, как если он находится на удержании, например, когда вы назначаете его политике хранения Microsoft Purview или помещаете его в удержание для судебного разбирательства, но с некоторыми оговорками. Если свойство ComplianceTagHoldApplied имеет значение True, происходит следующее:

  • При удалении почтового ящика или учетной записи пользователя Microsoft 365 почтовый ящик становится неактивным.
  • Вы не можете отключить почтовый ящик (основной почтовый ящик или архивный почтовый ящик, если он включен).
  • Элементы, удаляемые из почтового ящика, следуют одному из двух путей в зависимости от того, помечены ли они метками:
    • Не помеченные элементы следуют по тому же пути, по которому удаляются элементы, если к почтовому ящику не применяются никакие удержания. Время, необходимое для окончательного удаления этих элементов, определяется конфигурацией хранения удаленных элементов и тем, включено ли восстановление одного элемента для почтового ящика.
    • Помеченные элементы хранятся в папке с возможностью восстановления так же, как и при применении политики хранения Microsoft Purview, но на уровне отдельных элементов. Если несколько элементов имеют разные метки, настроенные для хранения или хранения, а затем удаления содержимого с разных интервалов времени, каждый элемент сохраняется в зависимости от конфигурации примененной метки.
  • Другие удержания, такие как политики хранения Microsoft Purview, удержания обнаружения электронных данных или удержание для судебного разбирательства, могут продлить срок хранения помеченных элементов на основе принципов хранения.

Чтобы просмотреть значение свойства ComplianceTagHoldApplied для одного почтового ящика, выполните следующую команду в Exchange Online PowerShell:

Get-Mailbox <username> | FL ComplianceTagHoldApplied

Дополнительные сведения о метках хранения см. в разделе Метки хранения.

Управление почтовыми ящиками при удержании задержки

При удалении любого типа удержания из почтового ящика Exchange Online применяет задержку. Это задерживает фактическое удаление удержания на 30 дней, чтобы предотвратить окончательное удаление (очистку) данных из почтового ящика. Эта задержка дает администраторам возможность искать или восстанавливать элементы почтового ящика, которые очищаются после удаления удержания. Помощник по управляемым папкам помещает задержку в почтовый ящик при следующей обработке почтового ящика и обнаруживает, что удержание было удалено. В частности, помощник по управляемым папкам применяет задержку к почтовому ящику, если задает для одного из следующих свойств почтового ящика значение True:

  • DelayHoldApplied: это свойство применяется к содержимому, связанному с электронной почтой (созданному людьми, использующими Outlook и Outlook в Интернете), хранящейся в почтовом ящике пользователя.
  • DelayReleaseHoldApplied: это свойство применяется к облачному содержимому (созданному приложениями, не используюющими Outlook, например Microsoft Teams, Microsoft Forms и Microsoft Viva Engage), хранящейся в почтовом ящике пользователя. Облачные данные, созданные приложением Майкрософт, обычно хранятся в скрытой папке в почтовом ящике пользователя.

Когда помощник по управляемым папкам помещает задержку в почтовый ящик (задав для любого из предыдущих свойств значение True), почтовый ящик по-прежнему считается удерживаемым в течение неограниченного срока хранения, как если бы почтовый ящик находился на удержании для судебного разбирательства. Через 30 дней срок удержания задержки истекает, и Microsoft 365 автоматически пытается удалить удержание задержки (задав для свойства DelayHoldApplied или DelayReleaseHoldApplied значение False), чтобы удалить удержание. После того как для любого из этих свойств задано значение False, соответствующие элементы, помеченные для удаления, очищаются при следующей обработке почтового ящика помощником по управляемым папкам.

Примечание.

Если учетная запись пользователя для почтового ящика отключена, помощник по управляемым папкам не обрабатывает почтовый ящик, а задержка сохраняется по истечении 30 дней. Дополнительные сведения см. в разделе Рекомендации по удержанию задержки.

Чтобы просмотреть значения свойств DelayHoldApplied и DelayReleaseHoldApplied для почтового ящика, выполните следующую команду в Exchange Online PowerShell.

Get-Mailbox <username> | FL *HoldApplied*

Чтобы удалить задержку до истечения срока действия, выполните одну (или обе) из следующих команд в Exchange Online PowerShell в зависимости от того, какое свойство необходимо изменить:

Set-Mailbox <username> -RemoveDelayHoldApplied

Или

Set-Mailbox <username> -RemoveDelayReleaseHoldApplied

Для использования параметров RemoveDelayHoldApplied или RemoveDelayReleaseHoldApplied необходимо назначить роль юридического удержания в Exchange Online.

Чтобы снять задержку в неактивном почтовом ящике, выполните одну из следующих команд в Exchange Online PowerShell:

Set-Mailbox <DN or Exchange GUID> -InactiveMailbox -RemoveDelayHoldApplied

Или

Set-Mailbox <DN or Exchange GUID> -InactiveMailbox -RemoveDelayReleaseHoldApplied

Совет

Лучший способ указать неактивный почтовый ящик в предыдущей команде — использовать его различающееся имя или значение GUID Exchange. Используя одно из этих значений, вы не укажете по ошибке неверный почтовый ящик.

Дополнительные сведения об использовании этих параметров для управления задержками см. в разделе Set-Mailbox.

Рекомендации по удержанию задержки

При управлении почтовым ящиком при удержании с задержкой учитывайте следующие моменты:

  • Если для свойства DelayHoldApplied или DelayReleaseHoldApplied задано значение True и вы удаляете почтовый ящик (или соответствующую учетную запись пользователя), почтовый ящик становится неактивным. Почтовый ящик считается на удержании, если для любого из свойств задано значение True. Удаление почтового ящика на удержании приводит к тому, что почтовый ящик неактивен. Чтобы удалить почтовый ящик и не сделать его неактивным, задайте для обоих свойств значение False.
  • Почтовый ящик находится на удержании в течение неограниченного срока хранения, если свойство DelayHoldApplied или DelayReleaseHoldApplied имеет значение True. Однако это условие не означает, что все содержимое почтового ящика сохраняется. Значение каждого свойства определяет, какое содержимое сохраняется. Например, предположим, что оба свойства имеют значение True , так как вы удаляете удержания из почтового ящика. Затем с помощью параметра RemoveDelayReleaseHoldApplied можно удалить только задержку, которая применяется к данным, не относящимся к Outlook. В следующий раз, когда помощник по управляемым папкам обрабатывает почтовый ящик, он очищает элементы, отличные от Outlook, помеченные для удаления. Он не очищает элементы Outlook, помеченные для удаления, так как свойство DelayHoldApplied по-прежнему имеет значение True. Также выполняется обратное условие: если параметр DelayHoldApplied имеет значение False , а параметр DelayReleaseHoldApplied имеет значение True, то очищаются только элементы Outlook, помеченные для удаления.

Как убедиться, что к почтовому ящику применяется политика хранения на уровне организации

При применении или удалении политики хранения на уровне организации к почтовому ящику экспорт диагностика журналов почтового ящика помогает подтвердить, что Exchange Online применили или удалили политику хранения в почтовом ящике. Чтобы просмотреть эти сведения, сначала необходимо проверить несколько вещей с помощью Exchange Online PowerShell.

Получение идентификаторов GUID для всех политик хранения, явно применяемых к почтовому ящику

Get-Mailbox <username> | Select-Object -ExpandProperty InPlaceHolds

Получение идентификаторов GUID для любых политик хранения на уровне организации, применяемых к почтовым ящикам

Get-OrganizationConfig | Select-Object -ExpandProperty InPlaceHolds

Получение диагностики почтового ящика для holdTracking

Журналы диагностики почтовых ящиков отслеживания удержания хранят журнал удержаний, примененных к почтовому ящику пользователя. Если объект неактивен, включите -IncludeInactiveMailboxes параметр .

$ht = Export-MailboxDiagnosticLogs <username> -ComponentName HoldTracking
$ht.MailboxLog | Convertfrom-Json

Получение диагностики почтового ящика для субстрата HoldTracking

Журналы диагностики почтовых ящиков отслеживания субстрата хранят журнал удержаний, примененных к почтовому ящику пользователя. Если объект неактивен, включите -IncludeInactiveMailboxes параметр .

$sht = Export-MailboxDiagnosticLogs <username> -ComponentName SubstrateHoldTracking
$sht.MailboxLog | Convertfrom-Json

Просмотр результатов журналов диагностики почтовых ящиков

Если вы собираете данные из предыдущего шага, результирующие данные могут выглядеть примерно так:

Эд : 0001-01-01T00:00:00.0000000Спрятал : mbx7cfb30345d454ac0a989ab3041051209:1Ht : 4Лсд : 2020-03-23T18:24:37.1884606ZOsd : 2020-03-23T18:24:37.1884606Z

Используйте следующую таблицу, чтобы понять каждое из значений, перечисленных в журнале диагностика.

Значение Описание
ed Указывает дату окончания, то есть дату отключения политики хранения. MinValue означает, что политика по-прежнему назначается почтовому ящику.
Спрятал Указывает GUID для политики хранения. Это значение коррелирует с идентификаторами GUID, собранными для явных политик хранения или политик хранения на уровне организации, назначенных почтовому ящику.
Ht Указывает тип удержания. Значения: 0 для LitigationHold, 1 для InPlaceHold, 2 для ComplianceTagHold, 3 для DelayReleaseHold, 4 для OrganizationRetention, 5 для CompliancePolicy, 6 для SubstrateAppPolicy и 7 для SharepointPolicy.
Лсд Указывает дату последнего начала, то есть дату назначения политики хранения почтовому ящику.
Osd Указывает исходную дату начала, которая является датой, когда Exchange впервые записал сведения о политике хранения.

При удалении политики хранения из почтового ящика Exchange помещает пользователя временную задержку, чтобы предотвратить очистку содержимого. Вы можете отключить задержку, выполнив Set-Mailbox -RemoveDelayHoldApplied команду .

Дальнейшие действия

После определения удержаний, применяемых к почтовому ящику, можно выполнять такие задачи, как изменение длительности удержания, временное или окончательное удаление удержания или исключение неактивного почтового ящика из политики хранения Microsoft Purview. Дополнительные сведения о выполнении задач, связанных с удержанием, см. в одной из следующих статей:

  • Last updated on