Обработка отчетов в обнаружении электронных данных

Каждый процесс в #REF! eDiscovery создает загружаемый отчет о процессе, содержащий подробные сведения о том, что произошло во время процесса. В этой статье содержатся рекомендации по подробному интерпретации данных отчета на основе сценариев. Используйте его, чтобы понять количество непредвиденных элементов, определить ошибки расположения, узнать, как параметры повлияли на результаты, и узнать, что следует искать в отчетах при изучении конкретных результатов.

Дополнительные сведения о структуре и содержимом каждого отчета см. в статье Использование отчетов о процессах в обнаружении электронных данных.

Совет

Приступая к работе с #REF! изучить новые способы интеллектуальной и быстрой работы с использованием возможностей ИИ. Дополнительные сведения о #REF! в #REF!.

Рекомендации по использованию отчетов о процессах

• Скачивание отчетов для каждого процесса. Даже если процесс успешно завершается, скачайте пакет отчета, чтобы сохранить сведения о том, что было собрано, откуда и с какими параметрами. Эта информация полезна для прозрачности и аудита.
• Сначала проверьте Summary.csv. Начните с сводки CSV, чтобы получить общие сведения о результатах процесса, включая количество элементов, ошибки и факторы, влияющие на это число.
• Используйте Items.csv для исследования на уровне элемента. Если вам нужно понять, почему конкретный элемент был включен или не был включен, просмотрите Items.csv подробные сведения о состоянии каждого элемента и об ошибке.
• Используйте Locations.csv для проверки область. Убедитесь, что все предполагаемые расположения включены и успешно обработаны. Определите все расположения с ошибками, которые требуют внимания.
• Сравнение Settings.csv между процессами. При сравнении результатов двух процессов сравните отчеты CSV параметров, чтобы подтвердить использование той же конфигурации.
• Используйте Statistics.csv для анализа поиска. После создания статистики используйте этот отчет, чтобы понять распределение поисковых запросов между ключевыми словами, типами данных, типами данных, типами конфиденциальной информации и участниками обмена данными.

Общие сведения о количестве результатов поиска

Количество результатов поиска может отличаться в разных запусках и отличаться от количества экспортов или коллекций. Подробное объяснение причин поведения, лежащих в основе этих различий, см. в разделах Общие сведения о статистике и результатах поиска и Различия между статистикой и результатами экспорта. В разделах ниже объясняется, как использовать отчеты о процессе для изучения этих различий.

Исследование отсутствующих элементов в результатах поиска

Если ожидаемое содержимое не отображается в результатах поиска, используйте отчеты о процессах из генерации статистики или Создать пример процесса, чтобы определить причину.

На что следует обратить внимание в отчете о процессе:

• Settings.csv — параметр частично индексированных элементов. Проверьте, настроен ли процесс для частично индексированных элементов. По умолчанию результаты поиска исключают содержимое, которое не полностью индексировано, например файлы только изображений, неподдерживаемые типы файлов или элементы с ошибками обработки. Если параметр показывает, что процесс не включал частично индексированные элементы, повторно запустите поиск с включенным параметром, чтобы определить, являются ли отсутствующие элементы неиндексированы.
• Settings.csv — применен фильтр безопасности. Если это значение равно Да, граница соответствия (фильтр разрешений поиска) ограничивает расположение, к которым может получить доступ поиск. Поиск автоматически исключает элементы за пределами область фильтра. В поле Ограничение расположения отображаются критерии фильтра. Если вы подозреваете, что фильтр исключает ожидаемое содержимое, попросите администратора обнаружения электронных данных или другого пользователя без примененного фильтра разрешений на поиск выполнить тот же поиск для сравнения.
• Locations.csv — столбец состояния: проверьте наличие расположений с ошибками. Если в расположении отображается состояние сбоя, в поле ErrorWarning объясняется, почему. Дополнительные сведения о распространенных причинах, которые могут повлиять на доступ к расположению, см. в разделе Рекомендации по экспорту.
• Locations.csv — столбец count. Если в расположении, где должны быть результаты, отображается нулевое число, поисковый запрос не соответствует ни одному содержимому в этом расположении. Проверьте правильность запроса и наличие содержимого в источнике. Элементы, недавно добавленные в почтовый ящик или сайт, могут еще не индексироваться. Повторно запустите поиск после короткого ожидания, чтобы устранить это условие.
• Locations.csv — отсутствующие расположения. Если ожидаемое расположение вообще не отображается в отчете, оно не было включено в область поиска. Проверьте источники данных, настроенные для поиска, и добавьте все отсутствующие почтовые ящики или сайты.

Совет

При изучении отсутствующих элементов начните с Locations.csv, чтобы убедиться, что все ожидаемые расположения успешно искали, а затем проверка Settings.csv, чтобы проверить правильность параметров. Если оба вида выглядят правильно и элементы по-прежнему отсутствуют, содержимое может быть удалено или еще не проиндексировано во время поиска.

Различия в результатах поиска с поиском на уровне клиента

При использовании область поиска на уровне клиента, например "Все люди и группы", результаты могут отличаться в зависимости от дополнительных параметров конфигурации источника, определяющих, какие типы пользователей и контента включены. Эти параметры расширяют или сужают область поиска и напрямую влияют на количество элементов.

На что следует обратить внимание в отчете о процессе:

• Settings.csv — параметры процесса на уровне клиента. Если в поиске используются все люди и группы, CSV-файл параметров записывает, какие дополнительные типы источников были включены во время экспорта поиска или добавления в набор проверки . Проверьте эти параметры, чтобы понять, почему было включено или исключено определенное содержимое:

  • Включение ушедших пользователей. Если этот параметр включен, поиск включает почтовые ящики и сайты #REF! пользователей, которые покинули организацию (обратимо удаленные или неактивные учетные записи). Если этот параметр не включен и вы ожидали найти содержимое от бывших сотрудников, в нем объясняется, почему эти элементы отсутствуют в результатах.
  • Включение общих каналов Teams. Если они включены, поиск включает содержимое из общих каналов Teams. Данные общего канала хранятся на отдельных сайтах #REF!, поэтому они включаются только в том случае, если этот параметр активен. Если у вас отсутствует содержимое общего канала, убедитесь, что этот параметр включен.
  • Включение нелицензированных и локальных пользователей. Если этот параметр включен, поиск включает почтовые ящики пользователей, у которых нет лицензии или которые синхронизированы из локальных сред.
  • Включение гостевых пользователей. Если этот параметр включен, поиск включает содержимое, связанное с учетными записями гостевых пользователей в клиенте.

Примечание.

Параметры источника на уровне клиента настраивается на уровне процесса. Включение этих параметров повышает область процесса и может повлиять на производительность.

Интерпретация различий между поиском и экспортом

Когда вы экспортируете результаты поиска или добавляете их в набор для проверки, итоговое количество элементов часто отличается от первоначальной оценки поиска. Полный список причин см. в разделе Различия между статистикой и результатами экспорта. В отчете Сводка CSV показаны конкретные факторы, влияющие на количество процессов.

На что следует обратить внимание в отчете о процессе:

• Раздел сведений Summary.csv. В этом разделе перечислены все факторы, увеличившие или уменьшающие количество элементов по сравнению с исходной оценкой, например облачные вложения, контекстные беседы, консолидированные расшифровки, версии файлов #REF! и дубликаты, пропущенные в наборе для проверки. Полный список этих факторов и их значение см. в разделе Сведения.
• Раздел результатов поиска Summary.csv: показывает разбивку индексированных элементов, частично индексированных элементов и расширенных индексированных элементов. Если число меньше ожидаемого, проверка, включены ли частично индексированные элементы в параметры процесса.
• Раздел об ошибке Summary.csv: отображаются исключения получения — элементы, которые не удалось экспортировать или добавить в набор для проверки. Сведения о конкретных типах исключений, отслеживаемых в этом разделе, см. в разделе Ошибка.

Общие сведения о влиянии параметров поиска на результаты

В csv-отчете "Параметры" содержится точную конфигурацию, используемую при отправке процесса. Сравните этот отчет с предполагаемой конфигурацией, чтобы выявить несоответствия.

Ключевые параметры, влияющие на результирующий область:

• Включить версии документов. Определяет, сколько версий каждого документа собирается. Выбор всех версий может значительно увеличить количество элементов и объем данных.
• Упорядочение бесед в html-расшифровки. При включении отдельные сообщения чата Teams объединяются в файлы расшифровки, что изменяет количество элементов.
• Включите контекстные беседы Teams и #REF!. Если этот параметр включен, поиск включает сообщения за пределами диапазона дат поиска для предоставления контекста беседы. Для 1:1 и групповых чатов этот параметр добавляет сообщения за 12 часов до и после каждого адаптивного элемента. Для записей канала Teams и #REF! записей поиск включает целые потоки беседы независимо от диапазона дат. Если вы видите элементы за пределами ожидаемого диапазона дат, проверка, включен ли этот параметр.
• Ссылки доступа в сообщениях. Определяет, извлекает ли поиск облачные вложения из ссылок в сообщениях электронной почты и беседах Teams.

Общие сведения об экспорте отчетов

Почему некоторые элементы не были экспортированы

После завершения экспорта в отчете Items CSV и в разделе Ошибкаотчета Сводка CSV-файла объясняется, что произошло с каждым элементом.

На что следует обратить внимание в отчете об экспорте:

• Items.csv — столбец состояния. Каждая строка представляет элемент. Элементы со статусом, отличным от успешного, включают поле ErrorWarning с причиной сбоя. Распространенные причины:

  • Элемент удален или перемещен. Поиск нашел элемент, но кто-то удалил или переместил его в источнике между временем поиска и экспорта. Эти элементы учитываются в оценке поиска, но не могут быть получены во время экспорта.
  • Время ожидания доступа. Системе не удалось получить элемент в течение разрешенного времени, часто из-за большого размера файла или временной проблемы с обслуживанием.
  • Проблема с разрешениями или доступом. Процессу экспорта не удалось получить доступ к элементу, возможно, из-за блокировки исходного расположения или отсутствия доступа к учетной записи пользователя.

• Items.csv — столбец AddedBy: показывает, как каждый элемент был включен в результаты. Определения каждого значения см. в разделе Csv-отчет о элементах.

• Summary.csv — исключения извлечения. Отображает общее количество элементов, которые не удалось экспортировать. Это число соответствует количеству записей ошибок в файле Items.csv.

Общие сведения о метках времени файлов при экспорте

При извлечении файлов из экспортного пакета метки времени файлов могут отображать текущую дату вместо исходной даты изменения. Это происходит из-за того, что встроенный в #REF! средство извлечения ZIP сбрасывает даты файлов во время извлечения. Исходные метки времени сохраняются в отчетеItems.csv и в самих форматах файлов.

Чтобы сохранить метки времени во время извлечения, используйте такие средства, как 7-Zip, WinZip или WinRAR. Для сообщений электронной почты в формате PST при открытии PST в #REF! отображаются исходные даты отправки и получения.

Общие сведения о параметрах экспорта и возможности трассировки

Отчет параметров CSV служит авторитетной записью конфигурации, используемой для экспорта. Этот отчет имеет важное значение для отслеживания и прозрачности, особенно при реагировании на запросы соответствия.

Используйте этот отчет, чтобы:

• Проверьте, какие элементы были включены (индексированные, частично индексированные или и то, и другое).
• Проверьте формат экспорта (PST или .msg) и размер пакета.
• Проверьте, включено ли расшифровка для содержимого Exchange или #REF!.
• Убедитесь, что применены правильные параметры версии документа.

Основные сведения об отчетах о расположении

Определение расположения, в которых есть результаты

В csv-отчете "Расположения" содержится разбивка по каждому расположению содержимого, целевому при поиске, экспорте или добавлении в набор для проверки. Каждая строка представляет расположение и включает в себя количество и размер элементов.

Что нужно посмотреть в отчете о расположении:

• Столбец счетчика. Показывает количество адаптивных элементов, найденных в каждом расположении. Расположения с нулевым числом не имеют поисковых попаданий для используемого запроса.
• Столбец размер. Отображает общий размер адаптивных элементов из расположения в байтах.
• Столбец подтипа расположения. Различает различные подтипы почтового ящика и сайта. SMTP-адрес одного пользователя может отображаться в нескольких строках, если они имеют разные подтипы почтовых ящиков. Полный список значений подтипов см. в разделе Csv-отчет о расположениях.
• Столбец состояния: показывает, успешно ли было обработано расположение. Если расположение завершилось сбоем, в поле ErrorWarning указывается причина.

Основные сведения об ошибках на уровне расположения

Ошибки на уровне расположения в csv-отчете Расположения указывают на то, что процессу не удалось получить доступ к определенному почтовому ящику или сайту. Распространенные ошибки:

Error	Что это означает	Действия
Проблема с разрешениями или доступом	Процесс не может получить доступ к почтовому ящику или сайту. Пользователь может быть не лицензирован, сайт может быть заблокирован или учетная запись поиска не имеет разрешений.	Проверьте состояние лицензии пользователя и что сайт не заблокирован. Убедитесь, что роль администратора или руководителя обнаружения электронных данных имеет необходимые разрешения, а затем повторно запустите процесс.
Timeout	Обработка расположения занимает слишком много времени. Эта ошибка может произойти с очень большими почтовыми ящиками или сайтами.	Повторно запустите процесс. Если время ожидания сохраняется, сузьте поисковый запрос или разделите поиск на меньшее количество расположений на один запуск.
Расположение не найдено	Почтовый ящик или сайт не существует. Пользователь может быть удален или URL-адрес сайта может быть неверным.	Проверьте учетную запись пользователя или URL-адрес сайта в Центр администрирования Microsoft 365. Если пользователь был удален, используйте неактивный почтовый ящик или добавьте URL-адрес #REF! непосредственно в качестве расположения #REF!.

Если в расположении есть ошибки, это не означает, что весь процесс завершился сбоем. Другие расположения могут быть успешно обработаны. Просмотрите CSV-файл Расположения, чтобы определить, какие именно расположения требуют внимания.

Основные сведения об отчетах о удержании

Интерпретация состояния распределения удержания

Когда вы создаете или обновляете удержание, отчет о процессе применения или обновления хранения содержит csv-отчет о расположениях , который показывает состояние каждого расположения в удержании.

Что нужно посмотреть в отчете о удержании:

• Столбец состояния: показывает, успешно ли применено удержание к каждому расположению.

• Столбец ErrorWarning. Если расположение завершилось сбоем, это поле содержит конкретную ошибку. Распространенные ошибки распределения удержания:

  Error	Что это означает	Действия
  PolicySyncTimeout / PolicyNotifyError	Временные ошибки. Удержание потребовалось слишком долго, чтобы применить.	Повторно запустите распределение удержания. Эти ошибки обычно устраняются при повторных попытках.
  FailedToOpenContainer	Доступ к почтовому ящику или сайту невозможно. У пользователя может не быть почтового ящика или сайт не существует.	Проверьте состояние учетной записи пользователя в Центр администрирования Microsoft 365 и убедитесь, что почтовый ящик или сайт активен.
  SiteInReadonlyOrNotAccessible / SiteOutOfQuota	Сайт #REF! или #REF! находится в состоянии только для чтения или не имеет квоты хранилища.	Обратитесь к администратору #REF!, чтобы разблокировать сайт или увеличить квоту хранилища, а затем повторно запустите удержание.
  RecipientTypeNotAllowed	Попытка удержания была предпринята для недопустимого объекта, например группы рассылки. Можно хранить только почтовые ящики пользователей, почтовые ящики групп и сайты #REF! или #REF!.	Удалите недопустимый объект и добавьте отдельные почтовые ящики или сайты пользователей.

Общие сведения о потреблении

В разделеСводка по потреблениюотчета CSV сводки объем данных разбивается по типу контента. Эти сведения помогут вам понять последствия хранения и выставления счетов для процессов, которые добавляют данные в набор проверки или экспортируют данные.

Примечание.

Если у вас нет активной подписки с оплатой по мере использования, данные не экспортируются и не добавляются в набор для проверки. Дополнительные сведения см. в разделе Включение функций #REF! с оплатой по мере использования.