Einrichten von Konformitätsgrenzen in eDiscovery

Konformitätsgrenzen erstellen logische Grenzen innerhalb einer organization, die die Speicherorte von Benutzerinhalten wie Postfächer, OneDrive-Konten und SharePoint-Websites steuern, die eDiscovery-Manager durchsuchen können. Compliancegrenzen gelten auch für Suchvorgänge in Untersuchungen zur Datensicherheit. Compliancegrenzen steuern, wer auf eDiscovery-Fälle zugreifen kann, die zum Verwalten der rechtlichen, personellen oder anderen Untersuchungen innerhalb Ihrer Organization verwendet werden. Konformitätsgrenzen steuern den Suchbereich nur innerhalb von eDiscovery und DSI. Sie schränken den Zugriff in anderen Microsoft Purview- oder Defender-Lösungen nicht ein.

Sie benötigen oft Compliance-Grenzen für multinationale Unternehmen, die geografische Grenzen und Vorschriften einhalten müssen, und für Regierungen, die in verschiedene Behörden unterteilt sind. In Microsoft 365 helfen Ihnen Compliancegrenzen, diese Anforderungen zu erfüllen, wenn Sie Inhaltssuchen durchführen und Untersuchungen mithilfe von eDiscovery-Fällen verwalten.

Szenariobeispiel

Die folgende Abbildung zeigt, wie Konformitätsgrenzen funktionieren.

In diesem Beispiel ist Contoso LTD eine organization, die aus zwei Tochtergesellschaften besteht, Fourth Coffee und Coho Winery. Das Unternehmen erfordert, dass eDiscovery-Manager und -Ermittler nur die Exchange-Postfächer, OneDrive-Konten und SharePoint-Websites in ihrer Agentur durchsuchen können. Außerdem können eDiscovery-Manager und Ermittler nur eDiscovery-Fälle in ihrer Agentur anzeigen und nur auf die Fälle zugreifen, in denen sie Mitglied sind. In diesem Szenario können Ermittler keine Inhaltsspeicherorte zurückstellen oder Inhalte aus einem Fall exportieren. Hier erfahren Sie, wie Konformitätsgrenzen diese Anforderungen erfüllen.

• Die Filterfunktion für eDiscovery-Suchberechtigungen steuert die Inhaltsspeicherorte, die eDiscovery-Manager und -Ermittler durchsuchen können. Diese Kontrolle bedeutet, dass eDiscovery-Manager und Ermittler in der Fourth Coffee-Agentur nur Inhaltsspeicherorte in der Fourth Coffee-Niederlassung durchsuchen können. Die gleiche Einschränkung gilt für die Coho Winery-Tochtergesellschaft.

• Rollengruppen stellen die folgenden Funktionen für Konformitätsgrenzen bereit:

  • Steuern Sie, wer die eDiscovery-Fälle im Microsoft Purview-Portal anzeigen kann. Dieses Steuerelement bedeutet, dass eDiscovery-Manager und -Ermittler nur die eDiscovery-Fälle in ihrer Agentur anzeigen können.
  • Steuern Sie, wer einem eDiscovery-Fall Mitglieder zuweisen kann. Diese Kontrolle bedeutet, dass eDiscovery-Manager und -Ermittler nur Mitgliedern zu Fällen zuweisen können, denen sie selbst angehören.
  • Steuern Sie die eDiscovery-bezogenen Aufgaben, die Mitglieder ausführen können, indem Sie Rollen hinzufügen oder entfernen, die bestimmte Berechtigungen zuweisen.

• Wenn ein Suchberechtigungsfilter auf eine Rollengruppe angewendet wird, können Mitglieder der Rollengruppe die folgenden suchbezogenen Aktionen ausführen, solange die Berechtigungen zum Ausführen einer Aktion der Rollengruppe zugewiesen sind:

  • Suchen nach Inhalten
  • Vorschau von Suchergebnissen
  • Exportieren von Suchergebnissen
  • Von einer Suche zurückgegebene Elemente bereinigen

Vorbereitung auf das Einrichten von Konformitätsgrenzen

• Weisen Sie Benutzern eine Exchange Online-Lizenz zu. Verwenden Sie zum Überprüfen von Zuweisungen das Cmdlet "Get-User" in Exchange Online PowerShell.

Einrichten von Compliance-Begrenzungen

Führen Sie die folgenden Schritte aus, um Konformitätsgrenzen einzurichten:

• Schritt 1: Identifizieren eines Benutzerattributs zur Definition Ihrer Agenturen
• Schritt 2: Erstellen einer Rollengruppe für jede Agentur
• Schritt 3: Erstellen eines Suchberechtigungsfilters zum Erzwingen der Compliancegrenze
• Schritt 4: Erstellen eines eDiscovery-Falls für behördeninterne Untersuchungen

Schritt 1: Identifizieren eines Benutzerattributs zur Definition Ihrer Agenturen

Wählen Sie ein Attribut aus, um Ihre Agenturen zu definieren. Verwenden Sie dieses Attribut, um den Suchberechtigungsfilter zu erstellen, der einen eDiscovery-Manager darauf beschränkt, nur die Inhaltsspeicherorte von Benutzern zu durchsuchen, denen ein bestimmter Wert für dieses Attribut zugewiesen ist. Beispielsweise verwendet Contoso das Attribut Department . Der Wert für dieses Attribut für Benutzer in der Fourth Coffee-Niederlassung ist FourthCoffee und der Wert für Benutzer in der Coho Winery-Niederlassung ist CohoWinery. Verwenden Sie in Schritt 3 dieses attribute:value Paar (z. B. Department:FourthCoffee), um die Speicherorte für Benutzerinhalte einzuschränken, die eDiscovery-Manager durchsuchen können.

Im Folgenden finden Sie einige Beispiele für Benutzerattribute, die Sie für Konformitätsgrenzen verwenden können:

• Company
• CustomAttribute1 - CustomAttribute15
• Abteilung
• Büro
• CountryOrRegion (Länder-/Regionscode aus zwei Buchstaben)

Schritt 2: Erstellen einer Rollengruppe für jede Agentur

Erstellen Sie Rollengruppen im Microsoft Purview-Portal, die auf Ihre Agenturen abgestimmt sind.

Um die Rollengruppen zu erstellen, wechseln Sie im Microsoft Purview-Portal zu Einstellungen>Rollen und Bereiche . Erstellen Sie eine Rollengruppe für jedes Team in jeder Behörde, das Compliancegrenzen und eDiscovery-Fälle verwendet, um Untersuchungen zu verwalten. Sie können eine einzelne Rollengruppe verwenden, um ihren Mitgliedern sowohl die eDiscovery-Rollen als auch den Sicherheitsfilter zuzuweisen. Die Mitgliedschaft in dieser Rollengruppe verwaltet sowohl die Rollen, die dem Ermittler zugewiesen sind, als auch die Inhaltsspeicherorte, die er durchsuchen kann.

Verwenden Sie separate Rollengruppen. Verwenden Sie eine Rollengruppe, um den Sicherheitsfilter für die Compliancegrenze zuzuweisen, und eine andere Rollengruppe, um die eDiscovery-Rollen zuzuweisen. Durch die Verwendung von zwei separaten Rollengruppen verwalten Sie die Rollen, die einem Ermittler zugewiesen sind, unabhängig von den Inhaltsspeicherorten, die er durchsucht. Verwenden Sie die Rollengruppe für die Konformitätsgrenze nur, um den Sicherheitsfilter auf Mitglieder anzuwenden. Verwenden Sie separate integrierte (eDiscovery Manager) oder benutzerdefinierte Rollengruppen, um Mitgliedern Rollen zuzuweisen. Weitere Informationen zu eDiscovery-bezogenen Rollen finden Sie unter Zuweisen von eDiscovery-Berechtigungen.

Erstellen Sie im Szenario "Contoso-Konformitätsgrenzen" vier Rollengruppen, und fügen Sie jeder die entsprechenden Mitglieder hinzu.

• eDiscovery-Manager von Fourth Coffee
• Fourth Coffee-Ermittler
• eDiscovery-Manager von Coho Winery
• Coho Winery-Ermittler

Schritt 3: Erstellen eines Suchberechtigungsfilters zum Erzwingen der Compliancegrenze

Nachdem Sie Rollengruppen für jede Agentur erstellt haben, erstellen Sie Suchberechtigungsfilter, die jede Rollengruppe ihrer spezifischen Agentur zuordnen, und definieren Sie die Compliancegrenze. Sie müssen für jede Agentur einen Suchberechtigungsfilter erstellen. Weitere Informationen zum Erstellen von Sicherheitsberechtigungsfiltern finden Sie unter Konfigurieren der Berechtigungsfilterung für eDiscovery.

Hier ist die Syntax, die verwendet wird, um einen Suchberechtigungsfilter für Konformitätsgrenzen für das Szenario in diesem Artikel zu erstellen.

New-ComplianceSecurityFilter -FilterName <name of filter> -Users <role groups> -Filters "Mailbox_<MailboxPropertyName>  -eq '<Value> '", "SiteContent_Path -like '<SharePointURL>' -or SiteContent_Path -like '<OneDriveURL>'"

Im Folgenden finden Sie eine Beschreibung der einzelnen Parameter im Befehl:

• FilterName: Gibt den Namen des Filters an. Verwenden Sie einen Namen, der die Agentur beschreibt oder identifiziert, in der der Filter verwendet wird.

• Users: Gibt die Benutzer oder Gruppen an, für die dieser Filter auf die von ihnen ausgeführten Suchaktionen angewendet wird. Für Konformitätsgrenzen gibt dieser Parameter die Rollengruppen (die Sie in Schritt 2 erstellt haben) in der Agentur an, für die Sie den Filter erstellen. Dieser Parameter ist ein mehrwertiger Parameter, sodass Sie eine oder mehrere Rollengruppen einschließen können, die durch Kommas getrennt sind.

• Filters: Gibt die Suchkriterien für den Filter an. Für Konformitätsgrenzen definieren Sie die folgenden Filter. Jede gilt für unterschiedliche Inhaltsspeicherorte.

  • Mailbox: Gibt die Postfächer oder OneDrive-Konten an, die von den im Parameter definierten Users Rollengruppen durchsucht werden können. Dieser Filter ermöglicht es Mitgliedern der Rollengruppe, nur die Postfächer oder OneDrive-Konten in einer bestimmten Agentur zu durchsuchen. beispielsweise "Mailbox_Department -eq 'FourthCoffee'".

    Hinweis

    Postfachfilter gelten auch für Microsoft 365-Gruppenpostfächer und verbundene SharePoint-Websites. Um Ergebnisse von einer SharePoint-Website zurückzugeben, die mit einer Microsoft 365-Gruppe verbunden ist, müssen sowohl der Postfach - als auch der Websiteinhaltsfilter mit dem Postfach der Microsoft 365-Gruppe und der zugehörigen SharePoint-Website übereinstimmen.

• SiteContent: Dieser Filter enthält zwei separate Filter. Der erste SiteContent_Path gibt die SharePoint-Websites in der Agentur an, die von den im Users Parameter definierten Rollengruppen durchsucht werden können. Beispiel: SiteContent_Path -like 'https://contoso.sharepoint.com/sites/FourthCoffee*'. Der zweite SiteContent_Path Filter (der or vom Operator mit dem ersten SiteContent_Path Filter verbunden ist) gibt die OneDrive-Domäne der Agentur (auch MySite-Domäne genannt) an. Beispiel: SiteContent_Path -like 'https://contoso-my.sharepoint.com/personal*'. Sie können den Site_Path Filter auch anstelle des SiteContent Filters verwenden. SiteContent Die Site und-Filter sind austauschbar und wirken sich nicht auf die in diesem Artikel beschriebenen Suchberechtigungsfilter aus.

  Wichtig

  Warum ist der SiteContent Filter für OneDrive im vorherigen Suchberechtigungsfilter enthalten? Obwohl der Mailbox Filter sowohl für Postfächer als auch für OneDrive-Konten gilt, würde die Aufnahme des SharePoint-Filters OneDrive-Konten ausschließen, wenn Sie nicht den OneDrive-Filter Site einschließen. Wenn der Suchberechtigungsfilter keinen SharePoint-Filter enthalten würde, müssten Sie keinen separaten OneDrive-Filter einschließen, da der Postfachfilter OneDrive-Konten im Bereich der Compliancegrenze enthalten würde. Mit anderen Worten: Ein Suchberechtigungsfilter, der nur den Mailbox Filter enthält, würde sowohl Postfächer als auch OneDrive-Konten umfassen.

Im Folgenden finden Sie Beispiele für die beiden Suchberechtigungsfilter, die Sie zur Unterstützung des Contoso-Szenarios mit Konformitätsgrenzen erstellen. Beide Beispiele umfassen eine durch Trennzeichen getrennte Filterliste, bei der die Postfach- und Websitefilter in den gleichen Suchberechtigungsfilter eingeschlossen sind und durch ein Komma getrennt sind.

Fourth Coffee

New-ComplianceSecurityFilter -FilterName "Fourth Coffee Security Filter" -Users "Fourth Coffee eDiscovery Managers", "Fourth Coffee Investigators" -Filters "Mailbox_Department -eq 'FourthCoffee'", "SiteContent_Path -like 'https://contoso.sharepoint.com/sites/FourthCoffee*' -or SiteContent_Path -like 'https://contoso-my.sharepoint.com/personal*'"

Coho Winery

New-ComplianceSecurityFilter -FilterName "Coho Winery Security Filter" -Users "Coho Winery eDiscovery Managers", "Coho Winery Investigators" -Filters "Mailbox_Department -eq 'CohoWinery'", "SiteContent_Path -like 'https://contoso.sharepoint.com/sites/CohoWinery*' -or SiteContent_Path -like 'https://contoso-my.sharepoint.com/personal*'"

Wie funktionieren die Suchberechtigungsfilter in diesem Szenario?

So werden die Suchberechtigungsfilter in diesem Szenario für jede Agentur angewendet.

1. Der Mailbox Filter wird zunächst angewendet, um die Inhaltsspeicherorte zu definieren, die eDiscovery-Manager durchsuchen können. In diesem Fall können eDiscovery-Manager von Coho Winery nur die Postfächer und OneDrive-Konten von Benutzern durchsuchen, deren Postfacheigenschaft "Department" den Wert "FourthCoffee" aufweist. Coho Winery eDiscovery-Manager können nur die Postfächer und OneDrive-Konten von Benutzern durchsuchen, deren Department-Postfacheigenschaft den Wert CohoWinery aufweist. Der Mailbox Filter ist ein Inhaltsspeicherortfilter, da er die Inhaltsspeicherorte angibt, die eDiscovery-Manager durchsuchen können. In beiden Filtern können eDiscovery-Manager nur Inhaltsspeicherorte mit einem bestimmten Postfacheigenschaftswert durchsuchen.

2. Nachdem die Inhaltsspeicherorte, die durchsucht werden können, definiert der nächste Teil des Filters den Inhalt, den eDiscovery-Manager durchsuchen können. Mit dem ersten SiteContent Filter können Fourth Coffee eDiscovery-Manager nur nach Dokumenten suchen, die über eine Websitepfadeigenschaft verfügen, die Folgendes enthält (oder mit dem Alias beginnt): https://contoso.sharepoint.com/sites/FourthCoffee Coho Winery eDiscovery-Manager können nur Dokumente durchsuchen, die über eine Websitepfadeigenschaft verfügen, die https://contoso.sharepoint.com/sites/CohoWinery. Daher sind die beiden SiteContent Filter Inhaltsfilter , da sie den Inhalt definieren, nach dem gesucht werden kann. In beiden Filtern können eDiscovery-Manager nur nach Dokumenten mit einem bestimmten Dokumenteigenschaftswert suchen. Alle SharePoint-bezogenen Filter sind Inhaltsfilter, da durchsuchbare Websiteeigenschaften in alle Dokumente gestempelt werden. Weitere Informationen finden Sie unter Konfigurieren der Berechtigungsfilterung für eDiscovery.

   Hinweis

   Obwohl sie in dem Szenario in diesem Artikel nicht verwendet werden, können Sie Postfachinhaltsfilter auch verwenden, um den Inhalt anzugeben, nach dem eDiscovery-Manager suchen können. Die Syntax für Postfachinhaltsfilter lautet "MailboxContent_<property> -<comparison operator> '<value>'". Sie können Inhaltsfilter basierend auf Datumsbereichen, Empfängern und Domänen oder beliebigen durchsuchbaren E-Mail-Eigenschaften erstellen. Mit diesem Filter könnten eDiscovery-Manager beispielsweise nur nach E-Mail-Elementen suchen, die von Benutzern in der contoso.com Domäne gesendet oder empfangen wurden: "MailboxContent_Participants -like 'contoso.com'". Weitere Informationen zu Postfachinhaltsfiltern finden Sie unter Konfigurieren der Filterung von Suchberechtigungen.

3. Der Suchberechtigungsfilter wird durch den booleschen Operator AND mit der Suchabfrage verknüpft. Das heißt, wenn ein eDiscovery-Manager in einer der Agenturen eine eDiscovery-Suche ausführt, müssen die von der Suche zurückgegebenen Elemente mit der Suchabfrage und den im Suchberechtigungsfilter definierten Bedingungen übereinstimmen.

Schritt 4: Erstellen eines eDiscovery-Falls für behördeninterne Untersuchungen

Erstellen Sie im letzten Schritt einen eDiscovery-Fall im Microsoft Purview-Portal. Fügen Sie dann die Rollengruppe, die Sie in Schritt 2 erstellt haben, als Mitglied des Falls hinzu. Dieser Ansatz bietet zwei wichtige Vorteile bei der Verwendung von Konformitätsgrenzen:

• Nur Mitglieder der Rollengruppe, die dem Fall hinzugefügt wurden, können den Fall im Microsoft Purview-Portal anzeigen und darauf zugreifen. Wenn beispielsweise die Rollengruppe "Fourth Coffee Investigators" das einzige Mitglied eines Falls ist, können Mitglieder der Rollengruppe "Fourth Coffee eDiscovery-Manager" (oder Mitglieder einer anderen Rollengruppe) den Fall nicht anzeigen oder darauf zugreifen.

• Wenn ein Mitglied der Rollengruppe, die einem Fall zugewiesen ist, eine dem Fall zugeordnete Suche ausführt, kann es nur die Inhaltsspeicherorte innerhalb seiner Agentur durchsuchen. Diese Einschränkung wird durch den Suchberechtigungsfilter definiert, den Sie in Schritt 3 erstellt haben.

So erstellen Sie einen Fall und weisen Mitglieder zu:

1. Wechseln Sie im Microsoft Purview-Portal zu eDiscovery , und erstellen Sie einen Fall.
2. Wählen Sie in der Liste der Fälle den Namen des von Ihnen erstellten Falls aus.
3. Fügen Sie dem Fall Rollengruppen als Mitglieder hinzu.

Suchen und Exportieren von Inhalten in Multigeo-Umgebungen

Mit Suchberechtigungsfiltern können Sie auch steuern, wohin Inhalte für den Export weitergeleitet werden und welches Rechenzentrum bei der Suche nach Inhaltsspeicherorten in einer SharePoint Multigeo-Umgebung durchsucht werden kann.

• Export search results: Sie können die Suchergebnisse aus Exchange-Postfächern, SharePoint-Websites und OneDrive-Konten aus einem bestimmten Rechenzentrum exportieren. Mit dieser Funktion können Sie den Rechenzentrumsstandort angeben, aus dem die Suchergebnisse exportiert werden.

  Verwenden Sie den Region-Parameter für die Cmdlets New-ComplianceSecurityFilter oder Set-ComplianceSecurityFilter , um das Rechenzentrum zu erstellen oder zu ändern, durch das der Export geleitet wird.

  Übergebener Wert	Standort des Rechenzentrums
  NAM	Nordamerika (Rechenzentren befinden sich in den USA)
  EUR	Europa
  APC	Asiatisch-pazifischer Raum
  CAN	Kanada

• Routeninhaltssuchen: Sie können die Inhaltssuchen von SharePoint-Websites und OneDrive-Konten an ein Satellitenrechenzentrum weiterleiten. Mit dieser Funktion können Sie den Rechenzentrumsstandort angeben, an dem die Suche ausgeführt wird.

  Hinweis

  Wenn Sie Premium eDiscovery-Features verwenden, steuert der Region-Parameter nicht die Region, aus der Daten exportiert werden. Die Daten werden vom zentralen Speicherort der organization exportiert. Darüber hinaus ist die Suche nach Inhalten in SharePoint und OneDrive nicht an den geografischen Standort von Rechenzentren gebunden. Es werden alle Rechenzentren durchsucht.

  Verwenden Sie einen der folgenden Werte für den Parameter Region , um den Rechenzentrumsstandort zu steuern, an dem Suchvorgänge bei der Suche nach SharePoint-Websites und OneDrive-Konten ausgeführt werden.

  Übergebener Wert	Datacenter Routingspeicherorte für SharePoint
  NAM	US
  EUR	Europa
  APC	Asiatisch-pazifischer Raum
  CAN	US
  AUS	Asiatisch-pazifischer Raum
  KOR	The organization's default datacenter
  GBR	Europa
  JPN	Asiatisch-pazifischer Raum
  IND	Asiatisch-pazifischer Raum
  LAM	US
  NOR	Europa
  BRA	Rechenzentren in Nordamerika

  Wenn Sie den Parameter Region für einen Suchberechtigungsfilter nicht angeben, wird die primäre SharePoint-Region der organization durchsucht. Die Suchergebnisse werden in das nächstgelegene Rechenzentrum exportiert.

  Zur Vereinfachung des Konzepts steuert der Parameter Region das Rechenzentrum, das für die Suche nach Inhalten in SharePoint und OneDrive verwendet wird. Dieser Parameter gilt nicht für die Suche nach Inhalten in Exchange, da die Inhaltssuche in Exchange nicht an den geografischen Standort von Rechenzentren gebunden ist. Darüber hinaus kann derselbe Parameterwert für " Region " auch das Rechenzentrum bestimmen, durch das Exporte geleitet werden. Dieses Routing ist häufig erforderlich, um die Verschiebung von Daten über geografische Grenzen hinweg zu steuern.

  Wichtig

  Beim Erstellen eines Sicherheitskonformitätsfilters und beim Festlegen einer bestimmten Geo-Region: ESP, ITA, NZL und SWE sind keine gültigen Regionen und generieren einen Fehler beim Umleiten zu gültigen Regionswerten. Dieser Fehler umfasst die folgenden gültigen Regionen: ARE, APC, AUS, AUT, BRA, CAN, CHE, CHL, DEU, EUR, FRA, GBR, IDN, IND, JPN, KOR, LAM, MYS, NAM, NOR, POL, QAT, ZAF.

Im Folgenden finden Sie Beispiele für die Verwendung des Parameters "Region" beim Erstellen von Suchberechtigungsfiltern für Konformitätsgrenzen. In diesem Beispiel wird davon ausgegangen, dass sich die Tochtergesellschaft von Fourth Coffee in Nordamerika und die Coho Winery in Europa befindet.

New-ComplianceSecurityFilter -FilterName "Fourth Coffee Security Filter" -Users "Fourth Coffee eDiscovery Managers", "Fourth Coffee Investigators" -Filters "Mailbox_Department -eq 'FourthCoffee'", "SiteContent_Path -like 'https://contoso.sharepoint.com/sites/FourthCoffee*' -or SiteContent_Path -like 'https://contoso-my.sharepoint.com/personal*'" -Region NAM

New-ComplianceSecurityFilter -FilterName "Coho Winery Security Filter" -Users "Coho Winery eDiscovery Managers", "Coho Winery Investigators" -Filters "Mailbox_Department -eq 'CohoWinery'", "SiteContent_Path -like 'https://contoso.sharepoint.com/sites/CohoWinery*' -or SiteContent_Path -like 'https://contoso-my.sharepoint.com/personal*'" -Region EUR

Beachten Sie die folgenden Punkte, wenn Sie Inhalte in Multigeo-Umgebungen suchen und exportieren.

• Der Parameter Region steuert keine Suchvorgänge in Exchange-Postfächern. Beim Durchsuchen von Postfächern werden alle Datacenter durchsucht. Wenn Sie den Bereich einschränken möchten, in welchen Exchange-Postfächern durchsucht wird, verwenden Sie beim Erstellen oder Ändern eines Suchberechtigungsfilters den Parameter "Filter".

• Wenn ein eDiscovery-Manager mehrere SharePoint-Regionen durchsuchen muss, müssen Sie ein anderes Benutzerkonto für diesen eDiscovery-Manager erstellen, das er im Suchberechtigungsfilter verwenden kann, um die Region anzugeben, in der sich die SharePoint-Websites oder OneDrive-Konten befinden. Weitere Informationen zum Einrichten finden Sie unter Konfigurieren der Suchberechtigungsfilterung in eDiscovery.

• Bei der Suche nach Inhalten in SharePoint und OneDrive leitet der Parameter Region Suchvorgänge entweder an den primären oder Satellitenstandort weiter, an dem der eDiscovery-Manager eDiscovery-Untersuchungen durchführt. Wenn ein eDiscovery-Manager SharePoint- und OneDrive-Websites außerhalb der Region durchsucht, die im Suchberechtigungsfilter angegeben ist, werden keine Suchergebnisse zurückgegeben.

• Beim Exportieren von Suchergebnissen aus eDiscovery werden Inhalte aus allen Inhaltsspeicherorten (einschließlich Exchange, Skype for Business, SharePoint, OneDrive und anderen Diensten, die Sie mithilfe des Inhaltssuchtools durchsuchen können) an den Azure Storage-Speicherort im Rechenzentrum hochgeladen, der durch den Parameter Region angegeben wird. Dieses Verhalten hilft Organisationen, die Compliance einzuhalten, indem sie nicht zulassen, dass Inhalte über kontrollierte Grenzen hinweg exportiert werden. Wenn Sie im Suchberechtigungsfilter keine Region angeben, werden die Inhalte in das primäre Datencenter der organization hochgeladen.

  Beim Exportieren von Inhalten mit aktivierten Premium eDiscovery-Features können Sie mithilfe des Region-Parameters nicht steuern, wohin Inhalte hochgeladen werden. Inhalte werden an einen Azure Storage-Speicherort in einem Rechenzentrum am zentralen Standort Ihrer organization hochgeladen. Eine Liste der geografischen Standorte basierend auf Ihrem zentralen Standort finden Sie unter Microsoft 365 Multi-Geo eDiscovery-Konfiguration.

• Sie können einen vorhandenen Suchberechtigungsfilter bearbeiten, um die Region hinzuzufügen oder zu ändern, indem Sie den folgenden Befehl ausführen:

  Set-ComplianceSecurityFilter -FilterName <Filter name>  -Region <Region>
  

Verwenden von Kompatibilitätsgrenzen für SharePoint-Hubwebsites

SharePoint-Hubwebsites richten sich häufig nach denselben geografischen Grenzen oder Behördengrenzen, denen die Grenzen der eDiscovery-Compliance folgen. Sie können die Website-ID-Eigenschaft der Hubwebsite verwenden, um eine Compliancegrenze zu erstellen. Verwenden Sie dazu das Get-SPOHubSite-Cmdlet in SharePoint Online PowerShell, um die SiteId für die Hubwebsite abzurufen, und verwenden Sie dann diesen Wert für die Eigenschaft "Abteilungs-ID", um einen Suchberechtigungsfilter zu erstellen.

Verwenden Sie die folgende Syntax, um einen Suchberechtigungsfilter für eine SharePoint-Hubwebsite zu erstellen:

New-ComplianceSecurityFilter -FilterName <Filter Name> -Users <User or Group> -Filters "Site_Departmentid -eq '{SiteId of hub site}'"

Hier ist ein Beispiel für das Erstellen eines Suchberechtigungsfilters für eine Hubwebsite für die Coho Winery Agentur:

New-ComplianceSecurityFilter -FilterName "Coho Winery Hub Site Security Filter" -Users "Coho Winery eDiscovery Managers", "Coho Winery Investigators" -Filters "Site_Departmentid -eq '44252d09-62c4-4913-9eb0-a2a8b8d7f863'"

Überlegungen zu Compliancegrenzen

Berücksichtigen Sie die folgenden Überlegungen im Hinterkopf, wenn Sie eDiscovery-Fälle und -Untersuchungen verwalten, die Konformitätsgrenzwerte verwenden:

• Wenn Sie eine Suche erstellen und ausführen, können Sie Speicherorte für Inhalte auswählen, die sich außerhalb Ihrer Agentur befinden. Aufgrund des Filters für Suchberechtigungen sind Inhalte aus diesen Speicherorten jedoch nicht in den Suchergebnissen enthalten.

• Compliancegrenzen gelten nicht für Halteräume in eDiscovery-Fällen. Diese Bedingung bedeutet, dass ein eDiscovery-Manager in einer Agentur einen Benutzer in einer anderen Agentur in den Haltebereich setzen kann. Die Compliancegrenze wird jedoch erzwungen, wenn der eDiscovery-Manager die Inhaltsspeicherorte des Benutzers durchsucht, der in den Haltebereich gesetzt wurde. Diese Bedingung bedeutet, dass der eDiscovery-Manager die Speicherorte des Benutzers nicht durchsuchen kann, obwohl er den Benutzer in der Warteschleife platzieren konnte.

• Wenn Ihnen ein Suchberechtigungsfilter zugewiesen wurde – entweder Postfach- oder Websitefilter – und Sie versuchen, teilweise indizierte Elemente aus einer Suche zu exportieren, die alle SharePoint-Websites in Ihrer Organization umfasst, indem Sie die Bereichsoption verwenden, um teilweise indizierte Elemente auch von Speicherorten ohne Suchtreffer einzuschließen (siehe Exportieren von Suchergebnissen) enthält, enthält der Export teilweise indizierte Elemente von allen Websites, einschließlich derjenigen außerhalb Ihrer zugewiesenen Compliancegrenze.

• Beim Abrufen teilweise indizierter Elemente von Websites, die Suchtreffer enthalten, verwendet eDiscovery einen präfixbasierten Ansatz. Wenn beispielsweise eine Website http://contoso.com/sales als ein Speicherort identifiziert wird, der mit der Suchabfrage übereinstimmt, können die Ergebnisse auch Elemente von einer Website mit ähnlichem Präfix enthalten, z. B http://contoso.com/salesdepartment. , selbst wenn die http://contoso.com/salesdepartment Website außerhalb der konfigurierten Konformitätsgrenze liegt. Dieses Verhalten kann auftreten, wenn der Filter nicht auf dem Websitepfad basiert. Wenn die Kompatibilitätsgrenze instance als Property -eq 'abc'definiert ist, kann eine Site, die nicht mit dem Eigenschaftswert 'abc' übereinstimmt, eingeschlossen werden, wenn ihr Pfad ein Präfix mit einer Site teilt, die der Eigenschaft entspricht.

• Suchberechtigungsfilter werden nicht auf öffentliche Exchange-Ordner angewendet.

• Zu den unterstützten Suchfiltern gehören -and, -or, -like, -eq-notund -ne. Verwenden Sie keine anderen Ausschlussfilter, wie z. B -notlike . oder inotlike, in einem Suchberechtigungsfilter für eine inhaltsbasierte Compliancegrenze. Die Verwendung dieser Ausschlussfilter kann zu unerwarteten Ergebnissen führen, wenn Inhalte mit kürzlich aktualisierten Attributen nicht indiziert wurden.

• Die Einhaltung von Compliancegrenzen für OneDrive-Websites bei Suchvorgängen kann in folgenden Fällen beeinträchtigt werden:

  • Die Websites oder zugeordneten Postfächer werden verschoben oder neu zugewiesen.
  • Der OneDrive-Besitz wird neu zugewiesen, oder es werden mehrere Besitzer hinzugefügt.
  • Die OneDrive-Website wird umbenannt oder neu ausgestellt.
  • Durch das Verschieben einer OneDrive-Website kann der Besitz des Inhalts geändert werden, und möglicherweise wird ein Vermittlungspostfach erstellt. Wenn Sie diese Ressourcen verschieben, besteht die Möglichkeit, dass Ergebnisse der Inhaltssuche über Konformitätsgrenzen hinweg verfügbar sind. Wenn eine OneDrive-Website neu zugewiesen, umbenannt oder mehreren Besitzern zugewiesen wird, ist es möglich, dass der Inhalt dieser Websites über Konformitätsgrenzen hinweg verfügbar ist.

• Konformitätsbegrenzungen für Postfächer können in folgenden Fällen beeinträchtigt werden:

  • Das Postfach ist keinem lizenzierten Benutzer zugeordnet, einschließlich deaktivierter oder gelöschter Benutzer.
  • Ein Postfach wird nicht über Microsoft Entra ID verwaltet oder synchronisiert.

• Darüber hinaus können verschiedene Arten von Postfächern während der Suche unabhängig von ihren Konformitätsgrenzen Inhalte erzeugen. Zu diesen Postfachtypen gehören:

  • EquipmentMailbox
  • GuestMailUser
  • LinkedMailbox
  • RoomList
  • RoomMailbox
  • SchedulingMailbox
  • SharedMailbox
  • SystemMailbox
  • TeamMailbox

• Um sicherzustellen, dass die Suche die Konformitätsgrenzen wie erwartet für diese Postfächer respektiert, legen Sie Attribute für freigegebene Postfächer, Gerätepostfächer und andere Postfächer mithilfe des Cmdlets Set-Mailbox oder mithilfe von Invoke-ComplianceSecurityFilterAction fest, um sicherzustellen, dass das Attribut korrekt festgelegt ist. Wenn Sie das Attribut ordnungsgemäß konfigurieren und mit dem Attribut "Compliancegrenze" ausrichten, respektiert das Postfach die Compliancegrenze.

Weitere Informationen

• Wenn Sie ein Postfach delizenzieren oder vorläufig löschen, befindet sich der Benutzer nicht mehr innerhalb der Compliancegrenze. Wenn Sie das Postfach beim Löschen in eine Sperre setzen, unterliegt der im Postfach beibehaltene Inhalt weiterhin einer Compliancegrenze oder einem Suchberechtigungsfilter.
• Wenn Sie Compliancegrenzen und Suchberechtigungsfilter für einen Benutzer implementieren, löschen Sie nicht sein Postfach oder sein OneDrive-Konto des Benutzers. Wenn Sie das Postfach eines Benutzers löschen, entfernen Sie auch das OneDrive-Konto des Benutzers, da mailbox_RecipientFilter der Suchberechtigungsfilter für OneDrive erzwungen wird.
• Compliancegrenzen und Suchberechtigungsfilter hängen von Attributen ab, die auf Inhalte in Exchange, OneDrive und SharePoint gestempelt sind, und der anschließenden Indizierung dieser gestempelten Inhalte.

Häufig gestellte Fragen

Wer kann Suchberechtigungsfilter mithilfe der Cmdlets New-ComplianceSecurityFilter und Set-ComplianceSecurityFilter erstellen und verwalten?

Zum Erstellen, Anzeigen und Ändern von Suchberechtigungsfiltern im Microsoft Purview-Portal müssen Ihnen die Rollen "Organisationsverwaltung " und "eDiscovery-Administrator" zugewiesen sein.

Wenn ein eDiscovery-Manager mehr als einer Rollengruppe zugewiesen ist, die mehrere Agenturen umfasst, wie sucht er dann in der einen oder anderen Agentur nach Inhalten?

Der eDiscovery-Manager kann seiner Suchabfrage Parameter hinzufügen, die die Suche auf eine bestimmte Agentur beschränken. Wenn eine organization beispielsweise die Eigenschaft CustomAttribute10 angibt, um Agenturen zu unterscheiden, kann sie Folgendes an ihre Suchabfrage anfügen, um Postfächer und OneDrive-Konten in einer bestimmten Agentur zu durchsuchen: CustomAttribute10:<value>.

Was geschieht, wenn ich den Wert des Attributs ändere, das als Complianceattribut in einem Suchberechtigungsfilter verwendet wird?

Es dauert bis zu drei Tage, bis ein Suchberechtigungsfilter die Konformitätsgrenze erzwingt, wenn Sie den Wert des im Filter verwendeten Attributs ändern. Nehmen wir zum Beispiel an, dass ein Benutzer in der Agentur Fourth Coffee an die Agentur Coho Winery weitergeleitet wird. Infolgedessen ändert sich der Wert des Department-Attributs für das Benutzerobjekt von FourthCoffee in CohoWinery. In dieser Situation erhalten Fourth Coffee eDiscovery und Investoren bis zu drei Tage nach der Änderung des Attributs Suchergebnisse für diesen Benutzer. Ebenso dauert es bis zu drei Tage, bis eDiscovery-Manager und Ermittler von Coho Winery Suchergebnisse für den Benutzer erhalten.

Kann ein eDiscovery-Manager Inhalte von zwei separaten Compliancegrenzen anzeigen?

Ja, diese Funktion ist verfügbar, wenn Exchange-Postfächer durchsucht werden, indem der eDiscovery-Manager Rollengruppen hinzugefügt wird, die für beide Behörden sichtbar sind. Beim Durchsuchen von SharePoint-Websites und OneDrive-Konten kann ein eDiscovery-Manager jedoch nur dann nach Inhalten in unterschiedlichen Compliancegrenzen suchen, wenn sich die Behörden in derselben Region oder am selben geografischen Standort befinden.

Was geschieht mit vorhandenen eDiscovery-Fällen, wenn ein Mandant zwischen Regionen oder über Sicherheitsgrenzen hinweg verschoben wird?

eDiscovery-Fälle, -Suchen, -Haltevorgänge und -Prüfdateisätze werden zum Zeitpunkt der Erstellung für den Inhaltsspeicherort des Mandanten erstellt. Wenn ein Mandant in eine andere Region oder an eine andere Sicherheitsgrenze (z. B. von Commercial zu GCC, GCC High oder DoD) wechselt, bleiben vorhandene Artefakte an die Datenebene des Ursprungsspeicherorts gebunden und können möglicherweise nicht vom Ziel verwendet werden.

Symptome nach einer Verschiebung können sein: Vorhandene Fälle werden im Portal angezeigt, aber die Erstellung eines neuen Falls oder einer Suche schlägt fehl (häufig mit einem 500-Fehler). Wenn dieser Fehler auftritt, wenden Sie sich an den Microsoft-Support. Es gibt eine Routing-Korrektur, aber für Cloud-übergreifende Verschiebungen müssen Sie den Verlust des Zugriffs auf die Artefakte der Ursprungs-Cloud akzeptieren, um die Blockierung der Erstellung neuer Artefakte in der Ziel-Cloud aufzuheben.

Umfassendere Planungsanleitungen zu Mandantenmigrationen in die Clouds von US-Behörden finden Sie unter Planen der Microsoft Purview DoD-Bereitstellungen, Planen der Bereitstellungen von Microsoft Purview GCC High und Planen der Bereitstellung von Microsoft Purview GCC. Informationen zur Planung der Mandantenverschiebung und Datenresidenz finden Sie unter Advanced Data Residency in Microsoft 365 und Planen für Microsoft 365 Multi-Geo.

Funktionieren Suchberechtigungsfilter für eDiscovery-Fallsperren, Microsoft 365-Aufbewahrungsrichtlinien oder DLP?

Nein, derzeit nicht.

Kann ich weiterhin SharePoint durchsuchen, wenn ich eine Region angebe, um zu steuern, wohin Inhalte exportiert werden, ich aber keine SharePoint-organization in dieser Region habe?

Wenn die im Suchberechtigungsfilter angegebene Region in Ihrer organization nicht vorhanden ist, wird die Standardregion durchsucht.

Welche maximale Anzahl von Suchberechtigungsfiltern kann ich in einer organization erstellen?

Die Anzahl der Suchberechtigungsfilter, die Sie in einer organization erstellen können, ist unbegrenzt. Eine Suchanfrage kann jedoch bis zu 100 Bedingungen enthalten. In diesem Fall wird eine Bedingung als etwas definiert, das durch einen booleschen Operator (z. B. UND, ODER und NAH) mit der Abfrage verbunden ist. Die Begrenzung der Anzahl der Bedingungen umfasst die Suchabfrage selbst sowie alle Suchberechtigungsfilter, die auf den Benutzer angewendet werden, der die Suche ausführt. Je mehr Suchberechtigungsfilter Sie also haben (insbesondere wenn diese Filter auf denselben Benutzer oder dieselbe Benutzergruppe angewendet werden), desto größer ist die Wahrscheinlichkeit, dass die maximale Anzahl von Bedingungen für eine Suche überschritten wird.

Um zu verstehen, wie dieses Limit funktioniert, müssen Sie verstehen, dass ein Suchberechtigungsfilter an die Suchabfrage angefügt wird, wenn eine Suche ausgeführt wird. Ein Suchberechtigungsfilter wird durch den booleschen Operator AND mit der Suchabfrage verknüpft. Die Abfragelogik für die Suchabfrage und einen einzelnen Suchberechtigungsfilter sieht wie folgt aus:

<SearchQuery> AND <PermissionsFilter>

Mehrere Suchberechtigungsfilter werden durch den booleschen Operator ODER kombiniert, und dann werden diese Bedingungen über den UND-Operator mit der Suchabfrage verbunden.

Die Abfragelogik für die Suchabfrage und mehrere Suchberechtigungsfilter sieht wie folgt aus:

<SearchQuery> AND (<PermissionsFilter1> OR <PermissionsFilter2> OR <PermissionsFilter3>...)

Es ist möglich, dass die Suchabfrage selbst aus mehreren Bedingungen besteht, die durch boolesche Operatoren verbunden sind. Jede Bedingung in der Suchabfrage wird auch auf das 100-Bedingungslimit angerechnet.

Außerdem hängt die Anzahl der Suchberechtigungsfilter, die an eine Abfrage angefügt werden, vom Benutzer ab, der die Suche ausführt. Wenn ein bestimmter Benutzer eine Suche ausführt, werden die Suchberechtigungsfilter, die auf den Benutzer angewendet werden (der durch den Parameter Benutzer im Filter definiert wird), an die Abfrage angefügt. Ihre organization kann Hunderte von Suchberechtigungsfiltern haben, aber wenn Sie mehr als 100 Filter auf dieselben Benutzer anwenden, wird wahrscheinlich das Limit von 100 Bedingungen überschritten, wenn diese Benutzer Suchvorgänge ausführen.

Es gibt noch eine weitere Sache, die Sie in Bezug auf die Bedingungsgrenze beachten sollten. Die Anzahl bestimmter SharePoint-Websites, die in den Suchabfrage- oder Suchberechtigungsfiltern enthalten sind, wird ebenfalls auf diesen Grenzwert angerechnet.

Um zu verhindern, dass Ihre organization das Bedingungslimit erreicht, sollten Sie die Anzahl der Suchberechtigungsfilter in Ihrer organization so gering wie möglich halten, um Ihre Geschäftsanforderungen zu erfüllen.

Wie wirken sich Postfachfilter auf Suchvorgänge auf mit OneDrive und M365-Gruppen verbundenen SharePoint-Websites aus?

OneDrive-Websites und mit Microsoft 365-Gruppen verbundene SharePoint-Websites sind mit dem zugeordneten Benutzer- oder Microsoft 365-Gruppenpostfach in Exchange verknüpft. Bei Sicherheitsfiltern, die sowohl einen Postfach- als auch einen Websiteinhaltsfilter enthalten, müssen beide übereinstimmen, um Ergebnisse von den mit OneDrive oder Microsoft 365-Gruppen verbundenen SharePoint-Websites zurückzugeben. Der Postfachfilter wird zuerst für das verbundene Benutzer- oder Microsoft 365-Gruppenpostfach ausgewertet, bevor die SharePoint- und OneDrive-Elemente anhand des SiteContent-Filters ausgewertet werden.

Was ist ein Vermittlungspostfach im Kontext von OneDrive-Websites?

Für aktive und lizenzierte Benutzer, die sowohl über ein Exchange-Postfach als auch über ein OneDrive-Konto verfügen, gibt es einen Link zwischen dem Postfach und ihrer OneDrive-Website. Dies bedeutet, dass der Postfachfilter, der einer Compliancegrenze zugewiesen ist, für das Postfach des Benutzers ausgewertet wird, um nach einer Übereinstimmung zu suchen, bevor Ergebnisse zurückgegeben werden.

Wenn diese Verknüpfung zwischen einem Postfach und einer OneDrive-Website verloren geht, wird das OneDrive stattdessen einem Vermittlungspostfach zugeordnet. Auf dieses Vermittlungspostfach werden keine der Postfacheigenschaften des ursprünglichen Postfachs angewendet.

Gewusst wie überprüfe ich den Status einer OneDrive-Website, um festzustellen, ob sie einem Vermittlungspostfach zugeordnet ist?

Um eine bestimmte OneDrive-Website zu überprüfen und festzustellen, ob sie sich in einem Schiedsverfahren befindet oder mit dem Postfach eines Benutzers verknüpft ist, verwenden Sie das Cmdlet Invoke-ComplianceSecurityFilterAction .

Verwenden Sie die folgende Syntax, um den Status einer OneDrive-Website zu überprüfen:

Invoke-ComplianceSecurityFilterAction -Action GetStatus -PropertyName <Boundary Property> -SiteUrl <SharePoint/OneDrive URL>

Für eine OneDrive-Website, für die kein Schiedsverfahren stattfindet, geben die Befehle den BoundaryType-Wert als UserMailbox zurück, wie im folgenden Beispiel gezeigt:

PS C:\> Invoke-ComplianceSecurityFilterAction -action GetStatus -PropertyName "CustomAttribute10" -siteurl "https://contoso-my.sharepoint.com/personal/lila_contoso_onmicrosoft_com"

SiteUrlOrEmailAddress : https://contoso-my.sharepoint.com/personal/lila_contoso_onmicrosoft_com
BoundaryType          : UserMailbox
BoundaryInstruction   : Set via Set-Mailbox
BoundaryObjectId      : SPO_4531d99e-21df-4903-a8c1-76cc3ec82685@SPO_525ef3f5-fbf7-4f91-bb4a-e3c24116c8a9
BoundaryStatus        : Success
BoundaryProperty      : CustomAttribute10
BoundaryPropertyValue : Dept-CH

Für eine OneDrive-Website, für die ein Schiedsverfahren läuft, geben die Befehle einen leeren oder Nullwert für den BoundaryType-Wert zurück, wie im folgenden Beispiel gezeigt.

PS C:\> Invoke-ComplianceSecurityFilterAction -action GetStatus -PropertyName "CustomAttribute10" -siteurl "https://contoso-my.sharepoint.com/personal/lila_contoso_onmicrosoft_com"

SiteUrlOrEmailAddress : https://contoso-my.sharepoint.com/personal/lila_contoso_onmicrosoft_com
BoundaryType          :
BoundaryInstruction   :
BoundaryObjectId      : SPO_4531d99e-21df-4903-a8c1-76cc3ec82685@SPO_525ef3f5-fbf7-4f91-bb4a-e3c24116c8a9
BoundaryStatus        : Success
BoundaryProperty      : CustomAttribute10
BoundaryPropertyValue :

Wie wirkt sich eine OneDrive-Website in einem Schiedsverfahren auf Ergebnisse aus, die von einem eDiscovery-Manager mit angewendeten Konformitätsgrenzen zurückgegeben werden?

Dieses Verhalten hängt davon ab, wie der Sicherheitsfilter für die Konformitätsgrenze konfiguriert ist. Wenn eine OneDrive-Website in einem Schiedsverfahren ist, wird sie von einem Postfachfilter nicht in die zurückgegebenen Ergebnisse aufgenommen.

Bei Sicherheitsfiltern, die nur einen Postfachfilter verwenden, werden Elemente vom OneDrive innerhalb der Suchergebnisse zurückgegeben, da der Postfachfilter in diesem Szenario nicht zutrifft.

Bei Sicherheitsfiltern, die sowohl einen Postfachfilter als auch einen SiteContent-Filter verwenden, werden Ergebnisse zurückgegeben, wenn der SiteContent-Filter mit den Elementen in der OneDrive-Instance übereinstimmt, die sich im Schiedsverfahren befindet. Wenn es keine Übereinstimmung gibt, werden die Ergebnisse nicht zurückgegeben. Wenn beispielsweise der SiteContent_Path-Filter verwendet wird, da separate Agenturen aufgrund der Bereitstellung von Microsoft 365 Multi-Geo über eine eindeutige OneDrive-URL verfügen, wird der Pfad der OneDrive-Elemente nach dem OneDrive-Schiedsverfahren gefiltert oder herausgefiltert.

Wie kann ich eine OneDrive-Website im Schiedsverfahren aktualisieren, damit Postfachfilter weiterhin gelten?

Verwenden Sie das Cmdlet Invoke-ComplianceSecurityFilterAction, um die Werte CustomAttribute1 bis CustomAttribute15 auf OneDrive-Instanzen festzulegen, die mit einem Vermittlungspostfach verknüpft sind.

Verwenden Sie die folgende Syntax, um den Status einer OneDrive-Website festzulegen:

Invoke-ComplianceSecurityFilterAction -Action Set -PropertyName <Boundary Property> -SiteUrl <SharePoint/OneDrive URL>

Nachdem Sie es auf OneDrive festgelegt haben, werden die Postfachfilter berücksichtigt, die die auf OneDrive festgelegte CustomAttribute-Eigenschaft verwenden.

In welchen Szenarien wird eine OneDrive-Website mit einem Vermittlungspostfach verknüpft?

Viele Szenarien können dazu führen, dass eine OneDrive-Website den Link zum Postfach des Benutzers und den Link zu einem Vermittlungspostfach verliert. Weitere Informationen finden Sie im Abschnitt "Einschränkungen der Konformitätsgrenzen". Wenn Sie ein OneDrive verschieben, ändern oder neu zuweisen, verwenden Sie daher das Cmdlet Invoke-ComplianceSecurityFilterAction, um zu überprüfen, ob sich der relevante Postfachfilter wie erwartet verhält.

Führen Sie im Rahmen der Bereitstellungsaufhebung des Benutzers das Cmdlet "Invoke-ComplianceSecurityFilterAction" für das OneDrive des Benutzers aus, um den erforderlichen CustomAttribute-Wert festzulegen.

Warum sollte ich CustomAttribute1 bis CustomAttribute15 für Postfachsicherheitsfilter verwenden?

Obwohl andere Postfachattribute mit Sicherheitsfiltern funktionieren, verwenden Sie die CustomAttributes aus den folgenden Gründen, wenn Sie den Postfachsicherheitsfilter definieren:

• Alle Exchange Online-Postfächer unterstützen diese Attribute.
• Die Attribute werden direkt auf das Postfach und nicht auf das zugeordnete Benutzerobjekt gestempelt, sodass sie in Szenarien ohne zugeordnetes Benutzerobjekt festgelegt bleiben.
• Das Cmdlet Invoke-ComplianceSecurityFilterAction unterstützt nur das Festlegen von CustomAttribute in OneDrive-Instanzen, die mit einem Vermittlungspostfach verknüpft sind. Meine organization hat zuvor Konformitätsgrenzen mithilfe von Rollengruppen ohne angefügte Rollen (leere Rollengruppen) konfiguriert. Wie kann ich diese Konfiguration aktualisieren?

Ermitteln Sie zunächst die in New-ComplianceSecurityFilter Befehlen verwendeten Rollen, indem Sie Get-ComplianceSecurityFilter | FL FIlterName, Users

Fügen Sie dann jeder Rollengruppe eine minimale Rolle (z. B. View-Only Überwachungsprotokolle) hinzu, oder strukturieren Sie um, um die empfohlene Zwei-Rollen-Gruppenstruktur zu verwenden, bei der Sie eine Rollengruppe für den Sicherheitsfilter (mit mindestens einer Rolle) und eine Rollengruppe für eDiscovery-Berechtigungen einrichten.

Überprüfen Sie abschließend, ob Ihre Konformitätsgrenzen wie erwartet funktionieren, indem Sie eine Testsuche ausführen.

Hinweis: Durch das Hinzufügen oder Entfernen von Rollen aus einer Rollengruppe, die Mitglied eines Falls ist, wird diese Rollengruppe automatisch aus dem Fall entfernt. Fügen Sie die Rollengruppe den betroffenen Fällen erneut hinzu, nachdem Sie Rollenänderungen vorgenommen haben.

Meine Suche gibt Ergebnisse außerhalb der erwarteten Compliancegrenze zurück, was soll ich tun?

Überprüfen Sie, ob der im Sicherheitsfilter verwendeten Rollengruppe mindestens eine Rolle zugewiesen ist. Rollengruppen, denen keine Rollen zugewiesen sind, aktivieren den Sicherheitsfilter nicht. Vergewissern Sie sich, dass das Postfachattribut für alle Zielpostfächer festgelegt ist, einschließlich freigegebener Postfächer und Gruppenpostfächer. Prüfen Sie, ob OneDrive-Websites den Status einer Schlichtung haben, da mit Vermittlungspostfächern verknüpfte Websites keine Postfachattribute erben. Es kann bis zu drei Tage dauern, bis Attributänderungen in den Suchberechtigungsfiltern wirksam werden.