Configurar límites de cumplimiento en eDiscovery

Los límites de cumplimiento crean límites lógicos dentro de una organización que controlan las ubicaciones de contenido del usuario, como buzones, cuentas de OneDrive y sitios de SharePoint, en las que los administradores de eDiscovery pueden buscar. Los límites de cumplimiento también se aplican a las búsquedas en las Investigaciones de seguridad de datos. Los límites de cumplimiento controlan quién puede acceder a los casos de eDiscovery que se usan para administrar las investigaciones legales, de recursos humanos u otras investigaciones dentro de su organización. Los límites de cumplimiento controlan el alcance de la búsqueda solo en eDiscovery y DSI. No restringen el acceso en otras soluciones de Microsoft Purview o Defender.

A menudo se necesitan límites de cumplimiento para las corporaciones multinacionales que tienen que respetar las fronteras geográficas y las regulaciones, y para los gobiernos que están divididos en diferentes agencias. En Microsoft 365, los límites de cumplimiento le ayudan a cumplir estos requisitos al realizar búsquedas de contenido y administrar investigaciones mediante casos de eDiscovery.

Ejemplo de escenario

En la siguiente ilustración se muestra cómo funcionan los límites de cumplimiento.

En este ejemplo, Contoso LTD es una organización que consta de dos subsidiarias, Fourth Coffee y Coho Winery. La empresa requiere que los administradores e investigadores de eDiscovery solo puedan buscar en los buzones de Exchange, las cuentas de OneDrive y los sitios de SharePoint de su agencia. Además, los administradores e investigadores de eDiscovery solo pueden ver los casos de eDiscovery en su agencia y solo pueden acceder a los casos de los que son miembros. En este escenario, los investigadores no pueden poner ubicaciones de contenido en espera ni exportar contenido de un caso. Esta es la manera en que los límites de cumplimiento cumplen estos requisitos.

• La funcionalidad de filtrado de permisos de búsqueda de eDiscovery controla las ubicaciones de contenido en las que pueden buscar los administradores e investigadores de eDiscovery. Este control significa que los gerentes e investigadores de eDiscovery en la agencia Fourth Coffee solo pueden buscar ubicaciones de contenido en la subsidiaria de Fourth Coffee. La misma restricción se aplica a la subsidiaria Coho Winery.

• Los grupos de roles proporcionan las siguientes funciones para los límites de cumplimiento:

  • Controle quién puede ver los casos de eDiscovery en el portal de Microsoft Purview. Este control significa que los administradores e investigadores de eDiscovery solo pueden ver los casos de eDiscovery en su agencia.
  • Controle quién puede asignar miembros a un caso de exhibición de documentos electrónicos. Este control significa que los administradores e investigadores de eDiscovery solo pueden asignar miembros a los casos de los que ellos mismos son miembros.
  • Controle las tareas relacionadas con eDiscovery que los miembros pueden realizar agregando o quitando roles que asignen permisos específicos.

• Cuando se aplica un filtro de permisos de búsqueda a un grupo de roles, los miembros del grupo de roles pueden realizar las siguientes acciones relacionadas con la búsqueda siempre que los permisos para realizar una acción estén asignados al grupo de roles:

  • Buscar contenido
  • Vista previa de los resultados de búsqueda
  • Exportar resultados de búsqueda
  • Purgar elementos devueltos por una búsqueda

Antes de configurar los límites de cumplimiento

• Asigne a los usuarios una licencia de Exchange Online. Para comprobar las tareas, use el cmdlet Get-User en PowerShell de Exchange Online.

Configurar límites de cumplimiento

Complete los pasos siguientes para configurar los límites de cumplimiento:

• Paso 1: Identificar un atributo de usuario para definir las agencias
• Paso 2: Crear un grupo de roles para cada agencia
• Paso 3: Crear un filtro de permisos de búsqueda para aplicar el límite de cumplimiento
• Paso 4: Crear un caso de eDiscovery para investigaciones intrainstitucionales

Paso 1: Identificar un atributo de usuario para definir las agencias

Elija un atributo para definir sus agencias. Use este atributo para crear el filtro de permisos de búsqueda que limita a un administrador de eDiscovery a buscar solo en las ubicaciones de contenido de los usuarios a los que se les asigna un valor específico para este atributo. Por ejemplo, Contoso utiliza el atributo Departamento . El valor de este atributo para los usuarios de la subsidiaria de Fourth Coffee es FourthCoffee y el valor para los usuarios de la subsidiaria de Coho Winery es CohoWinery. En el paso 3, use este attribute:value par (por ejemplo, Department:FourthCoffee) para limitar las ubicaciones de contenido de usuario en las que pueden buscar los administradores de eDiscovery.

Estos son algunos ejemplos de atributos de usuario que puede usar para los límites de cumplimiento:

• Empresa
• CustomAttribute1 - CustomAttribute15
• Departamento
• Oficina
• CountryOrRegion (código de país o región de dos letras)

Paso 2: Crear un grupo de roles para cada agencia

Cree grupos de roles en el portal de Microsoft Purview que se alineen con sus agencias.

Para crear los grupos de roles, vaya a Configuración>Roles y ámbitos en el portal de Microsoft Purview. Cree un grupo de roles para cada equipo de cada agencia que use límites de cumplimiento y casos de eDiscovery para administrar investigaciones. Puede usar un único grupo de roles para asignar los roles de eDiscovery y el filtro de seguridad a sus miembros. La pertenencia a este grupo de roles administra los roles asignados al investigador y las ubicaciones de contenido que puede buscar.

Use grupos de roles independientes. Use un grupo de roles para asignar el filtro de seguridad para el límite de cumplimiento y otro grupo de roles para asignar los roles de eDiscovery. Mediante el uso de dos grupos de roles independientes, puede administrar los roles asignados a un investigador independientemente de las ubicaciones de contenido que busquen. Use el grupo de roles para el límite de cumplimiento solo para aplicar el filtro de seguridad a los miembros. Use grupos de roles integrados (eDiscovery Manager) o personalizados independientes para asignar roles a los miembros. Para obtener más información sobre los roles relacionados con eDiscovery, consulte Asignar permisos de eDiscovery.

Con el escenario de límites de cumplimiento de Contoso, cree cuatro grupos de roles y agregue los miembros adecuados a cada uno.

• Administradores de eDiscovery de Fourth Coffee
• Investigadores de Fourth Coffee
• Administradores de eDiscovery de Coho Winery
• Investigadores de Coho Winery

Paso 3: Crear un filtro de permisos de búsqueda para aplicar el límite de cumplimiento

Después de crear los grupos de roles para cada agencia, cree filtros de permisos de búsqueda que asocien cada grupo de roles con su agencia específica y definan el límite de cumplimiento. Tienes que crear un filtro de permisos de búsqueda para cada agencia. Para obtener más información sobre cómo crear filtros de permisos de seguridad, consulte Configurar el filtrado de permisos para eDiscovery.

Esta es la sintaxis usada para crear un filtro de permisos de búsqueda de límites de cumplimiento para el escenario que se describe en este artículo.

New-ComplianceSecurityFilter -FilterName <name of filter> -Users <role groups> -Filters "Mailbox_<MailboxPropertyName>  -eq '<Value> '", "SiteContent_Path -like '<SharePointURL>' -or SiteContent_Path -like '<OneDriveURL>'"

Esta es una descripción de cada parámetro del comando:

• FilterName: especifica el nombre del filtro. Use un nombre que describa o identifique la agencia en la que se usa el filtro.

• Users: especifica los usuarios o grupos a los que se aplica este filtro a las acciones de búsqueda que realizan. Para los límites de cumplimiento, este parámetro especifica los grupos de roles (que creó en el paso 2) en la agencia para los que está creando el filtro. Este parámetro es un parámetro multivalor, por lo que puede incluir uno o varios grupos de roles, separados por comas.

• Filters: especifica los criterios de búsqueda para el filtro. Para los límites de cumplimiento, defina los siguientes filtros. Cada una se aplica a diferentes ubicaciones de contenido.

  • Mailbox: especifica los buzones o las cuentas de OneDrive en los que pueden buscar los grupos de roles definidos en el Users parámetro. Este filtro permite a los miembros del grupo de roles buscar solo en los buzones de correo o las cuentas de OneDrive de una agencia específica. Por ejemplo, "Mailbox_Department -eq 'FourthCoffee'".

    Nota:

    Los filtros de buzones también se aplican a los buzones de grupo de Microsoft 365 y a los sitios de SharePoint conectados. Para devolver resultados de un sitio de SharePoint conectado a un grupo de Microsoft 365, los filtros Buzón y SiteContent deben coincidir tanto con el buzón de correo del grupo de Microsoft 365 como con el sitio de SharePoint asociado.

• SiteContent: este filtro incluye dos filtros independientes. La primera SiteContent_Path especifica los sitios de SharePoint de la agencia en los que pueden buscar los grupos de roles definidos en el Users parámetro. Por ejemplo, SiteContent_Path -like 'https://contoso.sharepoint.com/sites/FourthCoffee*'. El segundo SiteContent_Path filtro (conectado al primer SiteContent_Path filtro por el or operador) especifica el dominio de OneDrive de la agencia (también denominado dominio MySite ). Por ejemplo, SiteContent_Path -like 'https://contoso-my.sharepoint.com/personal*'. También puede usar el Site_Path filtro en lugar del SiteContent filtro. Los Site filtros y SiteContent son intercambiables y no afectan a los filtros de permisos de búsqueda descritos en este artículo.

  Importante

  ¿Por qué se incluye el filtro de SiteContent OneDrive en el filtro de permisos de búsqueda anterior? Aunque el Mailbox filtro se aplica tanto a los buzones como a las cuentas de OneDrive, la inclusión del filtro de SharePoint excluiría las cuentas de OneDrive si no incluyera también el filtro de OneDrive Site . Si el filtro de permisos de búsqueda no incluye un filtro de SharePoint, no es necesario que incluya un filtro de OneDrive independiente, ya que el filtro Buzón incluiría las cuentas de OneDrive en el ámbito del límite de cumplimiento. En otras palabras, un filtro de permisos de búsqueda con solo el filtro incluiría tanto los buzones como las cuentas de Mailbox OneDrive.

Estos son algunos ejemplos de los dos filtros de permisos de búsqueda que puede crear para admitir el escenario de límites de cumplimiento de Contoso. Estos dos ejemplos incluyen una lista de filtros separados por comas, en la que el buzón y los filtros de sitio se incluyen en el mismo filtro de permisos de búsqueda y se separan con una coma.

Fourth Coffee

New-ComplianceSecurityFilter -FilterName "Fourth Coffee Security Filter" -Users "Fourth Coffee eDiscovery Managers", "Fourth Coffee Investigators" -Filters "Mailbox_Department -eq 'FourthCoffee'", "SiteContent_Path -like 'https://contoso.sharepoint.com/sites/FourthCoffee*' -or SiteContent_Path -like 'https://contoso-my.sharepoint.com/personal*'"

Coho Winery

New-ComplianceSecurityFilter -FilterName "Coho Winery Security Filter" -Users "Coho Winery eDiscovery Managers", "Coho Winery Investigators" -Filters "Mailbox_Department -eq 'CohoWinery'", "SiteContent_Path -like 'https://contoso.sharepoint.com/sites/CohoWinery*' -or SiteContent_Path -like 'https://contoso-my.sharepoint.com/personal*'"

¿Cómo funcionan los filtros de permisos de búsqueda en este escenario?

Esta es la manera en que se aplican los filtros de permisos de búsqueda para cada agencia en este escenario.

1. El Mailbox filtro se aplica en primer lugar para definir las ubicaciones de contenido en las que pueden buscar los administradores de exhibición de documentos electrónicos. En este caso, los administradores de eDiscovery de Coho Winery solo pueden buscar en los buzones y las cuentas de OneDrive de los usuarios cuya propiedad de buzón de correo del Departamento tenga un valor de FourthCoffee; Los administradores de eDiscovery de Coho Winery solo pueden buscar en los buzones y las cuentas de OneDrive de los usuarios cuya propiedad de buzón de correo del Departamento tenga un valor de CohoWinery. El Mailbox filtro es un filtro de ubicación de contenido, porque especifica las ubicaciones de contenido que los administradores de eDiscovery pueden buscar. En ambos filtros, los administradores de eDiscovery solo pueden buscar ubicaciones de contenido con un valor de propiedad de buzón específico.

2. Una vez definidas las ubicaciones de contenido que se pueden buscar, la siguiente parte del filtro define el contenido que pueden buscar los administradores de eDiscovery. El primer SiteContent filtro permite a los administradores de eDiscovery de Fourth Coffee buscar solo documentos que tengan una propiedad de ruta de acceso al sitio que contenga (o comience con) https://contoso.sharepoint.com/sites/FourthCoffee; Los administradores de eDiscovery de Coho Winery solo pueden buscar documentos que tengan una propiedad de ruta de acceso al sitio que contenga (o comience con) https://contoso.sharepoint.com/sites/CohoWinery. Por lo tanto, los dos SiteContent filtros son filtros de contenido porque definen el contenido que se puede buscar. En ambos filtros, los administradores de eDiscovery solo pueden buscar documentos con un valor de propiedad de documento específico. Todos los filtros relacionados con SharePoint son filtros de contenido, porque las propiedades del sitio en el que se pueden realizar búsquedas están estampadas en todos los documentos. Para obtener más información, consulte Configurar el filtrado de permisos para eDiscovery.

   Nota:

   Aunque en el escenario descrito en este artículo no se usan, también puede usar filtros de contenido de buzón para especificar el contenido que los administradores de eDiscovery pueden buscar. La sintaxis de los filtros de contenido del buzón es "MailboxContent_<property> -<comparison operator> '<value>'". Puede crear filtros de contenido basados en intervalos de fechas, destinatarios y dominios, o cualquier propiedad de correo electrónico que se pueda buscar. Por ejemplo, este filtro permitiría a los administradores de eDiscovery buscar solo elementos de correo enviados o recibidos por usuarios en el dominio contoso.com: "MailboxContent_Participants -like 'contoso.com'". Para obtener más información sobre los filtros de contenido del buzón, vea Configurar el filtrado de permisos de búsqueda.

3. El filtro de permisos de búsqueda se une a la consulta de búsqueda mediante el operador booleano AND . Esto significa que cuando un administrador de eDiscovery de una de las agencias realiza una búsqueda de eDiscovery, los elementos devueltos por la búsqueda deben coincidir con la consulta de búsqueda y las condiciones definidas en el filtro de permisos de búsqueda.

Paso 4: Crear un caso de eDiscovery para investigaciones intrainstitucionales

En el paso final, cree un caso de eDiscovery en el portal Microsoft Purview. Después, agregue el grupo de roles que creó en el paso 2 como miembro del caso. Este enfoque ofrece dos ventajas importantes al usar los límites de cumplimiento:

• Solo los miembros del grupo de roles agregado al caso pueden ver y acceder al caso en el portal de Microsoft Purview. Por ejemplo, si el grupo de rol Investigadores de Fourth Coffee es el único miembro de un caso, los miembros del grupo de rol Administradores de exhibición de documentos electrónicos de Fourth Coffee (o los miembros de cualquier otro grupo de rol) no pueden ver el caso ni acceder a él.

• Cuando un miembro del grupo de roles asignado a un caso realiza una búsqueda asociada con el caso, solo puede buscar en las ubicaciones de contenido dentro de su agencia. Esta restricción se define mediante el filtro de permisos de búsqueda que creó en el paso 3.

Para crear un caso y asignar miembros:

1. Vaya a eDiscovery en el portal de Microsoft Purview y cree un caso.
2. En la lista de casos, seleccione el nombre del caso que creó.
3. Agregue grupos de roles como miembros del caso.

Buscar y exportar contenido en entornos multigeográficos

Los filtros de permisos de búsqueda también le permiten controlar dónde se enruta el contenido para la exportación y en qué centro de datos se puede buscar al buscar ubicaciones de contenido en un entorno multigeográfico de SharePoint.

• Exportar resultados de búsqueda: Puede exportar los resultados de la búsqueda desde buzones de Exchange, sitios de SharePoint y cuentas de OneDrive desde un centro de datos específico. Esta característica significa que puede especificar la ubicación del centro de datos desde la que se exportan los resultados de la búsqueda.

  Use el parámetro Region para los cmdlets New-ComplianceSecurityFilter o Set-ComplianceSecurityFilter para crear o cambiar a través de qué centro de datos se enruta la exportación.

  Valor del parámetro	Ubicación del centro de datos
  NAM	Norteamérica (los centros de datos se encuentran en EE. UU.)
  EUR	Europa
  APC	Asia Pacífico
  CAN	Canadá

• Búsquedas de contenido de rutas: Puede enrutar las búsquedas de contenido de sitios de SharePoint y cuentas de OneDrive a un centro de datos satélite. Esta característica significa que puede especificar la ubicación del centro de datos donde se realizan las búsquedas.

  Nota:

  Si usa características premium de eDiscovery, el parámetro Region no controla la región desde la que se exportan los datos. Los datos se exportan desde la ubicación central de la organización. Además, la búsqueda de contenido en SharePoint y OneDrive no está limitada por la ubicación geográfica de los centros de datos. Se buscan todos los centros de datos.

  Use uno de los siguientes valores para el parámetro Region para controlar la ubicación del centro de datos en la que se realizan las búsquedas al buscar en sitios de SharePoint y cuentas de OneDrive.

  Valor del parámetro	Ubicaciones de enrutamiento de Datacenter para SharePoint
  NAM	EE. UU.
  EUR	Europa
  APC	Asia Pacífico
  CAN	EE. UU.
  AUS	Asia Pacífico
  KOR	El centro de datos predeterminado de la organización
  GBR	Europa
  JPN	Asia Pacífico
  IND	Asia Pacífico
  LAM	EE. UU.
  NOR	Europa
  BRA	Centros de datos de Norteamérica

  Si no especifica el parámetro Región para un filtro de permisos de búsqueda, se buscará la región principal de SharePoint de la organización. Los resultados de la búsqueda se exportan al centro de datos más cercano.

  Para simplificar el concepto, el parámetro Region controla el centro de datos que se usa para buscar contenido en SharePoint y OneDrive. Este parámetro no se aplica a la búsqueda de contenido en Exchange porque las búsquedas de contenido de Exchange no están limitadas por la ubicación geográfica de los centros de datos. Además, el mismo valor del parámetro Región también puede determinar el centro de datos a través del cual se enrutan las exportaciones. Este enrutamiento suele ser necesario para controlar el movimiento de datos a través de fronteras geográficas.

  Importante

  Al crear un filtro de cumplimiento de seguridad y establecer una región GEO específica: ESP, ITA, NZL y SWE no son regiones válidas y generan un error que redirige a valores de región válidos. Este error incluye las siguientes regiones válidas: ARE, APC, AUS, AUT, BRA, CAN, CHE, CHL, DEU, EUR, FRA, GBR, IDN, IND, JPN, KOR, LAM, MYS, NAM, NOR, POL, QAT, ZAF.

Estos son ejemplos del uso del parámetro Region al crear filtros de permisos de búsqueda para límites de cumplimiento. En este ejemplo se supone que la subsidiaria de Fourth Coffee se encuentra en Norteamérica y que Coho Winery está en Europa.

New-ComplianceSecurityFilter -FilterName "Fourth Coffee Security Filter" -Users "Fourth Coffee eDiscovery Managers", "Fourth Coffee Investigators" -Filters "Mailbox_Department -eq 'FourthCoffee'", "SiteContent_Path -like 'https://contoso.sharepoint.com/sites/FourthCoffee*' -or SiteContent_Path -like 'https://contoso-my.sharepoint.com/personal*'" -Region NAM

New-ComplianceSecurityFilter -FilterName "Coho Winery Security Filter" -Users "Coho Winery eDiscovery Managers", "Coho Winery Investigators" -Filters "Mailbox_Department -eq 'CohoWinery'", "SiteContent_Path -like 'https://contoso.sharepoint.com/sites/CohoWinery*' -or SiteContent_Path -like 'https://contoso-my.sharepoint.com/personal*'" -Region EUR

Tenga en cuenta lo siguiente al buscar y exportar contenido en entornos multigeográficos.

• El parámetro Region no controla las búsquedas de los buzones de Exchange. Al realizar una búsqueda en los buzones se buscan todos los centros de datos. Para limitar el ámbito en el que se buscan los buzones de Exchange, use el parámetro Filters al crear o cambiar un filtro de permisos de búsqueda.

• Si es necesario que un administrador de eDiscovery busque en varias regiones de SharePoint, debe crear una cuenta de usuario diferente para que ese administrador de eDiscovery la use en el filtro de permisos de búsqueda para especificar la región donde se encuentran los sitios de SharePoint o las cuentas de OneDrive. Para obtener más información sobre cómo configurar esto, consulte Configurar el filtrado de permisos de búsqueda en eDiscovery.

• Al buscar contenido en SharePoint y OneDrive, el parámetro Region dirige las búsquedas a la ubicación principal o satélite donde el administrador de eDiscovery lleva a cabo las investigaciones de eDiscovery. Si un administrador de eDiscovery busca en SharePoint y OneDrive sitios fuera de la región especificada en el filtro de permisos de búsqueda, no se devuelve ningún resultado de búsqueda.

• Al exportar los resultados de búsqueda desde eDiscovery, el contenido de todas las ubicaciones de contenido (incluidos Exchange, Skype Empresarial, SharePoint, OneDrive y otros servicios que puede buscar mediante la herramienta Búsqueda de contenido) se carga en la ubicación de Azure Storage en el centro de datos especificado por el parámetro Region. Este comportamiento ayuda a las organizaciones a mantenerse dentro del cumplimiento al no permitir que el contenido se exporte a través de fronteras controladas. Si no especifica una región en el filtro de permisos de búsqueda, el contenido se cargará en el centro de datos principal de la organización.

  Al exportar contenido con las características premium de eDiscovery habilitadas, no puede controlar dónde se carga el contenido mediante el parámetro Region . El contenido se carga en una ubicación de Azure Storage en un centro de datos de la ubicación central de la organización. Para obtener una lista de ubicaciones geográficas basadas en su ubicación central, consulte Configuración de eDiscovery multigeográfico de Microsoft 365.

• Puede editar un filtro de permisos de búsqueda existente para agregar o cambiar la región ejecutando el siguiente comando:

  Set-ComplianceSecurityFilter -FilterName <Filter name>  -Region <Region>
  

Usar límites de cumplimiento para sitios centrales de SharePoint

Los sitios centrales de SharePoint a menudo se alinean con los mismos límites geográficos o de agencia que siguen los límites de cumplimiento de eDiscovery. Puede usar la propiedad de id. de sitio del sitio central para crear un límite de cumplimiento. Para ello, use el cmdlet Get-SPOHubSite en SharePoint Online PowerShell para obtener el SiteId para el sitio central y, a continuación, use este valor para la propiedad department ID para crear un filtro de permisos de búsqueda.

Use la sintaxis siguiente para crear un filtro de permisos de búsqueda para un sitio central de SharePoint:

New-ComplianceSecurityFilter -FilterName <Filter Name> -Users <User or Group> -Filters "Site_Departmentid -eq '{SiteId of hub site}'"

Este es un ejemplo de creación de un filtro de permisos de búsqueda para un sitio central para la agencia Coho Winery:

New-ComplianceSecurityFilter -FilterName "Coho Winery Hub Site Security Filter" -Users "Coho Winery eDiscovery Managers", "Coho Winery Investigators" -Filters "Site_Departmentid -eq '44252d09-62c4-4913-9eb0-a2a8b8d7f863'"

Consideraciones sobre los límites de cumplimiento

Tenga en cuenta las siguientes consideraciones al administrar casos e investigaciones de eDiscovery que usan límites de cumplimiento:

• Al crear y ejecutar una búsqueda, puede seleccionar ubicaciones de contenido que se encuentren fuera de su agencia. Sin embargo, debido al filtro de permisos de búsqueda, el contenido de esas ubicaciones no se incluye en los resultados de búsqueda.

• Los límites de cumplimiento no se aplican a las suspensiones en casos de eDiscovery. Esa condición significa que un administrador de eDiscovery en una agencia puede poner en espera a un usuario de una agencia diferente. Sin embargo, el límite de cumplimiento se aplica si el administrador de eDiscovery busca en las ubicaciones de contenido del usuario que se ha puesto en suspensión. Esa condición significa que el administrador de eDiscovery no puede buscar en las ubicaciones de contenido del usuario, aunque haya podido poner al usuario en espera.

• Si se le asigna un filtro de permisos de búsqueda (ya sea de buzón o de filtros de sitio) e intenta exportar elementos sin indexar parcialmente de una búsqueda que incluya todos los sitios de SharePoint de la organización, use la opción de ámbito para incluir elementos sin resultados de búsqueda (vea Exportar resultados de búsqueda), la exportación contiene elementos no indexados de todos los sitios, incluidos los que están fuera del límite de cumplimiento asignado.

• Al recuperar elementos parcialmente indexados de sitios que contienen aciertos de búsqueda, eDiscovery usa un enfoque basado en prefijos. Por ejemplo, si un sitio http://contoso.com/sales se identifica como una ubicación que coincide con la consulta de búsqueda, los resultados también pueden incluir elementos de un sitio con un prefijo similar, como http://contoso.com/salesdepartment, incluso si el http://contoso.com/salesdepartment sitio se encuentra fuera del límite de cumplimiento configurado. Este comportamiento puede producirse cuando el filtro no se basa en la ruta de acceso del sitio. Por ejemplo, si el límite de cumplimiento se define como Property -eq 'abc', se puede incluir un sitio que no coincide con el valor 'abc' de la propiedad si su ruta de acceso comparte un prefijo con un sitio que sí coincide con la propiedad.

• Los filtros de permisos de búsqueda no se aplican a las carpetas públicas de Exchange.

• Los filtros de búsqueda admitidos incluyen -and, -or, -like, -not-eq, y -ne. No use otros filtros de exclusión, como -notlike o inotlike, en un filtro de permisos de búsqueda para un límite de cumplimiento basado en contenido. El uso de estos filtros de exclusión puede tener resultados inesperados si no se ha indexado el contenido con atributos actualizados recientemente.

• El respeto de los límites de cumplimiento de los sitios de OneDrive en las búsquedas puede verse afectado cuando:

  • Los sitios o los buzones asociados se mueven o se reubican.
  • Se reasigna la propiedad de OneDrive o se agrega más de un propietario.
  • Se cambia el nombre del sitio de OneDrive o se vuelve a emitir.
  • Mover un sitio de OneDrive puede cambiar la propiedad del contenido e incluir la creación de un buzón de arbitraje. Al mover estos recursos, existe la posibilidad de que los resultados de la búsqueda de contenido estén disponibles más allá de los límites de cumplimiento. Cuando se reasigna un sitio de OneDrive, se cambia el nombre o se asigna a más de un propietario, es posible que el contenido de estos sitios esté disponible más allá de los límites de cumplimiento.

• Los límites de cumplimiento de los buzones pueden verse afectados cuando:

  • El buzón no está asociado con un usuario con licencia, lo que incluye usuarios deshabilitados o eliminados.
  • Un buzón no se administra ni se sincroniza desde Microsoft Entra ID.

• Además, varios tipos de buzones pueden producir contenido durante la búsqueda, independientemente de sus límites de cumplimiento. Estos tipos de buzón incluyen:

  • EquipoBuzón
  • GuestMailUser
  • Buzón vinculado
  • RoomList
  • RoomMailbox
  • SchedulingMailbox
  • SharedMailbox
  • SystemMailbox
  • TeamMailbox

• Para asegurarse de que la búsqueda respeta los límites de cumplimiento según lo esperado para estos buzones, establezca atributos en buzones compartidos, buzones de equipo y otros buzones mediante el cmdlet Set-Mailbox o mediante Invoke-ComplianceSecurityFilterAction para asegurarse de que el atributo se establece correctamente. Si configura correctamente el atributo y lo alinea con el atributo de límite de cumplimiento, el buzón respeta el límite de cumplimiento.

Más información

• Si retira la licencia o elimina temporalmente un buzón, el usuario ya no estará dentro del límite de cumplimiento. Si pone un buzón en suspensión al eliminarlo, el contenido conservado en el buzón sigue estando sujeto a un límite de cumplimiento o a un filtro de permisos de búsqueda.
• Si implementa límites de cumplimiento y busca filtros de permisos para un usuario, no elimine el buzón del usuario ni su cuenta de OneDrive. Si elimina el buzón de un usuario, quite también la cuenta de OneDrive del usuario, ya que mailbox_RecipientFilter aplica el filtro de permisos de búsqueda de OneDrive.
• Los límites de cumplimiento y los filtros de permisos de búsqueda dependen de los atributos marcados en el contenido de Exchange, OneDrive y SharePoint y de la indexación posterior de este contenido marcado.

Preguntas frecuentes

¿Quién puede crear y administrar filtros de permisos de búsqueda mediante los cmdlets de New-ComplianceSecurityFilter y Set-ComplianceSecurityFilter?

Para crear, ver y modificar filtros de permisos de búsqueda en el portal de Microsoft Purview, debe tener asignados los roles Administración de la organización y Administrador de eDiscovery .

Si un administrador de eDiscovery está asignado a más de un grupo de roles que abarca varias agencias, ¿cómo busca contenido en una agencia u otra?

El administrador de eDiscovery puede agregar parámetros a su consulta de búsqueda que restringen la búsqueda a una agencia específica. Por ejemplo, si una organización especifica la propiedad CustomAttribute10 para diferenciar las agencias, puede anexar lo siguiente a su consulta de búsqueda para buscar buzones de correo y cuentas de OneDrive en una agencia específica: CustomAttribute10:<value>.

¿Qué sucede si cambio el valor del atributo que se usa como atributo de cumplimiento en un filtro de permisos de búsqueda?

Un filtro de permisos de búsqueda tarda hasta tres días en aplicar el límite de cumplimiento si cambia el valor del atributo usado en el filtro. Por ejemplo, supongamos que un usuario de la agencia Fourth Coffee es transferido a la agencia Coho Winery. Como resultado, el valor del atributo Department en el objeto de usuario cambia de FourthCoffee a CohoWinery. En esta situación, Fourth Coffee eDiscovery y los inversores obtienen resultados de búsqueda para ese usuario hasta tres días después de cambiar el atributo. Del mismo modo, los administradores e investigadores de eDiscovery de Coho Winery tardan hasta tres días en obtener resultados de búsqueda para el usuario.

¿Puede un administrador de eDiscovery ver el contenido desde dos límites de cumplimiento separados?

Sí, esta funcionalidad está disponible al buscar buzones de Exchange al agregar el administrador de eDiscovery a los grupos de roles que tienen visibilidad para ambas agencias. Sin embargo, al buscar en sitios de SharePoint y cuentas de OneDrive, un administrador de eDiscovery puede buscar contenido en diferentes límites de cumplimiento solo si las agencias están en la misma región o ubicación geográfica.

¿Qué sucede con los casos de eDiscovery existentes cuando un inquilino se mueve entre regiones o a través de límites de seguridad?

Los casos, las búsquedas, las retenciones y los conjuntos de revisión de eDiscovery se crean en la ubicación del contenido del inquilino en el momento de la creación. Cuando un inquilino se mueve a una región diferente o a un límite de seguridad diferente (por ejemplo, de comercial a GCC, GCC High o DoD), los artefactos existentes permanecen enlazados al plano de datos de la ubicación de origen y es posible que no se puedan reutilizar desde el destino.

Entre los síntomas después de un movimiento se incluyen: aparecen casos existentes en el portal, pero se produce un error en la creación de un nuevo caso o búsqueda (a menudo con un error 500). Si se produce este error, póngase en contacto con el Soporte técnico de Microsoft. Hay una corrección de enrutamiento, pero para los movimientos entre nubes requiere aceptar la pérdida de acceso a los artefactos de la nube de origen a cambio de desbloquear la creación de nuevos artefactos en la nube de destino.

Para obtener instrucciones de planeación más amplias sobre las migraciones de inquilinos a las nubes del gobierno de EE. UU., consulte Planear implementaciones de Microsoft Purview DoD, Planear implementaciones de Microsoft Purview GCC High y Planear implementaciones de Microsoft Purview GCC. Para la reubicación de inquilinos y el planeamiento de la residencia de datos, consulte Advanced Data Residency in Microsoft 365 y Plan for Microsoft 365 Multi-Geo.

¿Funcionan los filtros de permisos de búsqueda para las retenciones de casos de eDiscovery, las directivas de retención de Microsoft 365 o DLP?

De momento, no.

Si especifico una región para controlar dónde se exporta el contenido, pero no tengo una organización de SharePoint en esa región, ¿puedo seguir buscando en SharePoint?

Si la región especificada en el filtro de permisos de búsqueda no existe en su organización, se busca la región predeterminada.

¿Cuál es el número máximo de filtros de permisos de búsqueda que puedo crear en una organización?

No hay límite en el número de filtros de permisos de búsqueda que puede crear en una organización. Sin embargo, una consulta de búsqueda puede tener un máximo de 100 condiciones. En este caso, una condición se define como algo que está conectado a la consulta por un operador booleano (como AND,OR y NEAR). El límite del número de condiciones incluye la propia consulta de búsqueda más todos los filtros de permisos de búsqueda que se aplican al usuario que ejecuta la búsqueda. Por lo tanto, cuantos más filtros de permisos de búsqueda tenga (especialmente si estos filtros se aplican al mismo usuario o grupo de usuarios), mayor será la posibilidad de superar el número máximo de condiciones para una búsqueda.

Para comprender cómo funciona este límite, debe comprender que se anexa un filtro de permisos de búsqueda a la consulta de búsqueda cuando se ejecuta una búsqueda. Un filtro de permisos de búsqueda se une a la consulta de búsqueda mediante el operador booleano AND . La lógica de consulta para la consulta de búsqueda y un único filtro de permisos de búsqueda es similar a la siguiente:

<SearchQuery> AND <PermissionsFilter>

El operador booleano OR combina varios filtros de permisos de búsqueda y, a continuación, el operador AND conecta esas condiciones a la consulta de búsqueda.

La lógica de consulta para la consulta de búsqueda y los filtros de permisos de búsqueda múltiple es similar a la siguiente:

<SearchQuery> AND (<PermissionsFilter1> OR <PermissionsFilter2> OR <PermissionsFilter3>...)

Es posible que la consulta de búsqueda en sí conste de varias condiciones conectadas por operadores booleanos. Cada condición de la consulta de búsqueda también cuenta para el límite de 100 condiciones.

Además, el número de filtros de permisos de búsqueda anexados a una consulta depende del usuario que ejecute la búsqueda. Cuando un usuario específico ejecuta una búsqueda, los filtros de permisos de búsqueda que se aplican al usuario (que se define mediante el parámetro Users en el filtro) se anexan a la consulta. Su organización podría tener cientos de filtros de permisos de búsqueda, pero si aplica más de 100 filtros a los mismos usuarios, es probable que se supere el límite de 100 condiciones cuando esos usuarios ejecuten búsquedas.

Hay una cosa más a tener en cuenta sobre el límite de condición. El número de sitios específicos de SharePoint que se incluyen en la consulta de búsqueda o en los filtros de permisos de búsqueda también cuentan para este límite.

Para evitar que la organización alcance el límite de condiciones, mantenga el número de filtros de permisos de búsqueda de la organización lo menos posible para cumplir los requisitos de su empresa.

¿Cómo afectan los filtros de buzones a las búsquedas en OneDrive y en los sitios de SharePoint conectados al grupo M365?

Los sitios de OneDrive y los sitios de SharePoint conectados a Grupo Microsoft 365 están vinculados al usuario asociado o al buzón de correo del Grupo Microsoft 365 en Exchange. Para los filtros de seguridad que incluyen un buzón y un filtro SiteContent, para devolver resultados de OneDrive o Microsoft 365 Group, los sitios SharePoint conectados deben coincidir. El filtro Buzón se evalúa en primer lugar con respecto al usuario conectado o con el buzón de grupo de Microsoft 365 antes de evaluar los elementos de SharePoint y OneDrive con el filtro SiteContent.

¿Qué es un buzón de arbitraje en el contexto de los sitios de OneDrive?

Para los usuarios activos y con licencia que tienen un buzón de Exchange y una cuenta de OneDrive, existe un vínculo entre el buzón y su sitio de OneDrive. Esto significa que el filtro de buzón asignado a un límite de cumplimiento se evalúa en el buzón del usuario para comprobar si hay una coincidencia antes de que se devuelvan los resultados.

Cuando este vínculo se pierde entre un buzón y un sitio de OneDrive, OneDrive se asocia a un buzón de arbitraje en su lugar. Este buzón de arbitraje no tiene ninguna de las propiedades de buzón del buzón original aplicadas.

Cómo comprobar el estado de un sitio de OneDrive para determinar si está asociado a un buzón de arbitraje?

Para revisar un sitio de OneDrive específico y comprobar si está en proceso de arbitraje o vinculado al buzón de un usuario, use el cmdlet Invoke-ComplianceSecurityFilterAction .

Use la sintaxis siguiente para comprobar el estado de un sitio de OneDrive:

Invoke-ComplianceSecurityFilterAction -Action GetStatus -PropertyName <Boundary Property> -SiteUrl <SharePoint/OneDrive URL>

Para un sitio de OneDrive que no está en arbitraje, los comandos devuelven el valor BoundaryType como UserMailbox, como se muestra en el ejemplo siguiente:

PS C:\> Invoke-ComplianceSecurityFilterAction -action GetStatus -PropertyName "CustomAttribute10" -siteurl "https://contoso-my.sharepoint.com/personal/lila_contoso_onmicrosoft_com"

SiteUrlOrEmailAddress : https://contoso-my.sharepoint.com/personal/lila_contoso_onmicrosoft_com
BoundaryType          : UserMailbox
BoundaryInstruction   : Set via Set-Mailbox
BoundaryObjectId      : SPO_4531d99e-21df-4903-a8c1-76cc3ec82685@SPO_525ef3f5-fbf7-4f91-bb4a-e3c24116c8a9
BoundaryStatus        : Success
BoundaryProperty      : CustomAttribute10
BoundaryPropertyValue : Dept-CH

Para un sitio de OneDrive que está en arbitraje, los comandos devuelven un valor vacío o nulo para el valor BoundaryType , como se muestra en el ejemplo siguiente.

PS C:\> Invoke-ComplianceSecurityFilterAction -action GetStatus -PropertyName "CustomAttribute10" -siteurl "https://contoso-my.sharepoint.com/personal/lila_contoso_onmicrosoft_com"

SiteUrlOrEmailAddress : https://contoso-my.sharepoint.com/personal/lila_contoso_onmicrosoft_com
BoundaryType          :
BoundaryInstruction   :
BoundaryObjectId      : SPO_4531d99e-21df-4903-a8c1-76cc3ec82685@SPO_525ef3f5-fbf7-4f91-bb4a-e3c24116c8a9
BoundaryStatus        : Success
BoundaryProperty      : CustomAttribute10
BoundaryPropertyValue :

¿Cómo afecta un sitio de OneDrive en arbitraje a los resultados devueltos por un administrador de eDiscovery con límites de cumplimiento aplicados?

Este comportamiento depende de cómo se configure el filtro de seguridad para el límite de cumplimiento. Cuando un sitio de OneDrive está en arbitraje, un filtro de buzón no lo incluye en los resultados devueltos.

Para los filtros de seguridad que usan solo un filtro de buzón, los elementos de OneDrive se devuelven en los resultados de una búsqueda porque el filtro de buzón no se aplica en este escenario.

Para los filtros de seguridad que usan un filtro de buzón y un filtro SiteContent, se devuelven resultados si el filtro SiteContent coincide con los elementos de la instancia de OneDrive que está en arbitraje. Si no hay ninguna coincidencia, los resultados no se devolverán. Por ejemplo, si el filtro de SiteContent_Path se usa cuando las agencias independientes tienen una dirección URL de OneDrive única debido a la implementación de Microsoft 365 Multi-Geo, la ruta de acceso de los elementos de OneDrive filtra los resultados del arbitraje de OneDrive.

¿Cómo puedo actualizar un sitio de OneDrive en arbitraje para que los filtros de buzón sigan aplicándose?

Use el cmdlet Invoke-ComplianceSecurityFilterAction para establecer los valores CustomAttribute1 a CustomAttribute15 en las instancias de OneDrive que se vinculan a un buzón de arbitraje.

Use la sintaxis siguiente para establecer el estado de un sitio de OneDrive:

Invoke-ComplianceSecurityFilterAction -Action Set -PropertyName <Boundary Property> -SiteUrl <SharePoint/OneDrive URL>

Después de configurarlo en OneDrive, respeta los filtros de buzón que usan la propiedad CustomAttribute establecida en OneDrive.

¿Qué escenarios hacen que un sitio de OneDrive se vincule a un buzón de arbitraje?

Muchos escenarios pueden hacer que un sitio de OneDrive pierda su vínculo al buzón del usuario y el vínculo a un buzón de arbitraje. Consulte la sección Limitaciones de límites de cumplimiento para obtener más información. Como resultado, al mover, cambiar o reasignar un OneDrive, use el cmdlet Invoke-ComplianceSecurityFilterAction para validar que el filtro de buzón relevante se comporta según lo esperado.

Como parte de los procesos de desaprovisionamiento de usuarios, ejecute el cmdlet Invoke-ComplianceSecurityFilterAction en OneDrive del usuario para establecer el valor CustomAttribute necesario.

¿Por qué debo usar CustomAttribute1 a CustomAttribute15 para los filtros de seguridad del buzón?

Aunque otros atributos de buzón funcionan con filtros de seguridad, use CustomAttributes al definir el filtro de seguridad de buzón por los siguientes motivos:

• Todos los buzones de Exchange Online admiten estos atributos.
• Los atributos se marcan directamente en el buzón, no en el objeto de usuario asociado, por lo que permanecen establecidos en escenarios donde no hay ningún objeto de usuario asociado.
• El cmdlet Invoke-ComplianceSecurityFilterAction solo admite la configuración de CustomAttribute en instancias de OneDrive vinculadas a un buzón de arbitraje. Mi organización configuró previamente los límites de cumplimiento con grupos de roles sin roles asociados (grupos de roles vacíos), ¿cómo debo actualizar esta congifuración?

En primer lugar, identifique los roles utilizados en los comandos de New-ComplianceSecurityFilter ejecutando Get-ComplianceSecurityFilter | FL FIlterName, Users

A continuación, agregue una función mínima (por ejemplo, View-Only registros de auditoría) a cada grupo de roles o reestructure para usar la estructura de dos grupos de roles recomendada en la que se configura un grupo de roles para el filtro de seguridad (con al menos un rol) y un grupo de roles para los permisos de exhibición de documentos electrónicos.

Por último, compruebe que los límites de cumplimiento funcionan como se espera mediante la ejecución de una búsqueda de prueba.

Nota: al agregar o quitar roles de un grupo de roles que es miembro de un caso, se quitará automáticamente ese grupo de roles del caso. Vuelva a agregar el grupo de roles a los casos afectados después de realizar los cambios de rol.

Mi búsqueda devuelve resultados fuera del límite de cumplimiento esperado, ¿qué debo hacer?

Compruebe que el grupo de roles usado en el filtro de seguridad tenga al menos un rol asignado. Los grupos de roles sin roles asignados no activan el filtro de seguridad. Confirme que el atributo mailbox esté establecido en todos los buzones de destino, incluidos los buzones compartidos y los buzones de grupo. Compruebe si los sitios de OneDrive están en estado de arbitraje, ya que los sitios vinculados a buzones de arbitraje no heredan los atributos del buzón. Los cambios de atributo pueden tardar hasta tres días en surtir efecto en los filtros de permisos de búsqueda.