Identificación de tipos de suspensión de buzones de Exchange en eDiscovery

Microsoft Purview ofrece varias maneras de que su organización pueda evitar que el contenido del buzón de correo se elimine permanentemente. Esta protección permite a su organización conservar el contenido para cumplir las normativas de cumplimiento o durante los tipos legales y otros tipos de investigaciones.

Tipos de suspensión

Esta es una lista de las características de retención (también denominadas retenciones) en Microsoft Purview y Microsoft 365:

• Suspensión por juicio: retenciones que se aplican a los buzones de usuario en Exchange Online.

• Suspensión de eDiscovery: contiene que se asocia a un caso de exhibición de documentos electrónicos en el portal de Microsoft Purview. Puede colocar una suspensión en los buzones de Exchange y las cuentas de OneDrive de las personas que está investigando en el caso. También puede colocar una suspensión en los buzones y sitios asociados a Microsoft Teams, grupos de Microsoft 365 y grupos de Viva Engage.

• Directivas de retención de Microsoft Purview: se puede configurar para conservar (o conservar y eliminar) contenido en buzones de usuario en Exchange Online y en el buzón correspondiente para Grupos de Microsoft 365 y Microsoft Teams. También puede crear una directiva de retención para conservar Skype Empresarial Conversaciones, que se almacenan en buzones de usuario.

  Hay dos tipos de directivas de retención de Microsoft Purview que puede asignar a los buzones de correo.

  • Directivas de retención de ubicación específicas: estas directivas se asignan a las ubicaciones de contenido de usuarios específicos. Use el cmdlet Get-Mailbox en Exchange Online PowerShell para obtener información sobre las directivas de retención asignadas a buzones específicos. Para obtener más información sobre este tipo de directiva de retención, consulte la sección Directiva A con inclusiones o exclusiones específicas de la documentación de la directiva de retención.
  • Directivas de retención para toda la organización: estas directivas se asignan a todas las ubicaciones de contenido de la organización. Use el cmdlet Get-OrganizationConfig en Exchange Online PowerShell para obtener información sobre las directivas de retención de toda la organización. Para obtener más información sobre este tipo de directiva de retención, consulte la sección Directiva A que se aplica a ubicaciones completas en la documentación de la directiva de retención.

• Etiquetas de retención de Microsoft Purview: si un usuario aplica una etiqueta de retención de Microsoft Purview (una que está configurada para conservar contenido o conservar y, a continuación, eliminar contenido) a cualquier carpeta o elemento de su buzón, se coloca una suspensión en el buzón como si colocara el buzón en suspensión por juicio o lo asignara a una directiva de retención de Microsoft Purview. Para obtener más información, vea la sección Identificación de buzones en espera porque se aplicó una etiqueta de retención a una carpeta o elemento de este artículo.

Para administrar buzones en espera, es posible que tenga que identificar el tipo de retención que se coloca en un buzón de correo para que pueda realizar tareas como cambiar la duración de la suspensión, quitar temporal o permanentemente la suspensión, o excluir un buzón de una directiva de retención de Microsoft Purview. En estos casos, el primer paso es identificar el tipo de retención colocado en el buzón. Dado que se pueden colocar varias retenciones (y diferentes tipos de retenciones) en un único buzón, debe identificar todas las retenciones colocadas en un buzón si desea quitar o cambiar una suspensión.

Paso 1: Obtener el GUID de las retenciones colocadas en un buzón

Ejecute los dos cmdlets siguientes en Exchange Online PowerShell para obtener el GUID de las retenciones que se colocan en un buzón. Después de obtener un GUID, úselo para identificar la suspensión específica en el paso 2. Una suspensión por juicio no usa un GUID. Las retenciones por juicio están habilitadas o deshabilitadas para un buzón.

• Get-Mailbox: use este cmdlet para comprobar si la suspensión por juicio está habilitada para un buzón y para obtener los GUID de las retenciones de eDiscovery y las directivas de retención de Microsoft Purview asignadas a un buzón. La salida de este cmdlet también muestra si un buzón de correo se excluye explícitamente de una directiva de retención de toda la organización.
• Get-OrganizationConfig: use este cmdlet para obtener los GUID de las directivas de retención de toda la organización.

Para conectarse al PowerShell de Exchange Online, consulte Conexión a Exchange Online PowerShell.

Get-Mailbox

Ejecute el siguiente comando para obtener información sobre las retenciones y las directivas de retención de Microsoft Purview aplicadas a un buzón.

Get-Mailbox <username> | FL LitigationHoldEnabled,InPlaceHolds

En la tabla siguiente se describe cómo identificar diferentes tipos de retenciones en función de los valores de la propiedad InPlaceHolds al ejecutar el cmdlet Get-Mailbox .

Get-OrganizationConfig

Si la propiedad InPlaceHolds está vacía al ejecutar el cmdlet Get-Mailbox , es posible que todavía haya una o varias directivas de retención de Microsoft Purview para toda la organización aplicadas al buzón. Ejecute el siguiente comando en Exchange Online PowerShell para obtener una lista de GUID para las directivas de retención de Microsoft Purview para toda la organización.

Get-OrganizationConfig | FL InPlaceHolds

En la tabla siguiente se describen los diferentes tipos de retenciones de toda la organización y cómo identificar cada tipo en función de los GUID contenidos en la propiedad InPlaceHolds al ejecutar el cmdlet Get-OrganizationConfig .

Para obtener más información sobre las directivas de retención aplicadas a Microsoft Teams, consulte Más información sobre las directivas de retención para Microsoft Teams.

Descripción del formato del valor de InPlaceHolds para las directivas de retención

Además del prefijo (mbx, skpo grp) que identifica un elemento de la InPlaceHolds propiedad como una directiva de retención de Microsoft Purview, el valor también contiene un sufijo que identifica el tipo de acción de retención configurada para la directiva. Por ejemplo, el sufijo de acción se resalta en negrita en los ejemplos siguientes:

skp127d7cf1076947929bf136b7a2a8c36f :1

mbx7cfb30345d454ac0a989ab3041051209 :2

grp1a0a132ee8944501a4bb6a452ec31171 :3

En la tabla siguiente se definen las tres posibles acciones de retención:

Para obtener más información sobre las acciones de retención, consulte la sección Retención de contenido durante un período de tiempo específico .

Paso 2: Uso del GUID para identificar la suspensión

Después de obtener el GUID de una suspensión que se aplica a un buzón de correo, use ese GUID para identificar la suspensión. En las secciones siguientes se muestra cómo identificar el nombre de la suspensión y otra información mediante el GUID de suspensión.

Suspensiones de eDiscovery

Ejecute los siguientes comandos en PowerShell de cumplimiento de seguridad & para buscar una suspensión de exhibición de documentos electrónicos que se aplique al buzón. Use el GUID (sin el prefijo UniH) para la suspensión de eDiscovery que encontró en el paso 1.

Para conectarse a PowerShell de cumplimiento de & de seguridad, consulte Conexión a PowerShell de cumplimiento de & de seguridad.

El primer comando crea una variable que contiene información sobre la suspensión de eDiscovery. Use esta variable en los otros comandos. El segundo comando muestra el nombre del caso de exhibición de documentos electrónicos al que está asociada la suspensión. El tercer comando muestra el nombre de la suspensión y enumera los buzones a los que se aplica la suspensión.

$CaseHold = Get-CaseHoldPolicy <hold GUID without prefix>

Get-ComplianceCase $CaseHold.CaseId | FL Name

$CaseHold | FL Name,ExchangeLocation

Directivas de retención de Microsoft Purview

Conéctese a Security & Compliance PowerShell y ejecute el siguiente comando para buscar la directiva de retención de Microsoft Purview (ubicación específica o de toda la organización) que se aplica al buzón. Use el GUID (sin el prefijo mbx, skp o grp o el sufijo de acción) que encontró en el paso 1.

Get-RetentionCompliancePolicy <hold GUID without prefix or suffix> -DistributionDetail  | FL Name,*Location

Identificación de buzones en espera porque se aplica una etiqueta de retención a una carpeta o elemento

Cuando un usuario aplica una etiqueta de retención configurada para conservar o conservar y, a continuación, eliminar contenido en cualquier carpeta o elemento de su buzón, la propiedad complianceTagHoldApplied del buzón se establece en True. Cuando esta propiedad se establece en True, el buzón se trata de forma similar a si se ha colocado en suspensión, como cuando se asigna a una directiva de retención de Microsoft Purview o se coloca en suspensión por juicio, pero con algunas advertencias. Cuando la propiedad ComplianceTagHoldApplied se establece en True, se producen las siguientes cosas:

• Si se elimina el buzón o la cuenta de Microsoft 365 del usuario, el buzón se convierte en un buzón inactivo.
• No puede deshabilitar el buzón (ya sea el buzón principal o el buzón de archivo, si está habilitado).
• Los elementos que se eliminan del buzón siguen una de las dos rutas de acceso en función de si están etiquetados o no:
  • Los elementos sin etiquetar siguen la misma ruta de acceso que los elementos eliminados cuando no se aplican retenciones al buzón. El tiempo que tardan estos elementos en eliminarse permanentemente viene determinado por la configuración de retención de elementos eliminados y si la recuperación de elementos únicos está habilitada para el buzón o no.
  • Los elementos etiquetados se conservan dentro de la carpeta de elementos recuperables de la misma manera que lo serían si se aplicara una directiva de retención de Microsoft Purview, pero en el nivel de elemento individual. Si varios elementos tienen etiquetas diferentes que están configuradas para conservar o conservar y, a continuación, eliminar contenido a intervalos diferentes, cada elemento se conserva en función de la configuración de la etiqueta aplicada.
• Otras retenciones, como las directivas de retención de Microsoft Purview, las retenciones de eDiscovery o la suspensión por juicio pueden ampliar el tiempo que se conservan los elementos etiquetados en función de los principios de retención.

Para ver el valor de la propiedad ComplianceTagHoldApplied para un único buzón de correo, ejecute el siguiente comando en Exchange Online PowerShell:

Get-Mailbox <username> | FL ComplianceTagHoldApplied

Para obtener más información sobre las etiquetas de retención, consulte Etiquetas de retención.

Administración de buzones en espera de retraso

Al quitar cualquier tipo de retención de un buzón, se aplica una suspensión de retraso . Esta suspensión retrasa la eliminación real de la suspensión durante 30 días para evitar que los datos se eliminen (purguen) permanentemente del buzón. Este retraso ofrece a los administradores la oportunidad de buscar o recuperar elementos de buzón que se purgan después de quitar una suspensión. El Asistente para carpetas administradas coloca una retención retrasada en un buzón la próxima vez que procesa el buzón y detecta que se quitó una suspensión. En concreto, el Asistente para carpetas administradas aplica una retención retrasada a un buzón cuando establece una de las siguientes propiedades de buzón en True:

• DelayHoldApplied: esta propiedad se aplica al contenido relacionado con el correo electrónico (generado por personas que usan Outlook y Outlook en la Web) que se almacena en el buzón de un usuario.
• DelayReleaseHoldApplied: esta propiedad se aplica al contenido basado en la nube (generado por aplicaciones que no son de Outlook, como Microsoft Teams, Microsoft Forms y Microsoft Viva Engage) que se almacena en el buzón de un usuario. Los datos en la nube generados por una aplicación de Microsoft normalmente se almacenan en una carpeta oculta en el buzón de un usuario.

Cuando el Asistente para carpetas administradas coloca una suspensión de retraso en el buzón (al establecer cualquiera de las propiedades anteriores en True), el buzón se sigue considerando que está en espera durante una duración de suspensión ilimitada, como si el buzón estuviera en suspensión por juicio. Después de 30 días, la suspensión de retraso expira y Microsoft 365 intenta quitar automáticamente la suspensión de retraso (estableciendo la propiedad DelayHoldApplied o DelayReleaseHoldApplied en False) para que se quite la suspensión. Después de establecer cualquiera de estas propiedades en False, los elementos correspondientes marcados para la eliminación se purgan la próxima vez que el Asistente para carpetas administradas procese el buzón.

Para ver los valores de las propiedades DelayHoldApplied y DelayReleaseHoldApplied de un buzón, ejecute el siguiente comando en Exchange Online PowerShell.

Get-Mailbox <username> | FL *HoldApplied*

Para quitar la suspensión de retraso antes de que expire, ejecute uno (o ambos) de los siguientes comandos en Exchange Online PowerShell, en función de la propiedad que quiera cambiar:

Set-Mailbox <username> -RemoveDelayHoldApplied

O bien

Set-Mailbox <username> -RemoveDelayReleaseHoldApplied

Debe tener asignado el rol Detención legal en Exchange Online para usar los parámetros RemoveDelayHoldApplied o RemoveDelayReleaseHoldApplied.

Para quitar la suspensión de retraso en un buzón inactivo, ejecute uno de los siguientes comandos en Exchange Online PowerShell:

Set-Mailbox <DN or Exchange GUID> -InactiveMailbox -RemoveDelayHoldApplied

O bien

Set-Mailbox <DN or Exchange GUID> -InactiveMailbox -RemoveDelayReleaseHoldApplied

Para obtener más información sobre el uso de estos parámetros para administrar las retenciones de retraso, vea Set-Mailbox.

Consideraciones sobre la retención dilación

Tenga en cuenta los siguientes puntos al administrar un buzón en espera de retraso:

• Si la propiedad DelayHoldApplied o DelayReleaseHoldApplied está establecida en True y elimina un buzón (o la cuenta de usuario correspondiente), el buzón se convierte en un buzón inactivo. Esto se debe a que se considera que un buzón de correo está en espera si cualquiera de las propiedades está establecida en True y la eliminación de un buzón en espera da como resultado un buzón inactivo. Para eliminar un buzón y no convertirlo en un buzón inactivo, establezca ambas propiedades en False.
• Se considera que un buzón está en espera durante una duración de suspensión ilimitada si la propiedad DelayHoldApplied o DelayReleaseHoldApplied está establecida en True. Sin embargo, eso no significa que se conserve todo el contenido del buzón. Depende del valor establecido en cada propiedad. Por ejemplo, supongamos que ambas propiedades están establecidas en True porque quita las retenciones del buzón. A continuación, solo se quita la suspensión de retraso que se aplica a datos en la nube que no son de Outlook (mediante el parámetro RemoveDelayReleaseHoldApplied ). La próxima vez que el Asistente para carpetas administradas procese el buzón, se purgan los elementos que no son de Outlook marcados para su eliminación. Los elementos de Outlook marcados para la eliminación no se purgan porque la propiedad DelayHoldApplied sigue estando establecida en True. Lo contrario también es true: si DelayHoldApplied se establece en False y DelayReleaseHoldApplied se establece en True, solo se purgan los elementos de Outlook marcados para su eliminación.

Cómo confirmar que se aplica una directiva de retención de toda la organización a un buzón

Al aplicar o quitar una directiva de retención de toda la organización a un buzón de correo, la exportación de los registros de diagnóstico del buzón le ayuda a confirmar que Exchange Online aplicado o quitado la directiva de retención al buzón. Para ver esta información, primero debe validar algunas cosas mediante Exchange Online PowerShell.

Obtener los GUID de las directivas de retención aplicadas explícitamente a un buzón

Get-Mailbox <username> | Select-Object -ExpandProperty InPlaceHolds

Obtener los GUID de las directivas de retención de toda la organización aplicadas a los buzones

Get-OrganizationConfig | Select-Object -ExpandProperty InPlaceHolds

Obtención de los diagnósticos de buzones para HoldTracking

Los registros de diagnóstico de buzón de seguimiento de retención mantienen un historial de las retenciones aplicadas a un buzón de usuario.

$ht = Export-MailboxDiagnosticLogs <username> -ComponentName HoldTracking
$ht.MailboxLog | Convertfrom-Json

Revisión de los resultados de los registros de diagnóstico de buzones

Si recopila datos del paso anterior, los datos resultantes podrían tener un aspecto similar al siguiente:

Ed : 0001-01-01T00:00:00.0000000Escondió : mbx7cfb30345d454ac0a989ab3041051209:1Ht : 4LSD : 2020-03-23T18:24:37.1884606ZOsd : 2020-03-23T18:24:37.1884606Z

Use la tabla siguiente para ayudarle a comprender cada uno de los valores anteriores enumerados en el registro de diagnóstico.

Al quitar una directiva de retención de un buzón de correo, Exchange coloca una suspensión temporal en el usuario para evitar la purga de contenido. Puede deshabilitar una suspensión de retraso ejecutando el Set-Mailbox -RemoveDelayHoldApplied comando .

Pasos siguientes

Después de identificar las retenciones que se aplican a un buzón de correo, puede realizar tareas como cambiar la duración de la suspensión, quitar temporal o permanentemente la suspensión o excluir un buzón inactivo de una directiva de retención de Microsoft Purview. Para obtener más información sobre cómo realizar tareas relacionadas con las retenciones, consulte uno de los artículos siguientes:

• Ejecute el comando Set-RetentionCompliancePolicy -Identity <Policy Name> -AddExchangeLocationException <user mailbox> en Security & Compliance PowerShell para excluir un buzón de una directiva de retención de Microsoft Purview para toda la organización. Este comando solo se puede usar para directivas de retención donde el valor de la propiedad ExchangeLocation es igual a All.
• Cambiar la duración de retención para un buzón inactivo
• Eliminar un buzón inactivo
• Eliminar elementos de la carpeta de elementos recuperables de buzones en retención en la nube