Recherche de contenu dans Microsoft Teams dans eDiscovery

Cet article fournit un ensemble complet de procédures, d’instructions et de bonnes pratiques pour l’utilisation d’eDiscovery pour conserver, collecter, examiner et exporter du contenu à partir de Microsoft Teams. L’objectif de cet article est de vous aider à optimiser votre recherche eDiscovery pour le contenu Teams.

Pour en savoir plus sur la recherche de contenu dans Microsoft Teams avec eDiscovery, case activée la vidéo suivante :

Emplacement de stockage du contenu Teams

Pour gérer le contenu Teams dans eDiscovery, vous devez comprendre le type de contenu Teams que vous pouvez collecter, traiter et examiner dans eDiscovery et où Microsoft 365 stocke ce contenu. Les données Teams sont stockées dans Azure Cosmos DB. Exchange Online stocke les enregistrements de conformité Teams que le substrat capture, et eDiscovery peut accéder à ces enregistrements. Les données stockées dans Exchange Online sont masquées aux clients. eDiscovery ne fonctionne jamais sur les données de message Teams réelles, qui restent dans Azure Cosmos DB.

Le tableau suivant répertorie les types de contenu Teams et où Microsoft 365 stocke chaque type à des fins de conformité.

Types de contenu Teams

Toutes les conversations microsoft Teams 1:1 ou de groupe sont journalisé dans les boîtes aux lettres des utilisateurs respectifs. Tous les messages de canal standard sont journalisé dans la boîte aux lettres de groupe représentant l’équipe. Les fichiers chargés dans les canaux standard sont couverts par la fonctionnalité eDiscovery pour SharePoint et OneDrive.

La découverte électronique des messages et des fichiers dans les canaux privés fonctionne différemment des canaux standard. Pour plus d’informations, consultez eDiscovery des canaux privés.

Les réunions Teams enregistrées sont stockées dans le compte OneDrive de l’organisateur ou de l’initiateur de la réunion, en fonction de la configuration meetingRecordingOwnership. Les informations d’identification des participants lors de l’utilisation de la fonctionnalité Masquer les noms des participants pour les réunions Teams sont stockées dans la boîte aux lettres utilisateur de l’organisateur de la réunion.

Tous les contenus Teams ne sont pas accessibles en eDiscoverable. Le tableau suivant présente les types de contenu Teams que vous pouvez rechercher à l’aide des outils Microsoft eDiscovery :

¹ Les métadonnées de réunion (et d’appel) incluent les éléments suivants :

• Heure de début et de fin de la réunion, et durée
• Événements de participation et de départ à une réunion pour chaque participant
• Jointures/appels VOIP
• Jointures d’utilisateur fédérées
• Jointures d’invités

Les données Microsoft Teams apparaissent sous forme de messagerie instantanée ou conversations dans la sortie d’exportation Excel eDiscovery. Vous pouvez ouvrir le .pst fichier dans Outlook pour afficher ces messages après les avoir exportés.

Lorsque vous affichez le fichier .pst de l’équipe, toutes les conversations se trouvent dans le dossier Conversation d’équipe sous Historique des conversations. Le titre du message contient le nom de l’équipe et le nom du canal.

Les conversations privées dans la boîte aux lettres d’un utilisateur sont stockées dans le dossier Conversation d’équipe sous Historique des conversations.

eDiscovery des canaux privés et partagés

Les copies de conformité des messages dans les canaux privés et partagés sont acheminées vers différentes boîtes aux lettres en fonction du type de canal. Cette différence signifie que vous devez rechercher différents emplacements de boîtes aux lettres en fonction du type de canal auquel appartient un utilisateur.

• Canaux privés : les copies de conformité sont acheminées vers la boîte aux lettres de tous les membres du canal privé. Vous devez effectuer une recherche dans la boîte aux lettres de l’utilisateur lors de la recherche de contenu dans des messages de canal privé.
• Canaux partagés : les copies de conformité sont transmises à une boîte aux lettres système associée au équipe parente. Étant donné que Teams ne prend pas en charge la recherche eDiscovery d’une boîte aux lettres système unique pour un canal partagé, vous devez rechercher dans la boîte aux lettres le équipe parente (en sélectionnant le nom de la boîte aux lettres d’équipe) lors de la recherche de contenu de message dans les canaux partagés.

Chaque canal privé et partagé a son propre site SharePoint distinct du site équipe parente. Les fichiers dans les canaux privés et partagés sont stockés dans leur propre site et gérés indépendamment du équipe parente. Vous devez identifier et rechercher le site spécifique associé à un canal lors de la recherche de contenu dans les fichiers et les pièces jointes de messages de canal.

Utilisez les sections suivantes pour identifier le canal privé ou partagé à inclure dans votre recherche eDiscovery.

Identification des membres d’un canal privé

Utilisez la procédure suivante pour identifier les membres d’un canal privé afin de pouvoir utiliser les outils eDiscovery pour rechercher dans la boîte aux lettres du membre du contenu dans les messages de canal privé.

Avant d’effectuer ces étapes, vérifiez que la dernière version du module PowerShell Teams est installée.

1. Exécutez la commande suivante pour obtenir l’ID de groupe de l’équipe qui contient les canaux partagés que vous souhaitez rechercher.

   Get-Team -DisplayName <display name of the the parent team>
   

   Conseil

   Exécutez l’applet de commande Get-Team sans aucun paramètre pour afficher la liste de tous les teams dans votre organization. La liste contient l’ID de groupe et displayName pour chaque équipe.

2. Exécutez la commande suivante pour obtenir la liste des canaux privés dans le équipe parente. Utilisez l’ID de groupe de l’équipe que vous avez obtenu à l’étape 1.

    Get-TeamChannel -GroupId <parent team GroupId> -MembershipType Private
   

3. Exécutez la commande suivante pour obtenir la liste des propriétaires de canaux privés et des membres d’un canal privé spécifique.

    Get-TeamChannelUser -GroupId <parent team GroupId> -DisplayName "Partner Shared Channel"
   

4. Incluez les boîtes aux lettres des propriétaires et des membres d’un canal privé dans le cadre de votre requête de recherche eDiscovery.

Rechercher du contenu pour les invités

Vous pouvez utiliser les outils eDiscovery pour rechercher du contenu Teams lié aux invités dans votre organization. Le contenu de conversation Teams associé à un invité est conservé dans un emplacement de stockage basé sur le cloud et vous pouvez le rechercher à l’aide d’eDiscovery. Ce contenu inclut les conversations de conversation 1:1 et 1 :N où un invité participe avec d’autres utilisateurs à votre organization. Vous pouvez également rechercher des messages de canal privé auxquels un invité participe et du contenu dans les conversations de conversation invité :invité où les seuls participants sont des invités.

Pour rechercher du contenu pour les invités :

1. Connectez-vous à Microsoft Graph PowerShell. Pour plus d’informations, consultez vue d’ensemble de Microsoft Graph PowerShell. Veillez à effectuer les étapes 1 et 2 de l’article précédent.

2. Une fois que vous vous êtes connecté à Microsoft Graph PowerShell, exécutez la commande suivante pour afficher le nom d’utilisateur principal (UPN) de tous les invités de votre organization. Vous devez utiliser l’UPN de l’invité lorsque vous créez la recherche à l’étape 4.

   Get-MgUser -Filter "userType eq 'Guest'" -All $true | FL UserPrincipalName
   

   Conseil

   Au lieu d’afficher une liste de noms d’utilisateur principal sur l’écran de l’ordinateur, vous pouvez rediriger la sortie de la commande vers un fichier texte. Pour ce faire, > filename.txt ajoutez à la commande précédente. Le fichier texte avec les noms d’utilisateur principal est enregistré dans le dossier actif.

3. Dans une autre fenêtre Windows PowerShell, connectez-vous à Sécurité & Conformité PowerShell. Pour obtenir des instructions, consultez Se connecter à La sécurité & Conformité PowerShell. Vous pouvez vous connecter avec ou sans l’authentification multifacteur.

4. Créez une requête de recherche qui recherche tout le contenu (par exemple, les messages de conversation et les messages électroniques) où l’invité spécifié était un participant en exécutant la commande suivante.

   New-ComplianceSearch <search name> -ExchangeLocation <guest UPN>  -AllowNotFoundExchangeLocationsEnabled $true -IncludeUserAppContent $true
   

   Par exemple, pour rechercher du contenu associé à l’invité Sara Davis, exécutez la commande suivante.

   New-ComplianceSearch "Sara Davis Guest" -ExchangeLocation "sara.davis_hotmail.com#EXT#@contoso.onmicrosoft.com" -AllowNotFoundExchangeLocationsEnabled $true -IncludeUserAppContent $true
   

   Pour plus d’informations sur l’utilisation de PowerShell pour créer des recherches, consultez New-ComplianceSearch.

5. Exécutez la commande suivante pour démarrer la recherche que vous avez créée à l’étape 4 :

   Start-ComplianceSearch <search name>
   

6. Accédez au portail Microsoft Purview et connectez-vous à l’aide des informations d’identification d’un compte d’utilisateur affecté à des autorisations eDiscovery.

7. Sélectionnez la solution eDiscovery carte, puis sélectionnez Cas (préversion) dans la navigation de gauche.

8. Sélectionnez un cas.

9. Dans la liste des recherches sous l’onglet Recherches , sélectionnez la recherche que vous avez créée à l’étape 4 pour afficher la page de menu volant.

10. Dans la page de menu volant, vous pouvez effectuer les opérations suivantes :

    • Sélectionnez Exemple pour afficher les résultats de la recherche et afficher un aperçu du contenu.
    • En regard du champ Requête , sélectionnez Modifier pour modifier, puis réexécutez la recherche. Par exemple, vous pouvez ajouter une requête de recherche pour affiner les résultats.
    • Sélectionnez Exporter pour exporter et télécharger les résultats de la recherche.

Rechercher du contenu carte

Les applications génèrent du contenu carte dans les canaux Teams, les conversations 1:1 et les conversations 1xN. Le contenu est stocké dans des boîtes aux lettres et vous pouvez y effectuer une recherche. Une carte est un conteneur de l'assurance-chômage pour de petits morceaux de contenu. Les cartes peuvent avoir plusieurs propriétés et pièces jointes, et peuvent inclure des éléments qui déclenchent carte actions. Pour plus d’informations, consultez Cartes.

Comme pour les autres contenus Teams, l’emplacement où vous stockez carte contenu dépend de l’emplacement où vous avez utilisé le carte. La boîte aux lettres du groupe Teams stocke le contenu des cartes utilisées dans un canal Teams. Les boîtes aux lettres des participants à la conversation stockent carte contenu pour les conversations 1:1 et 1xN.

Pour rechercher carte contenu, utilisez les conditions de kind:microsoftteams recherche ou itemclass:IPM.SkypeTeams.Message . Lorsque vous passez en revue les résultats de la recherche, vous voyez que les bots génèrent carte contenu dans un canal Teams et que la propriété Sender/Author email est <appname>@teams.microsoft.com, où appname est le nom de l’application qui a généré le contenu carte. Si un utilisateur génère carte contenu, la valeur Expéditeur/Auteur identifie l’utilisateur.

Lorsque vous affichez carte contenu dans les résultats de la recherche, le contenu apparaît sous forme de pièce jointe au message. La pièce jointe est nommée appname.html, oùappname se trouve le nom de l'application qui a généré le contenu de la carte.

Rechercher les réunions Teams par date

Les administrateurs peuvent rechercher le contenu de réunion Teams en fonction des dates de début ou de fin de la réunion. Pour filtrer les éléments d’ensemble de révision par des dates de réunion Teams spécifiques, utilisez les propriétés Date de début de la réunion et Date de fin de réunion dans les outils de recherche eDiscovery.

Rechercher des participants masqués dans les réunions Teams

La fonctionnalité Masquer les noms des participants dans Microsoft Teams masque le nom des participants aux autres participants afin que seuls les organisateurs puissent voir les noms des participants. Utilisez cette fonctionnalité pour les réunions ou les événements avec des entreprises externes, des fournisseurs, des réunions confidentielles ou d’autres réunions où la confidentialité personnelle entre les participants est importante. Lorsque vous activez cette fonctionnalité, les noms des participants sont masqués dans la liste de réunion, les conversations de réunion et les enregistrements de réunion.

Pour rechercher les noms des participants dans les réunions Teams où la fonctionnalité Masquer les noms des participants a été activée, vous devez inclure la boîte aux lettres de l’organisateur dans l’étendue de la recherche. Les noms des participants masqués sont uniquement disponibles dans la boîte aux lettres de l’organisateur.

Rechercher des données d’événements Teams

Toutes les données des webinaires et des assemblées sont stockées dans Cosmos DB. Le substrat (SCD) sert de stockage secondaire à des fins de redondance et d’eDiscovery. Pour les webinaires créés avant septembre 2024, ces données restent dans le stockage SharePoint de l’organisateur du webinaire afin d’assurer la continuité des webinaires V1.

eDiscovery applique toutes les informations relatives aux événements, y compris les titres des événements, les descriptions, les données d’inscription des participants, les présentateurs et lesthèmes. Les détails de l’inscription aux événements, tels que les listes de participants et les adresses e-mail des participants, sont capturés dans les journaux eDiscovery. Les données de présence en direct ne sont pas incluses.

Pour les cas juridiques, utilisez le portail Microsoft Purview pour inclure les « événements virtuels Microsoft Teams » comme source de données externe dans les processus. Après avoir créé un cas et sélectionné des sources de données, créez une requête de recherche pour collecter les données d’événement Teams pertinentes pour les besoins juridiques et de conformité.

Pour les mises à jour ultérieures, consultez le Centre de messages pour connaître la disponibilité et les fonctionnalités des fonctionnalités.

eDiscovery dans les environnements d’accès externe et invités

Les administrateurs peuvent utiliser eDiscovery pour rechercher du contenu dans les messages de conversation dans une réunion Teams dans des environnements d’accès externe et d’accès invité en fonction des restrictions suivantes :

• Accès externe : dans une réunion Teams avec des utilisateurs de votre organization et des utilisateurs d’un organization externe où les participants externes utilisent l’accès externe, les administrateurs des deux organisations peuvent rechercher du contenu dans les messages de conversation de la réunion.
• Invité : dans une réunion Teams avec des utilisateurs de votre organization et des invités, seuls les administrateurs du organization qui hébergent la réunion Teams peuvent rechercher du contenu dans les messages de conversation de la réunion.

Recherche de conversations Skype Entreprise

Vous pouvez utiliser la requête mot clé suivante pour rechercher spécifiquement du contenu dans Skype Entreprise conversations :

kind:im

La requête de recherche précédente retourne également des conversations à partir de Microsoft Teams. Pour éviter ce problème, vous pouvez limiter les résultats de la recherche afin d’inclure uniquement les conversations Skype Entreprise à l’aide de la requête mot clé suivante :

kind:im AND subject:conversation

La requête mot clé précédente exclut les conversations dans Microsoft Teams, car Skype Entreprise conversations sont enregistrées en tant que messages électroniques avec une ligne Objet qui commence par le mot « Conversation ».

Pour rechercher Skype Entreprise conversations qui se sont produites dans une plage de dates spécifique, utilisez la requête mot clé suivante :

kind:im AND subject:conversation AND (received=startdate..enddate)

Articles connexes

• Aperçu de Teams PowerShell