Compartilhar via

Identificar tipos de suspensão de caixas de correio do Exchange na Deteção de Dados Eletrónicos

O Microsoft Purview oferece várias formas de a sua organização impedir que os conteúdos da caixa de correio sejam eliminados permanentemente. Esta proteção permite que a sua organização retenha conteúdo para cumprir as normas de conformidade ou durante investigações legais e de outros tipos.

Dica

Comece a utilizar Microsoft Security Copilot para explorar novas formas de trabalhar de forma mais inteligente e rápida com o poder da IA. Saiba mais sobre Microsoft Security Copilot no Microsoft Purview.

Tipos de suspensão

Eis uma lista das funcionalidades de retenção (também denominadas suspensões) no Microsoft Purview e no Microsoft 365:

  • Suspensão de Litígios: retém a aplicação a caixas de correio de utilizador no Exchange Online.

  • Retenção da Deteção de Dados Eletrónicos: retém o que associa a um caso de Deteção de Dados Eletrónicos no portal do Microsoft Purview. Pode colocar uma suspensão nas caixas de correio do Exchange e nas contas do OneDrive das pessoas que está a investigar no caso. Também pode colocar uma suspensão nas caixas de correio e sites associados ao Microsoft Teams, grupos do Microsoft 365 e Grupos de Viva Engage.

  • Políticas de retenção do Microsoft Purview: pode ser configurado para reter (ou reter e, em seguida, eliminar) conteúdo em caixas de correio de utilizador no Exchange Online e na caixa de correio correspondente para Grupos do Microsoft 365 e Microsoft Teams. Também pode criar uma política de retenção para manter Skype for Business Conversações, que são armazenadas em caixas de correio de utilizador.

    Existem dois tipos de políticas de retenção do Microsoft Purview que pode atribuir a caixas de correio.

    • Políticas de retenção de localização específicas: estas políticas são atribuídas às localizações de conteúdo de utilizadores específicos. Utilize o cmdlet Get-Mailbox no Exchange Online PowerShell para obter informações sobre políticas de retenção atribuídas a caixas de correio específicas. Para obter mais informações sobre este tipo de política de retenção, veja a secção Uma política com inclusãos ou exclusões específicas da documentação da política de retenção.
    • Políticas de retenção em toda a organização: estas políticas são atribuídas a todas as localizações de conteúdo na sua organização. Utilize o cmdlet Get-OrganizationConfig no Exchange Online PowerShell para obter informações sobre as políticas de retenção em toda a organização. Para obter mais informações sobre este tipo de política de retenção, veja a secção Uma política que se aplica a localizações inteiras a partir da documentação da política de retenção.

  • Etiquetas de retenção do Microsoft Purview: se um utilizador aplicar uma etiqueta de retenção do Microsoft Purview (configurada para reter conteúdo ou reter e, em seguida, eliminar conteúdo) a qualquer pasta ou item na respetiva caixa de correio, é colocada uma suspensão na caixa de correio como se tivesse colocado a caixa de correio em Suspensão de Litígios ou atribuído a uma política de retenção do Microsoft Purview. Para obter mais informações, consulte a secção Identificar caixas de correio em espera porque foi aplicada uma etiqueta de retenção a uma pasta ou item neste artigo.

Para gerir caixas de correio em espera, poderá ter de identificar o tipo de suspensão colocado numa caixa de correio para que possa efetuar tarefas como alterar a duração da suspensão, remover temporariamente ou permanentemente a suspensão ou excluir uma caixa de correio de uma política de retenção do Microsoft Purview. Nestes casos, o primeiro passo é identificar o tipo de suspensão colocado na caixa de correio. Uma vez que podem ser colocados vários suportes (e diferentes tipos de suspensões) numa única caixa de correio, tem de identificar todas as suspensões colocadas numa caixa de correio se pretender remover ou alterar uma suspensão.

Passo 1: Obter o GUID para suspensões colocadas numa caixa de correio

Execute os dois cmdlets seguintes no Exchange Online PowerShell para obter o GUID das suspensões que são colocadas numa caixa de correio. Depois de obter um GUID, utilize-o para identificar a suspensão específica no Passo 2. Uma Suspensão de Litígios não utiliza um GUID. As Suspensões de Litígios estão ativadas ou desativadas para uma caixa de correio.

  • Get-Mailbox: utilize este cmdlet para marcar se a Suspensão de Litígios estiver ativada para uma caixa de correio e para obter os GUIDs da Deteção de Dados Eletrónicos e as políticas de retenção do Microsoft Purview atribuídas a uma caixa de correio. O resultado deste cmdlet também mostra se uma caixa de correio é explicitamente excluída de uma política de retenção em toda a organização.
  • Get-OrganizationConfig: utilize este cmdlet para obter os GUIDs para políticas de retenção em toda a organização.

Para se conectar ao PowerShell do Exchange Online, confira Conectar ao PowerShell do Exchange Online.

Get-Mailbox

Execute o seguinte comando para obter informações sobre as suspensões e as políticas de retenção do Microsoft Purview aplicadas a uma caixa de correio.

Get-Mailbox <username> | FL LitigationHoldEnabled,InPlaceHolds

Dica

Se existirem demasiados valores na propriedade InPlaceHolds e nem todos aparecerem, execute o Get-Mailbox <username> | Select-Object -ExpandProperty InPlaceHolds comando para apresentar cada GUID numa linha separada.

A tabela seguinte descreve como identificar diferentes tipos de suspensões com base nos valores na propriedade InPlaceHolds quando executa o cmdlet Get-Mailbox .

Tipo de suspensão Valor de exemplo Como identificar a suspensão
Retenção de litígio True A Suspensão de Litígios é ativada para uma caixa de correio quando a propriedade LitigationHoldEnabled está definida como True.
Retenção de Descoberta Eletrônica UniH7d895d48-7e23-4a8d-8346-533c3beac15d A propriedade InPlaceHolds contém o GUID de qualquer retenção associada a um caso de Deteção de Dados Eletrónicos no portal do Microsoft Purview. Pode ver que se trata de uma suspensão de Deteção de Dados Eletrónicos porque o GUID começa com o UniH prefixo (que indica uma Suspensão Unificada).
Política de retenção do Microsoft Purview aplicada à caixa de correio mbxcdbbb86ce60342489bff371876e7f224:1
ou
skp127d7cf1076947929bf136b7a2a8c36f:3		 A propriedade InPlaceHolds contém GUIDs de qualquer política de retenção de localização específica aplicada à caixa de correio. Pode identificar políticas de retenção porque o GUID começa com o mbx prefixo ou skp . O skp prefixo indica que a política de retenção é aplicada a Skype for Business conversações na caixa de correio do utilizador.
Excluído de uma política de retenção do Microsoft Purview para toda a organização -mbxe9b52bf7ab3b46a286308ecb29624696 Se uma caixa de correio for excluída de uma política de retenção do Microsoft Purview para toda a organização, o GUID da política de retenção da qual a caixa de correio está excluída aparece na propriedade InPlaceHolds e utiliza o -mbx prefixo.

Get-OrganizationConfig

Se a propriedade InPlaceHolds estiver vazia quando executar o cmdlet Get-Mailbox , ainda poderá haver uma ou mais políticas de retenção do Microsoft Purview em toda a organização aplicadas à caixa de correio. Execute o seguinte comando no Exchange Online PowerShell para obter uma lista de GUIDs para políticas de retenção do Microsoft Purview em toda a organização.

Get-OrganizationConfig | FL InPlaceHolds

Dica

Se existirem demasiados valores na propriedade InPlaceHolds e nem todos forem apresentados, execute o Get-OrganizationConfig | Select-Object -ExpandProperty InPlaceHolds comando para apresentar cada GUID numa linha separada.

A tabela seguinte descreve os diferentes tipos de suspensões em toda a organização e como identificar cada tipo com base nos GUIDs contidos na propriedade InPlaceHolds quando executa o cmdlet Get-OrganizationConfig .

Tipo de suspensão Valor de exemplo Descrição
Políticas de retenção do Microsoft Purview aplicadas a caixas de correio do Exchange, pastas públicas do Exchange e chats do Teams mbx7cfb30345d454ac0a989ab3041051209:2 As políticas de retenção em toda a organização aplicadas a caixas de correio do Exchange, pastas públicas do Exchange e chats 1xN no Microsoft Teams são identificadas por GUIDs que começam com o mbx prefixo. Tenha em atenção que as conversas 1xN são armazenadas na caixa de correio dos participantes individuais do chat.
Política de retenção do Microsoft Purview aplicada às mensagens do canal Grupos do Microsoft 365 e do Teams grp1a0a132ee8944501a4bb6a452ec31171:3 As políticas de retenção em toda a organização aplicadas a grupos do Microsoft 365 e mensagens de canal no Microsoft Teams são identificadas por GUIDs que começam com o grp prefixo. As mensagens do canal de notas são armazenadas na caixa de correio de grupo que está associada a uma Equipa da Microsoft.

Para obter mais informações sobre as políticas de retenção aplicadas ao Microsoft Teams, consulte Saiba mais sobre as políticas de retenção do Microsoft Teams.

Compreender o formato do valor InPlaceHolds para políticas de retenção

Além do prefixo (mbx, skpou grp) que identifica um item na InPlaceHolds propriedade como uma política de retenção do Microsoft Purview, o valor também contém um sufixo que identifica o tipo de ação de retenção configurado para a política. Por exemplo, o sufixo de ação está realçado a negrito nos seguintes exemplos:

skp127d7cf1076947929bf136b7a2a8c36f :1

mbx7cfb30345d454ac0a989ab3041051209 :2

grp1a0a132ee8944501a4bb6a452ec31171 :3

A tabela seguinte define as três ações de retenção possíveis:

Valor Descrição
1 A política de retenção está configurada para eliminar itens. A política não retém itens.
2 A política de retenção está configurada para conter itens. A política não elimina itens após o período de retenção expirar.
3 A política de retenção é configurada para reter itens e, em seguida, eliminá-los após o período de retenção expirar.

Observação

Uma vez que as políticas de etiquetas de retenção publicam ou aplicam automaticamente etiquetas que aplicam ações ao nível do item, mostram sempre um valor de ação de 1 na InPlaceHolds propriedade da caixa de correio.

Para identificar se uma suspensão é aplicada a uma pasta ou item na caixa de correio, consulte Identificar caixas de correio em espera porque foi aplicada uma etiqueta de retenção a uma pasta ou item.

Para obter mais informações sobre as ações de retenção, veja a secção Reter conteúdo para um período de tempo específico .

Passo 2: Utilizar o GUID para identificar a suspensão

Depois de obter o GUID de uma suspensão aplicada a uma caixa de correio, utilize esse GUID para identificar a suspensão. As secções seguintes mostram como identificar o nome da suspensão e outras informações com o GUID de suspensão.

Bloqueios de Descoberta Eletrônica

Execute os seguintes comandos no PowerShell de Conformidade do & de Segurança para localizar uma suspensão de Deteção de Dados Eletrónicos aplicada à caixa de correio. Utilize o GUID (sem o prefixo UniH) para a suspensão de Deteção de Dados Eletrónicos que encontrou no Passo 1.

Para ligar ao PowerShell de Conformidade & de Segurança, veja Ligar ao PowerShell de Conformidade do & de Segurança.

O primeiro comando cria uma variável que contém informações sobre a suspensão da Deteção de Dados Eletrónicos. Utilize esta variável nos outros comandos. O segundo comando mostra o nome do caso de Deteção de Dados Eletrónicos ao qual a suspensão está associada. O terceiro comando mostra o nome da suspensão e lista as caixas de correio às quais a suspensão se aplica.

$CaseHold = Get-CaseHoldPolicy <hold GUID without prefix>

Get-ComplianceCase $CaseHold.CaseId | FL Name

$CaseHold | FL Name,ExchangeLocation

Políticas de retenção do Microsoft Purview

Ligue-se ao PowerShell de Conformidade do & de Segurança e execute o seguinte comando para localizar a política de retenção do Microsoft Purview (localização específica ou em toda a organização) aplicada à caixa de correio. Utilize o GUID (sem o prefixo mbx, skp ou grp ou o sufixo de ação) que encontrou no Passo 1.

Get-RetentionCompliancePolicy <hold GUID without prefix or suffix> -DistributionDetail  | FL Name,*Location

Identificar caixas de correio em espera porque é aplicada uma etiqueta de retenção a uma pasta ou item

Quando um utilizador aplica uma etiqueta de retenção que está configurada para reter ou reter e, em seguida, eliminar conteúdo para qualquer pasta ou item na respetiva caixa de correio, a propriedade da caixa de correio ComplianceTagHoldApplied é definida como Verdadeiro. Quando esta propriedade está definida como Verdadeiro, a caixa de correio é tratada da mesma forma que se tiver sido colocada em espera, como quando atribuída a uma política de retenção do Microsoft Purview ou colocada em Suspensão de Litígios, mas com algumas ressalvas. Quando a propriedade ComplianceTagHoldApplied está definida como Verdadeiro, ocorrem os seguintes itens:

  • Se a caixa de correio ou a conta do Microsoft 365 do utilizador forem eliminadas, a caixa de correio torna-se uma caixa de correio inativa.
  • Não pode desativar a caixa de correio (a caixa de correio principal ou a caixa de correio de arquivo, se estiver ativada).
  • Os itens que eliminar da caixa de correio seguem um de dois caminhos, consoante estejam etiquetados ou não:
    • Os itens sem etiquetas seguem o mesmo caminho que os itens eliminados efetuam quando não se aplicam retenções à caixa de correio. O tempo que estes itens demoram a ser eliminados permanentemente é determinado pela configuração de retenção de itens eliminados e se a recuperação de itens únicos está ou não ativada para a caixa de correio.
    • Os itens etiquetados são mantidos na pasta de itens recuperáveis da mesma forma que seriam se fosse aplicada uma política de retenção do Microsoft Purview, mas ao nível do item individual. Se vários itens tiverem etiquetas diferentes configuradas para reter ou reter e, em seguida, eliminar conteúdo em intervalos diferentes, cada item é mantido com base na configuração da etiqueta aplicada.
  • Outras suspensões, como políticas de retenção do Microsoft Purview, suspensões de Deteção de Dados Eletrónicos ou suspensão de litígios, podem prolongar o período de retenção dos itens etiquetados com base nos princípios de retenção.

Para ver o valor da propriedade ComplianceTagHoldApplied de uma única caixa de correio, execute o seguinte comando no Exchange Online PowerShell:

Get-Mailbox <username> | FL ComplianceTagHoldApplied

Para obter mais informações sobre etiquetas de retenção, veja Etiquetas de retenção.

Gerir caixas de correio em suspensão de atraso

Quando remove qualquer tipo de suspensão de uma caixa de correio, é aplicada uma suspensão de atraso . Esta suspensão atrasa a remoção real da suspensão durante 30 dias para impedir que os dados sejam eliminados permanentemente (removidos) da caixa de correio. Este atraso dá aos administradores a oportunidade de procurar ou recuperar itens de caixa de correio que são removidos após a remoção de uma suspensão. O Assistente de Pastas Geridas coloca uma suspensão de atraso numa caixa de correio da próxima vez que processar a caixa de correio e deteta que foi removida uma suspensão. Especificamente, o Assistente de Pastas Geridas aplica uma suspensão de atraso a uma caixa de correio quando define uma das seguintes propriedades da caixa de correio como Verdadeiro:

  • DelayHoldApplied: esta propriedade aplica-se a conteúdos relacionados com o e-mail (gerados por pessoas que utilizam o Outlook e Outlook na Web) armazenados na caixa de correio de um utilizador.
  • DelayReleaseHoldApplied: esta propriedade aplica-se a conteúdos baseados na nuvem (gerados por aplicações que não sejam do Outlook, como o Microsoft Teams, Microsoft Forms e Microsoft Viva Engage) armazenados na caixa de correio de um utilizador. Os dados de nuvem gerados por um aplicativo da Microsoft geralmente são armazenados em uma pasta oculta na caixa de correio de um usuário.

Quando o Assistente de Pastas Geridas coloca uma suspensão de atraso na caixa de correio (ao definir uma das propriedades anteriores como Verdadeiro), a caixa de correio continua a ser considerada como estando em suspensão durante uma duração ilimitada, como se a caixa de correio estivesse em Suspensão de Litígios. Após 30 dias, a suspensão do atraso expira e o Microsoft 365 tenta remover automaticamente a suspensão de atraso (ao definir a propriedade DelayHoldApplied ou DelayReleaseHoldApplied como Falso) para que a suspensão seja removida. Depois de uma destas propriedades estar definida como Falso, os itens correspondentes marcados para remoção são removidos da próxima vez que o Assistente de Pastas Geridas processar a caixa de correio.

Observação

Se a conta de utilizador da caixa de correio estiver desativada, o Assistente de Pastas Geridas não processa a caixa de correio e o atraso permanece após os 30 dias expirarem. Para obter mais informações, veja Considerações sobre atrasos.

Para ver os valores das propriedades DelayHoldApplied e DelayReleaseHoldApplied de uma caixa de correio, execute o seguinte comando no Exchange Online PowerShell.

Get-Mailbox <username> | FL *HoldApplied*

Para remover a suspensão de atraso antes de expirar, execute um (ou ambos) dos seguintes comandos no Exchange Online PowerShell, consoante a propriedade que pretende alterar:

Set-Mailbox <username> -RemoveDelayHoldApplied

Ou

Set-Mailbox <username> -RemoveDelayReleaseHoldApplied

Tem de lhe ser atribuída a função Detenção Legal no Exchange Online para utilizar os parâmetros RemoveDelayHoldApplied ou RemoveDelayReleaseHoldApplied.

Para remover a suspensão de atraso numa caixa de correio inativa, execute um dos seguintes comandos no Exchange Online PowerShell:

Set-Mailbox <DN or Exchange GUID> -InactiveMailbox -RemoveDelayHoldApplied

Ou

Set-Mailbox <DN or Exchange GUID> -InactiveMailbox -RemoveDelayReleaseHoldApplied

Dica

A melhor forma de especificar uma caixa de correio inativa no comando anterior é utilizar o respetivo Nome Único ou o valor GUID do Exchange. A utilização de um destes valores ajuda a evitar especificar acidentalmente a caixa de correio errada.

Para obter mais informações sobre como utilizar estes parâmetros para gerir retenções de atraso, consulte Set-Mailbox.

Considerações sobre atrasos

Tenha em atenção os seguintes pontos ao gerir uma caixa de correio em suspensão de atraso:

  • Se a propriedade DelayHoldApplied ou DelayReleaseHoldApplied estiver definida como Verdadeiro e eliminar uma caixa de correio (ou a conta de utilizador correspondente), a caixa de correio torna-se uma caixa de correio inativa. Isto deve-se ao facto de uma caixa de correio ser considerada como estando em espera se uma das propriedades estiver definida como Verdadeiro e a eliminação de uma caixa de correio em suspensão resultar numa caixa de correio inativa. Para eliminar uma caixa de correio e não torná-la numa caixa de correio inativa, defina ambas as propriedades como Falso.
  • Considera-se que uma caixa de correio está em espera durante uma duração de suspensão ilimitada se a propriedade DelayHoldApplied ou DelayReleaseHoldApplied estiver definida como Verdadeiro. No entanto, isso não significa que todos os conteúdos na caixa de correio são preservados. Depende do valor definido para cada propriedade. Por exemplo, digamos que ambas as propriedades estão definidas como Verdadeiro porque remove suspensões da caixa de correio. Em seguida, remove apenas a suspensão de atraso que é aplicada a dados na nuvem não outlook (utilizando o parâmetro RemoveDelayReleaseHoldApplied ). Da próxima vez que o Assistente de Pastas Geridas processar a caixa de correio, os itens que não sejam do Outlook marcados para remoção são removidos. Os itens do Outlook marcados para remoção não são removidos porque a propriedade DelayHoldApplied ainda está definida como Verdadeiro. O contrário também é verdade: se DelayHoldApplied estiver definido como Falso e DelayReleaseHoldApplied estiver definido como Verdadeiro, apenas os itens do Outlook marcados para remoção serão removidos.

Como confirmar que uma política de retenção em toda a organização é aplicada a uma caixa de correio

Quando aplica ou remove uma política de retenção em toda a organização para uma caixa de correio, exportar a caixa de correio diagnóstico registos ajuda-o a confirmar que Exchange Online aplicada ou removida a política de retenção para a caixa de correio. Para ver estas informações, primeiro tem de validar algumas coisas com o Exchange Online PowerShell.

Obter os GUIDs para quaisquer políticas de retenção aplicadas explicitamente a uma caixa de correio

Get-Mailbox <username> | Select-Object -ExpandProperty InPlaceHolds

Obter os GUIDs para quaisquer políticas de retenção ao nível da organização aplicadas às caixas de correio

Get-OrganizationConfig | Select-Object -ExpandProperty InPlaceHolds

Obter o Diagnóstico da Caixa de Correio para HoldTracking

Os registos de Diagnóstico da Caixa de Correio de Controlo de Suspensão mantêm um histórico das suspensões aplicadas a uma caixa de correio de utilizador.

$ht = Export-MailboxDiagnosticLogs <username> -ComponentName HoldTracking
$ht.MailboxLog | Convertfrom-Json

Rever os resultados dos registos de Diagnóstico da Caixa de Correio

Se recolher dados do passo anterior, os dados resultantes poderão ter um aspeto semelhante ao seguinte:

ed : 0001-01-01T00:00:00.0000000oculto : mbx7cfb30345d454ac0a989ab3041051209:1ht : 4lsd : 2020-03-23T18:24:37.1884606Zosd : 2020-03-23T18:24:37.1884606Z

Utilize a tabela seguinte para o ajudar a compreender cada um dos valores anteriores listados no registo de diagnóstico.

Valor Descrição
ed Indica a data de fim, que é a data em que a política de retenção foi desativada. MinValue significa que a política ainda está atribuída à caixa de correio.
oculto Indica o GUID da política de retenção. Este valor está correlacionado com os GUIDs que recolheu para as políticas de retenção explícitas ou ao nível da organização atribuídas à caixa de correio.
ht Indica o tipo de suspensão. Os valores são 0 para LitigationHold, 1 para InPlaceHold, 2 para ComplianceTagHold, 3 para DelayReleaseHold, 4 para OrganizationRetention, 5 para CompliancePolicy, 6 para SubstrateAppPolicy e 7 para SharepointPolicy.
lsd Indica a última data de início, que é a data em que a política de retenção foi atribuída à caixa de correio.
osd Indica a data de início original, que é a data em que o Exchange registou primeiro informações sobre a política de retenção.

Quando remove uma política de retenção de uma caixa de correio, o Exchange coloca um atraso temporário no utilizador para impedir a remoção de conteúdos. Pode desativar uma suspensão de atraso ao executar o Set-Mailbox -RemoveDelayHoldApplied comando .

Próximas etapas

Depois de identificar as retenções aplicadas a uma caixa de correio, pode efetuar tarefas como alterar a duração da suspensão, remover temporariamente ou permanentemente a suspensão ou excluir uma caixa de correio inativa de uma política de retenção do Microsoft Purview. Para obter mais informações sobre a execução de tarefas relacionadas com suspensões, consulte um dos seguintes artigos:

  • Last updated on