電子檔探索 (Microsoft Teams 中內容的進階) 工作流程

本文提供一套完整的程式、指導方針和最佳做法，以使用Microsoft Purview 電子文件探索 (進階) 從 Microsoft Teams 保留、收集、檢閱和匯出內容。 本文的目標是協助您將 Teams 內容的電子檔探索工作流程優化。

您可以使用電子檔探索 (進階版) 收集和處理七個類別的 Teams 內容：

• Teams 1：1 聊天。 在兩個人之間的 Teams 對話中共用的聊天訊息、貼文和附件。 Teams 1：1 聊天也稱為 交談。
• Teams 群組聊天。 在三個人或更多人之間的 Teams 對話中共享的聊天消息、帖子和附件。 也稱為 1：N 聊天或 群組對話。
• 團隊反應。 套用至 Teams 交談中聊天訊息、貼文和附件的回應。
• Teams 頻道。 在標準 Teams 頻道中共用的聊天訊息、貼文、回覆和附件。
• Teams 會議。 錄製的 Teams 會議的音訊和文字記錄。
• 私人頻道。 在私人 Teams 頻道中共用的訊息貼文、回覆和附件。
• 共用頻道。 在共用 Teams 頻道中共用的訊息貼文、回覆和附件。

Teams 內容的儲存位置

在電子檔探索 (進階) 中管理 Teams 內容的必要條件是瞭解您可以在電子檔探索 (進階) 中收集、處理和檢閱的 Teams 內容類型，以及該內容儲存在 Microsoft 365 中的位置。

Teams 資料會儲存在 Azure Cosmos DB 中。 Substrate 所擷取的 Teams 合規性記錄位於 Exchange Online 中，可供電子檔探索使用。

下表列出 Teams 內容類型，以及每個內容類型的儲存位置，以符合合規性之用。 儲存在 Exchange Online 中的資料會對用戶端隱藏。 電子檔探索絕不會針對保留在 Azure Cosmos DB 中的實際 Teams 訊息資料進行作業。

建立 Teams 內容的案例

在電子檔探索 (進階版) 中管理 Teams 內容的第一個步驟是使用針對管理 Teams 內容進行最佳化的新 案例格式 來建立案例。 新的案例格式有助於適應案例大小的顯著增加，無論是資料總量還是案例中的項目總數。

如需如何建立案例的逐步指引，請參閱 建立和管理電子檔探索 (進階) 案例。

新增 Teams 監管數據源並保留 Teams 內容

下一個步驟是識別調查中資料保管人的使用者，並將他們及其內容位置新增為您在上一節中建立的案例的監管人。 當您新增監管人時，您可以將其信箱和 OneDrive 帳戶指定為監管資料來源。 您也可以將 Teams 內容位置指定為監管人資料來源，以快速將這些位置置於法定保留狀態，以在調查期間保留內容。 它還可以輕鬆收集內容並將其添加到審閱集中。

若要將監管人新增至案例並保留監管數據源：

1. 移至您在上一節中建立的電子檔探索 (進階) 案例，然後選取 [ 資料來源]。

2. 在 [ 資料來源 ] 頁面上，選取 [ 新增資料來源>新增監管人]。

3. 在 [新增監管人 ] 工作流程中，輸入使用者名稱或別名的第一部分，將一或多個使用者新增為監管人至案例。 找到正確的人員之後，請選取其名稱將其新增至清單。

4. 展開每個保管人，以檢視已自動與保管人相關聯的主要資料來源，並選取要與保管人相關聯的其他位置。

   

5. 請遵循這些指導方針，為 Teams 內容新增監管數據源。 選取 [編輯] 以新增資料位置。

   • 信箱。 依預設會選取監管人的信箱。 保持選取狀態以新增 (，並將) 1：1 聊天、群組聊天和私人頻道聊天保留為保管資料。
   • OneDrives。 預設會選取監管人的 OneDrive 帳戶。 保持選取此選項以新增 (，並將 1：1 聊天、群組聊天和 Teams 會議中共用的) 檔案保留為監管數據。
   • SharePoint。 新增與監管人所屬的任何私人或共用頻道相關聯的 SharePoint 網站，以新增 (並將) 保留為頻道中共用的檔案監管數據。 選取 [編輯] ，然後新增與私人或共用頻道相關聯之 SharePoint 網站的 URL。 若要瞭解如何找出使用者所屬的私人和共用頻道，請參閱 私人和共用頻道的電子檔探索。
   • Teams。 新增監管人所屬的小組，以新增 (並將) 保留為監管資料、所有頻道訊息和共用至 Teams 頻道的所有檔案。 此建議包括新增監管人所屬共用通道的父小組信箱。 當您選取 [編輯] 時，與監管人所屬之每個小組相關聯的信箱和網站會顯示在清單中。 選取您要與監管人相關聯的小組。 您必須為每個團隊選擇相應的郵箱和網站。

   注意事項

   您也可以將監管人不是成員的 Teams 信箱和網站新增為監管人數據位置。 您可以按一下 Exchange 和 SharePoint 旁的 [編輯]，然後新增與小組相關聯的信箱和網站來執行此動作。

6. 新增監管人並設定監管數據源之後，請選取 [ 下一步 ] 以顯示 [保留設定 ] 頁面。 隨即顯示保管人清單，且預設會選取 [保留] 欄中的核取方塊。 此核取方塊表示將保留您與每個保管人相關聯的資料來源。 讓這些核取方塊保持選取狀態，以保留此資料。

7. 在 [ 保留設定 ] 頁面上，選取 [下一步 ] 以檢閱監管人設定。 選取 [提交] 以將監管人新增至案例。

如需在電子檔探索 (進階) 案例中新增和保留資料來源的詳細資訊，請參閱：

• 將監管人新增至電子文件探索 (進階版) 案例
• 將非監管數據源新增至電子檔探索 (進階) 案例

收集 Teams 內容並新增至檢閱集

將監管人新增至案例並保留監管人數據源中的內容之後，工作流程的下一個步驟是搜尋與您的調查相關的 Teams 內容，並將其新增至檢閱集以進行進一步檢閱和分析。 雖然通常會從其他 Microsoft 365 服務收集 Teams 內容，例如 Exchange 中的電子郵件和 SharePoint 中的檔，但本節將特別著重於收集集合中的 Teams 內容。 您可以建立其他集合來收集非 Teams 內容，以新增至檢閱集。

當您收集案例的 Teams 內容時，工作流程中有兩個步驟：

1. 建立集合估計值。 第一步是建立 集合估計值，這是符合搜尋條件的項目的估計值。 您可以檢視符合搜尋查詢之結果的相關資訊，例如找到的項目總數和大小、找到項目的不同資料來源，以及搜尋查詢的統計資料。 您也可以預覽集合傳回的項目範例。 使用這些統計資料，您可以變更搜尋查詢，並根據需要多次重新執行收集估計值，以縮小結果範圍，直到您滿意地收集與案例相關的內容為止。
2. 將集合估計認可至檢閱集。 一旦您對集合估計的結果感到滿意，您就可以將集合認可至檢閱集。 當您認可集合估計值時，集合所傳回的專案會新增至檢閱集，以供檢閱、分析和匯出。

您也可以選擇不執行集合估計，並在建立和執行集合時將集合結果直接新增至檢閱集。

若要建立 Teams 內容的集合：

1. 移至您在上一節中新增監管人的電子檔探索 (進階) 案例，然後選取 [集合]。

2. 在 [ 集合 ] 頁面上，選取 [ 新增集合]。

3. 在 [ 名稱和描述 ] 頁面上，輸入名稱 (必要的) 和描述 (集合的選用) 。 選取 [下一步]。

4. 在 [ 監管數據源 ] 頁面上，選取 [ 選取監管人 ] 以選取您新增至案例的監管人。 案例監管人的清單會顯示在 [ 選取監管人 ] 飛出視窗頁面上。

5. 選取一或多個監管人，然後選取 [新增]。 將特定保管人新增至集合之後，會顯示每個保管人的特定資料來源清單。 這些資料來源是您在將監管人新增至案例時設定的資料來源。 依預設，會選取所有保管人資料來源。 這包括您與監管人相關聯的任何 Teams 或頻道。

   建議您在收集 Teams 內容時執行下列動作：

   • 取消選取每個監管人) 的 [ 監管人的 OneDrive] 資料行中的複選框，從收集範圍 (移除監管人的 OneDrive 帳戶。 這可以防止收集附加到 1：1 聊天和群組聊天的重複檔案。 當您將集合估計認可至檢閱集時，會自動從集合中找到的每個交談收集雲端附件。 藉由使用此方法 (而不是在集合) 中搜尋 OneDrive 帳戶，附加至 1：1 和群組聊天的檔案會分組在共用的交談中。
   • 取消選取 [其他網站] 資料行中的核取方塊，以移除包含私人或共用頻道中共用之檔案的 SharePoint 網站。 這樣做可消除收集附加至私人或共用頻道交談的重複檔案，因為當您認可集合估計時，這些雲端附件會自動新增至檢閱集，並分組在共用的交談中。

6. 如果您先前遵循將 Teams 內容新增為監管人資料來源的步驟，您可以略過此步驟，然後選取 [ 下一步]。 否則，在 [ 非監管數據源 ] 頁面上，您可以選擇包含您可能已新增至案例以在集合中搜尋的 Teams 內容的非監管數據源。

7. 如果您先前遵循將 Teams 內容新增為監管人資料來源的步驟，您可以略過此步驟，然後選取 [ 下一步]。 否則，在 [其他位置] 頁面上，您可以新增其他資料來源以在集合中搜尋。 例如，您可以新增未新增為監管或非監管數據源之小組的信箱和網站。 您也可以選取 [共用 Teams 頻道 ] 選項，以在全租用戶搜尋期間包含共用頻道。 否則，請選取 [ 下一步 ] 並略過此步驟。

8. 在 [條件] 頁面上，設定搜尋查詢，以從您在前幾頁指定的資料來源收集 Teams 內容。 您可以使用各種關鍵字和搜尋條件來縮小集合範圍。 如需詳細資訊，請參閱 建置集合的搜尋查詢。

   • 若要協助確保最完整的 Teams 聊天交談集合 (包括 1：1、群組和頻道聊天，) 使用 [ 類型 篩選條件]，然後選取 [立即訊息] 選項。
   • 若要協助確保您將錄製的 Teams 會議資訊新增至集合，請使用 [ 檔案類型 篩選] 條件，並將 .mp4 包含在內含值中。
   • 我們也建議您包含日期範圍或數個關鍵字，以將集合範圍縮小到與您的調查相關的項目。

9. 在 [ 檢閱您的集合 ] 頁面上，檢閱集合設定，然後選取 [提交] 以建立集合估計值，或選取 [ 儲存並關閉] 以儲存集合設定以稍後完成。

完成將集合新增至檢閱集的程式時，[集合] 索引標籤上集合的 [狀態] 值會設定為 [預估]。

將集合估計提交至檢閱集

當您對集合估計中收集的專案感到滿意，並準備好分析、標記和檢閱它們時，您可以將集合認可至案例中的檢閱集。

如需如何認可集合的逐步指引，請參閱 將 集合估計認可至電子檔探索 (進階版) 中的檢閱集 。

檢閱檢閱集中的 Teams 內容

將 Teams 內容集合新增至檢閱集之後，下一個步驟是檢閱內容與調查的相關性，並視需要剔除它。 檢閱 Teams 內容的重要必要條件是瞭解電子檔探索 (進階版) 在將 Teams 會議、聊天交談和附件新增至檢閱集時如何處理。 Teams 內容的處理會產生下列三件事：

• 分組。 如何將訊息、貼文和回覆 Teams 交談分組在一起，並在檢閱集中呈現。 這也包括聊天對話中的附件、擷取對話並在對話中分組。
• 對話記錄線程。 電子檔探索 (進階) 如何決定要收集交談中的其他內容，以提供符合收集準則之專案相關內容。
• 重複資料刪除。 電子檔探索 (進階) 如何處理重複的 Teams 內容。
• 中繼資料。 電子檔探索 (進階版) 在收集並新增至檢閱集之後新增至 Teams 內容的中繼資料屬性。

瞭解分組、交談執行緒、重複資料刪除和 Teams 中繼資料，可協助您最佳化 Teams 內容的檢閱和分析。 本節也有在 檢閱集中檢視 Teams 內容的秘訣。

分組

將 Teams 聊天交談的內容新增至檢閱集時，交談中的訊息、貼文和回覆會匯總在 HTML 文字記錄檔案中。 單一聊天交談可以有多個文字記錄檔案。 這些文字記錄檔案的重要功能是將 Teams 內容呈現為連續交談，而不是個別 (或個別) 訊息。 這有助於提供符合上一個步驟中集合搜尋準則的專案內容，並減少收集到檢閱集中的專案數目。 文字記錄和相關項目可以按 家庭 或 對話分組。 相同系列中的專案會具有相同的 FamilyId 中繼資料屬性值。 相同交談中的專案會具有相同的 ConversationId 中繼資料屬性值。

下表說明如何依家庭和交談將不同類型的 Teams 內容分組。

使用檢閱集命令列中的 [ 群組 ] 控制項，來檢視依家庭或交談分組的 Teams 內容。

• 選取 [群組家庭附件] 以檢視依家庭分組的 Teams 內容。 每個文字記錄檔案都會顯示在檢閱集專案清單中的一行上。 附件會巢狀在項目下方。
• 選取 [群組 Teams] 或 [Viva Engage] 交談，以檢視依交談分組的 Teams 內容。 每個交談都會顯示在檢閱集專案清單中的一行上。 文字記錄檔案和附件會巢狀在最上層交談下。

檢視錄製的會議文字記錄

錄製會議的音訊文字記錄會擷取為個別檔案，並自動編製索引以供搜尋。 檢閱集中錄製的會議會儲存為包含下列檔案的 .zip 檔案：

• .txt 格式的會議音訊文字記錄
• .mp4 格式的會議視頻錄製
• .jpg 格式的會議縮圖
• 會議中繼資料和會議章節 (適用) .json格式

若要在檢閱集中檢視會議音訊文字記錄檔案，您將在會議詳細資料窗格上選取會議和文字 記錄 檢視器。 下列螢幕快照顯示 Teams 用戶端中的會議範例，以及檢閱集中相同會議的會議文字記錄檔。

Teams 用戶端中的會議

檢閱集中的會議文字記錄檔案

檢視交談文字記錄檔案

檢視檢閱集中的文字記錄檔案時，某些訊息會以紫色醒目提示。 醒目提示的訊息取決於您正在檢視的文字記錄的保管人複本。 例如，在 User4 和 User2 之間的 1：1 聊天中，當您檢視從 User4 信箱收集的文字記錄時，User4 張貼的訊息會以紫色醒目提示。 當您檢視 User2 的相同交談文字記錄時，User2 張貼的訊息會以紫色反白顯示。 此醒目提示行為是以相同的 Teams 用戶端體驗為基礎，其中使用者的貼文會在 Teams 用戶端中以紫色醒目提示。

下列螢幕快照顯示 Teams 用戶端中的交談範例，以及檢閱集中相同交談的文字記錄檔。 文字記錄檔案中的紫色醒目提示表示文字記錄是從 User2 的信箱收集的。

Teams 用戶端中的交談

文字記錄檔案中的交談

交談文字記錄線程

電子檔探索 (進階版) 中新案例格式的交談線程功能可協助您識別與可能與調查相關的專案相關的內容內容。 此功能會產生不同的交談檢視，其中包括在收集期間符合搜尋查詢的專案之前和之後的聊天訊息。 此功能可讓您有效率且快速地檢閱完整的聊天交談 (稱為 執行緒交談) Microsoft Teams 中。 如先前所述，當電子檔探索 (進階版) 將 Teams 內容新增至檢閱集時，聊天交談會在 HTML 文字記錄檔案中重建。

以下是電子檔探索 (進階版) 所用的邏輯，以包含其他訊息和回覆文字記錄檔案，這些檔案提供專案周圍的內容，符合您在收集 Teams 內容時使用的集合查詢 (稱為 回應式專案) 。 不同的線程行為是根據聊天類型和用來收集回應式項目的搜尋查詢而定。 有兩種常見的收集案例：

• 使用搜尋參數的查詢，例如關鍵字和屬性：值組
• 僅使用日期範圍的查詢

Teams 內容的重複資料刪除

下列清單描述將 Teams 內容收集到檢閱集時，重複資料刪除 (和重複) 行為。

• 新增至檢閱集的每個文字記錄檔案都應該是儲存在數據位置中內容的一對一對應。 這表示電子檔探索 (進階) 不會收集任何已新增至檢閱集的 Teams 內容。 如果已在檢閱集中收集聊天訊息，電子檔探索 (進階) 不會將來自相同數據位置的相同訊息新增至後續集合中的檢閱集。

• 對於 1：1 和群組聊天，訊息副本會儲存在每個交談參與者的信箱中。 存在於不同參與者信箱中的相同交談複本會使用不同的中繼資料來收集。 因此，交談的每個實例都會被視為唯一的，並帶入個別文字記錄檔案中的檢閱集。 因此，如果 1：1 或群組聊天的所有參與者都新增為案例中的監管人，並包含在集合的範圍內，則相同保護) 的每個文字記錄 (複本都會新增至檢閱集，並會與相同的 ConversationId 分組在一起。 這些副本中的每一個都與對應的保管人相關聯。 提示： 檢閱集清單中的 [監管人 ] 資料行會識別對應文字記錄檔案的監管人。

• 在來自相同交談的後續專案集合中，只有先前未收集的差異內容會新增至檢閱集，並藉由與先前從相同交談收集的文字記錄共用相同的 ConversationId) 來分組 (。 以下是此行為的範例：

  1. 集合 A 會在 User1 和 User2 之間的交談中收集訊息，並新增至檢閱集。
  2. 集合 B 會從相同的交談收集訊息，但自從執行集合 A 以來，User1 與 User2 之間有新訊息。
  3. 只有集合 B 中的新訊息會新增至檢閱集。 這些訊息會新增至個別的文字記錄檔案，但新的文字記錄會與集合 A 中的文字記錄分組，並依相同的 ConversationId 分組。

  此行為適用於所有類型的 Teams 聊天。

Teams 內容的中繼資料

在具有數千或數百萬個專案的大型檢閱集中，可能很難將檢閱範圍縮小為 Teams 內容。 為了協助您將檢閱重點放在 Teams 內容上，有一些 Teams 內容特有的中繼資料屬性。 您可以使用這些屬性來組織檢閱清單中的資料行，並 設定篩選和查詢 ，以優化 Teams 內容的檢閱。 當您從電子檔探索 (進階) 檔匯出 Teams 內容時，也會包含這些中繼資料屬性，以協助您在匯出後或第三方電子檔探索工具中組織和檢視內容。

下表描述 Teams 內容的中繼資料屬性。

如需其他電子檔探索 (進階) 中繼資料屬性的描述，請參閱 電子檔探索 (進階) 中的檔中繼資料欄位 。

匯出 Teams 內容

檢閱並剔除檢閱集中的 Teams 內容之後，您可以匯出包含回應調查之內容的文字記錄檔案。 Teams 內容沒有任何特定的匯出設定。 每個文字記錄檔案都會匯出為 HTML 訊息檔案。 匯出 Teams 內容時，會包含上一節中討論的中繼資料屬性。

每個文字記錄檔案都會在載入檔案中參照，而且可以使用載入檔案中Export_native_path欄位中的相對路徑來尋找。 文字記錄檔案位於根匯出資料夾的 Conversations 資料夾中。

在檢閱集中檢視 Teams 內容的秘訣

以下是在檢閱集中檢視 Teams 內容的一些秘訣和最佳做法。

• 使用命令列中的 自訂資料行 控制項來新增和組織資料行，以最佳化 Teams 內容的檢閱。 您可以新增和移除對 Teams 內容有用的資料行。 您也可以將資料行拖放到 [編輯資料行 ] 飛出視窗頁面中，以排序資料行的順序。 您也可以排序資料行，以將 Teams 內容分組，並具有您排序之資料行的類似值。
• 可協助您檢閱 Teams 內容的實用資料行包括 [監管人]、[收件者] 和 [檔案類型] 或 [訊息類型]。
• 使用 Teams 相關屬性的 篩選， 快速顯示 Teams 內容。 上一節所述的大部分中繼資料屬性都有篩選器。

刪除 Teams 聊天訊息

當包含機密或惡意資訊的內容透過 Teams 聊天訊息發行時，您可以使用電子檔探索 (進階版) 和 Microsoft Graph 總管來回應資料外洩事件。 組織中的系統管理員可以在 Microsoft Teams 中搜尋和刪除聊天訊息。 此功能可協助您移除 Teams 聊天訊息中的敏感性資訊或不當內容。 如需詳細資訊，請參閱 在 Teams 中搜尋和清除聊天訊息。