在您的 eDiscovery 工作流程中使用內容搜尋

步驟 1：建立「內容搜尋」來搜尋組織中的所有信箱

第一個步驟是使用安全性與合規性中心 (或 Windows PowerShell) 來建立內容搜尋，搜尋組織中的所有信箱。單一內容搜尋的信箱數目沒有限制。指定適當的關鍵字查詢 (或敏感資訊類型的查詢)，讓搜尋僅傳回與調查有關的來源信箱。如有必要，縮小搜尋查詢以縮小搜尋結果的範圍和傳回的來源信箱。

New-ComplianceSearch -Name "Search All-Financial Report" -ExchangeLocation all -ContentMatchQuery 'sent>=01/01/2015 AND sent<=06/30/2015 AND subject:"financial report"'

Start-ComplianceSearch -Identity "Search All-Financial Report"

步驟 2︰ 連線至安全性與合規性中心和Exchange Online單一遠端 PowerShell 工作階段

下一步是將 Windows PowerShell 連線至安全性與合規性中心和 Exchange Online 組織。這是必要的，因為您在步驟 3 中執行的指令碼需要存取安全性與合規性中心中的內容搜尋 Cmdlet 和 Exchange Online 中的就地 eDiscovery Cmdlet。

1. 將下列文字儲存至 Windows PowerShell 指令碼檔案，方法是使用 .ps1 檔名尾碼。例如，您可以儲存至名為 ConnectEXO-CC.ps1 的檔案。

   $UserCredential = Get-Credential
   $Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri https://ps.outlook.com/powershell-liveid -Credential $UserCredential -Authentication Basic -AllowRedirection
   Import-PSSession $Session -DisableNameChecking
   $Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri https://ps.compliance.protection.outlook.com/powershell-liveid -Credential $UserCredential -Authentication Basic -AllowRedirection
   Import-PSSession $Session -AllowClobber -DisableNameChecking
   $Host.UI.RawUI.WindowTitle = $UserCredential.UserName + " (Exchange Online + Compliance Center)"

2. 在您的本機電腦中開啟 Windows PowerShell，移至前一步驟建立之指令碼的所在資料夾，然後執行指令碼，例如：

   .\ConnectEXO-CC.ps1

如何知道這是否正常運作？執行指令碼之後，安全性與合規性中心 和 Exchange Online 的 Cmdlet 會匯入至您的本機 Windows PowerShell 工作階段。如果您未收到任何錯誤，便已順利連線。若要做快速測試，您可以執行一個 安全性與合規性中心 Cmdlet (例如 Install-UnifiedCompliancePrerequisite)，和一個 Exchange Online Cmdlet (例如 Get-Mailbox)。

回到頂端

步驟 3：執行指令碼以從內容搜尋建立就地 eDiscovery 搜尋

在步驟 2 中建立雙 Windows PowerShell 工作階段之後，下一步是執行指令碼，它會將現有的內容搜尋轉換成就地 eDiscovery 搜尋。以下是指令碼執行的動作：

• 提示您輸入要轉換的內容搜尋的名稱。

• 確認內容搜尋已完成執行。如果內容搜尋未傳回任何結果，就不會建立就地 eDiscovery。

• 從包含搜尋結果的內容搜尋將來源信箱的清單儲存至變數。

• 建立新的就地 eDiscovery 搜尋，具有下列屬性。請注意，並未啟動新的搜尋。您將在步驟 4 中加以啟動。

  • 名稱      新搜尋的名稱會使用此格式：<內容搜尋的名稱>_MBSearch1。如果您再次執行指令碼並使用相同的來源內容搜尋，搜尋名稱會是 <內容搜尋的名稱>_MBSearch2。

  • 來源信箱      包含搜尋結果的內容搜尋的所有信箱。

  • 搜尋查詢      新的搜尋會使用內容搜尋的搜尋查詢。如果內容搜尋包括所有內容 (其中搜尋查詢為空白)，新的搜尋也會有空白的搜尋查詢並將包含在來源信箱中找到的所有內容。

  • 僅限預估的搜尋      新的搜尋會標示為僅限預估的搜尋。在啟動之後，它不會將搜尋結果複製到探索信箱。

1. 將下列文字儲存至 Windows PowerShell 指令碼檔案，方法是使用 ps1 檔名尾碼。例如，您可以儲存至名為 CreateMBSearchFromComplianceSearch.ps1 的檔案。

   [CmdletBinding()]
   Param(
       [Parameter(Mandatory=$True,Position=1)]
       [string]$SearchName,
   
       [switch]$original,
   
       [switch]$restoreOriginal
   )
   
   $search = Get-ComplianceSearch $SearchName
   if ($search.Status -ne "Completed")
   {
   	"Please wait until the search finishes";
   	break;
   }
   
   $results = $search.SuccessResults;
   if (($search.Items -le 0) -or ([string]::IsNullOrWhiteSpace($results)))
   {
   	"The Content Search " + $SearchName + " didn't return any useful results";
   	"A mailbox search object wasn't created";
   	break;
   }
   
   $mailboxes = @();
   $lines = $results -split '[\r\n]+';
   foreach ($line in $lines)
   {
       if ($line -match 'Location: (\S+),.+Item count: (\d+)' -and $matches[2] -gt 0)
       {
           $mailboxes += $matches[1];
       }
   }
   
   $msPrefix = $SearchName + "_MBSearch";
   $I = 1;
   $mbSearches = Get-MailboxSearch;
   while ($true)
   {
       $found = $false;
       $mbsName = "$msPrefix$I";
       foreach ($mbs in $mbSearches)
       {
           if ($mbs.Name -eq $mbsName)
           {
               $found = $true;
               break;
           }
       }
   
       if (!$found)
       {
           break;
       }
   
       $I++;
   }
   
   $query = $search.KeywordQuery;
   if ([string]::IsNullOrWhiteSpace($query))
   {
       $query = $search.ContentMatchQuery;
   }
   
   if ([string]::IsNullOrWhiteSpace($query))
   {
   	New-MailboxSearch "$msPrefix$i" -SourceMailboxes $mailboxes -EstimateOnly;
   }
   else
   {
   	New-MailboxSearch "$msPrefix$i" -SourceMailboxes $mailboxes -SearchQuery $query -EstimateOnly;
   }
   

2. 在您於步驟 2 建立的 Windows PowerShell 工作階段中，移至您在上一個步驟中建立的指令碼所在的資料夾，然後執行指令碼，例如：

   .\CreateMBSearchFromComplianceSearch.ps1

3. 當指令碼提示時，輸入您想要轉換為就地 eDiscovery 搜尋的內容搜尋的名稱 (例如，您在步驟 1 中建立的搜尋)，然後按 Enter。

   如果指令碼狀態為成功，會建立新的就地 eDiscovery 搜尋，狀態為 NotStarted。執行命令 Get-MailboxSearch <Name of Content Search>_MBSearch1 | FL 以顯示新的搜尋的屬性。

回到頂端

步驟 4：啟動就地 eDiscovery 搜尋

您在步驟 3 中執行的指令碼會建立新的就地 eDiscovery 搜尋，但不會啟動。下一個步驟是啟動搜尋，讓您取得搜尋結果的預估。

1. 在Exchange 系統管理中心 (EAC)，移至 [規範管理>就地 eDiscovery 和保留。

2. 在清單檢視中，選取您在步驟 3 中建立的就地 eDiscovery 搜尋。

3. 按一下 [搜尋] > [估計搜尋結果] 以啟動搜尋並傳回搜尋所傳回的項目的總計大小和總數預估。

   估計結果會顯示在詳細資料窗格中。按一下 [重新整理] 以更新在詳細資料窗格中顯示的資訊。

4. 若要在搜尋完成之後預覽結果，按一下詳細資料窗格中的 [預覽搜尋結果]。

回到頂端

建立和執行就地 eDiscovery 搜尋之後接下來的步驟

建立並啟動步驟 3 中的指令碼建立的就地 eDiscovery 搜尋之後，您可以使用一般的就地 eDiscovery 工作流程在搜尋結果上執行不同的 eDiscovery 動作。