搜索和删除电子邮件

可以使用内容搜索功能从组织中的所有邮箱中搜索和删除电子邮件。 这可以帮助你查找并删除可能有害或高风险的电子邮件，例如：

• 包含危险附件或病毒的邮件
• 网络仿冒邮件
• 包含敏感数据的邮件

在您开始之前

• 本文中所述的搜索和清除工作流不会从 Microsoft Teams 中删除聊天消息或其他内容。 如果在步骤 2 中创建的内容搜索返回 Microsoft Teams 中的项目，则在清除步骤 3 中的项目时不会删除这些项目。

• 若要创建并运行内容搜索，你必须是 电子数据展示管理器 角色组的成员，或是在 Microsoft Purview 门户中被分配了 合规性搜索 角色。 若要删除邮件，你必须是 “组织管理 ”角色组的成员，或者在 Microsoft Purview 门户中分配“ 搜索和清除 ”角色。

  备注

  组织管理角色组存在于 Exchange Online 和 Microsoft Purview 门户中。 这些角色组都是独立的角色组，授予不同的权限。 作为 Exchange Online 中组织管理的成员，并没有授予删除邮件的必要权限。 如果你未在 Microsoft Purview 门户中被分配 搜索和清除 角色（无论是直接分配，还是通过 组织管理 等角色组分配），那么在运行 New-ComplianceSearchAction cmdlet 命令时，你会在步骤 3 收到一条错误，提示“找不到与参数名称 'Purge' 匹配的参数”。

• 你必须使用安全与合规 PowerShell 删除邮件。 有关如何连接的说明，请参阅步骤 1：连接到安全与合规 PowerShell。

• 一次最多可以删除每个邮箱的 10 封邮件。 因为搜索和删除邮件的功能是用作事件响应工具，所以此限制可帮助确保从邮箱中快速删除邮件。 此功能并不用于清理用户邮箱。

  备注

  如果邮箱具有诉讼保留或就地保留，则不支持此选项。 仅从用户视图中删除 10 个项目。 这 10 个项目不会永久删除，因此仅处理这 10 个项目。

• 在内容搜索中，通过执行“搜索并清除”操作可用于删除项目的邮箱最大数量为 50,000。 如果在 步骤 2 中创建的搜索所搜索的邮箱超过 50,000 个，则在步骤 3 中创建的清除操作将失败。 如果将搜索配置为包括组织内的所有邮箱，则单次搜索中一般有可能搜索到超过 50,000 个邮箱。 即使包含匹配搜索查询项目的邮箱数量少于 50,000 个，这一限制仍然适用。 请参阅 详细信息 部分，以获取关于使用搜索权限筛选器在超过 50,000 个邮箱中搜索和清除项目的指南。

• 本文中所述的步骤只能用于删除 Exchange Online 邮箱和公用文件夹中的项目。 无法将其用于删除 SharePoint 或 OneDrive for Business 网站中的内容。

• 使用本文中的程序，无法删除电子数据展示（高级版）案例中的审阅集中的电子邮件项目。 这是因为审阅集中的项目存储在 Azure 存储位置，而不是实时服务中。 这意味着，这些内容无法通过在步骤 1 中创建的内容搜索返回。 若要删除审阅集中的项目，必须删除包含该审阅集的 eDiscovery（高级版）案例。

步骤 1：连接到安全与合规 PowerShell

第一步是连接到贵组织的安全与合规 PowerShell。 有关分步说明，请参阅连接到安全与合规 PowerShell。

步骤 2：创建内容搜索以查找要删除的邮件

第二步是创建和运行内容搜索以查找要从组织的邮箱中删除的邮件。 可以使用 Microsoft Purview 门户 或运行 Security & Compliance PowerShell 中的 New-ComplianceSearch 和 Start-ComplianceSearch cmdlet 来创建搜索。 与此搜索的查询匹配的邮件将通过在步骤 3 中运行 New-ComplianceSearchAction -Purge 命令来删除。 有关创建内容搜索和配置搜索查询的信息，请参阅以下文章：

• Office 365 中的内容搜索
• New-ComplianceSearch
• Start-ComplianceSearch

查找要删除的邮件的提示

搜索查询的目标是将搜索结果的范围缩小到仅包含您想要删除的邮件。 下面是一些提示：

• 如果你知道邮件的主题行中使用的确切文本或短语，请在搜索查询中使用主题属性。
• 如果你知道邮件的确切日期（或日期范围），请搜索查询中包括接收日期属性。
• 如果你知道邮件的发件人，请在搜索查询中包括收件人属性。
• 预览搜索结果以验证搜索是否仅返回你想要删除的邮件。
• 使用搜索估计统计信息（显示在 Microsoft Purview 门户中搜索的详细信息窗格内，或者通过使用 Get-ComplianceSearch cmdlet）来获取结果总数。

以下是查找可疑电子邮件的两个查询示例。

• 此查询返回用户在 2016 年 4 月 13 日至 2016 年 4 月 14 日之间收到的邮件，而且包含主题行中的单词“操作”和“必需”。

  (Received:4/13/2016..4/14/2016) AND (Subject:'Action required')
  

• 此查询返回由 user@contoso.com 发送的邮件，而且包含主题行中的完全匹配的短语“更新你的帐户信息”。

  (From:user@contoso.com) AND (Subject:"Update your account information")
  

下面是使用查询创建和开始搜索的示例，方法是运行 New-ComplianceSearch 和 Start-ComplianceSearch cmdlet 来搜索组织中的所有邮箱：

$Search=New-ComplianceSearch -Name "Remove Phishing Message" -ExchangeLocation All -ContentMatchQuery '(Received:4/13/2016..4/14/2016) AND (Subject:"Action required")'
Start-ComplianceSearch -Identity $Search.Identity

步骤 3：删除邮件

创建并优化内容搜索以返回要删除的邮件后，最后一步是运行安全与合规中心 PowerShell 内的 New-ComplianceSearchAction -Purge 命令来删除邮件。

可对邮件进行软删除或硬删除。 软删除的邮件将移至用户的“可恢复的项目”文件夹并保留，直到已删除项目的保留期到期。 硬删除的邮件被标记为从邮箱中永久删除，并在托管文件夹助理下次处理邮箱时永久删除。 如果为邮箱启用了单个项目恢复，则在已删除项目的保留期到期后，将永久删除硬删除的项目。 如果邮箱处于保留状态，则会保留已删除的邮件，直到该项目的保留期到期或从邮箱中删除保留为止。

若要运行以下命令来删除邮件，请确保你已连接到安全与合规 PowerShell。

软删除邮件

在以下示例中，该命令会软删除名为“Remove Phishing Message”的内容搜索返回的搜索结果。

New-ComplianceSearchAction -SearchName "Remove Phishing Message" -Purge -PurgeType SoftDelete

硬删除邮件

要硬删除由“删除网络钓鱼邮件”内容搜索返回的项目，需要运行以下命令：

New-ComplianceSearchAction -SearchName "Remove Phishing Message" -Purge -PurgeType HardDelete

运行上述命令以软删除或硬删除邮件时， SearchName 参数指定的搜索是在步骤 1 中创建的内容搜索。

有关详细信息，请参阅 New-ComplianceSearchAction。

详细信息

• 如何获取有关搜索和删除操作的状态？

  运行 Get-ComplianceSearchAction 以获取有关删除操作的状态。 运行 New-ComplianceSearchAction cmdlet 时创建的对象使用以下格式命名： <name of Content Search>_Purge。

• 删除邮件后会发生什么情况？

  使用 New-ComplianceSearchAction -Purge -PurgeType HardDelete 命令删除的邮件将移动到 Purges 文件夹，用户无法访问。 将邮件移至“清除”文件夹后，如果为邮箱启用了单个项目恢复，则会在已删除的邮件保留期内保留邮件。 （在 Microsoft 365 中，创建新邮箱时将默认启用单个项目恢复。）已删除项目的保留期到期后，邮件将标记为永久删除，并在托管文件夹助手下次处理邮箱时从 Microsoft 365 中清除。

  如果使用 New-ComplianceSearchAction -Purge -PurgeType SoftDelete 命令，邮件将移至用户的“可恢复的项目”文件夹内的“删除”文件夹中。 它不会立即从 Microsoft 365 中清除。 在基于为邮箱配置的已删除邮件保留期的持续时间内，用户可以恢复“已删除邮件”文件夹中的邮件。 此保留期过期（或如果用户在过期之前清除邮件）后，邮件将移动到“清除”文件夹，用户将无法再访问。 进入“清除”文件夹后，如果启用了邮箱的单个邮件恢复，则邮件将保留一段时间，该时间取决于为邮箱配置的已删除邮件保留期。 （在 Microsoft 365 中，创建新邮箱时将默认启用单个项目恢复。）已删除项目的保留期到期后，邮件将标记为永久删除，并在托管文件夹助手下次处理邮箱时从 Microsoft 365 中清除。

• 如果必须删除超过 50,000 个邮箱中的邮件，该怎么办？

  如前文所述，可以对最多 50,000 个邮箱执行搜索和清除操作（即使包含匹配搜索查询项目的邮箱数量少于 50,000）。 如果必须对超过 50,000 个邮箱执行搜索和清除操作，请考虑创建临时搜索权限筛选器，这会将要搜索的邮箱数减少到不超过 50,000 个。 例如，如果组织在不同部门、州或国家/地区包含邮箱，则可以基于其中一个邮箱属性创建邮箱搜索权限筛选器，以搜索组织中的邮箱子集。 创建搜索权限筛选器后，将创建搜索（如步骤 1 中所述），然后删除邮件（如步骤 3 中所述）。 然后，你可以编辑筛选器以搜索和清除不同邮箱集中的邮件。

• 是否会删除搜索结果中包含的未编制索引的项目？

  否，“New-ComplianceSearchAction -Purge”命令不会删除未编制索引的项目。

• 如果从已实施就地保留、诉讼保留或已分配 Microsoft 365 保留策略的邮箱中删除某封邮件，会发生什么情况？

  清除邮件并将其移至“清除”文件夹后，将保留邮件，直到保留期到期为止。 如果保留持续时间为无限期，则这些项目会一直保留，直到解除保留或更改保留持续时间。

• 为什么搜索和删除工作流划分为不同的 Microsoft Purview 门户角色组？

  如前所述，用户必须是 eDiscovery Manager 角色组的成员，或者被分配“合规性搜索”管理角色，才可以搜索邮箱。 若要删除邮件，用户必须是“组织管理”角色组的成员，或者被分配“搜索并清除”管理角色。 这就使得可以控制哪些人可以搜索组织中的邮箱以及哪些人可以删除邮件。