Recuperar elementos de correo eliminados mediante cmdlets de PowerShell Search-Mailbox | 7#7

En el artículo actual, revisaremos los cmdlets de PowerShell Search-Mailbox que podemos usar para buscar y recuperar elementos de correo específicos. Los cmdlets de PowerShell Search-Mailbox son la “hermana mayor” de los cmdlets de PowerShell más nuevos New-MailboxSearch. Ambos cmdlets de PowerShell se diseñaron para proporcionar al administrador de Exchange la sólida capacidad de crear una búsqueda en múltiples buzones + la capacidad de copiar (recuperar) el resultado de la búsqueda en "otro almacén", como el buzón de búsqueda de Discovery o cualquier otro buzón de Exchange.

Un poco de historia

La capacidad de realizar búsquedas en varios buzones de correo se presentó por primera vez en Exchange 2010. Esta capacidad se basó en los cmdlets de PowerShell: Search-Mailbox.

En Exchange 2013, el término “búsqueda en varios buzones” fue reemplazado por el término eDiscovery y retención in situ.

La infraestructura de retención y eDiscovery local incluye más capacidades y características y se basa en un nuevo cmdlet de PowerShell denominado:

New-MailboxSearch

En otras palabras, podemos decir que la interfaz de administración de retención y eDiscovery local de Exchange es la interfaz gráfica para los cmdlets de PowerShell: New-MailboxSearch

Debido a que New-MailboxSearch es más nuevo o más avanzado, podemos suponer que estos cmdlets de PowerShell incluyen todas las capacidades de los cmdlets de PowerShell anteriores: Search-Mailbox + nuevas capacidades.

Esta suposición es parcialmente correcta porque lo interesante es que los cmdlets de PowerShell "más antiguos" Search-Mailbox todavía tienen capacidades que no están disponibles en los cmdlets de PowerShell más nuevos New-MailboxSearch.

Las capacidades que se incluyen en los cmdlets de PowerShell Search-Mailbox y no se incluyen en los cmdlets de PowerShell más nuevos New-MailboxSearch) son:

1. Buscar y eliminar (buscar y destruir)

Esta habilidad a veces se denomina "buscar y destruir". La parte de "buscar" en varios buzones de correo de Exchange es la primera parte. La segunda parte es -“¿qué hacer con los resultados de la búsqueda? ”.

Al utilizar los cmdlets de PowerShell Search-Mailbox podemos decidir eliminar los resultados de la búsqueda en lugar de copiarlos o recuperarlos.

Si la opción de "eliminar elementos de correo" basada en el resultado de la búsqueda le parece extraña, considere un escenario en el que su organización está infectada por un virus que se envía a través de los sistemas de correo al destinatario de otra organización.

Desea poder encontrar todos los destinatarios que recibieron el correo infectado + eliminar los elementos de correo infectados por el virus.

2. Ámbito de búsqueda: basado en carpetas

Una capacidad interesante de los cmdlets de PowerShell Search-Mailbox es la capacidad de definir una carpeta de buzón específica como parámetro para la búsqueda.

Esta capacidad se puede implementar utilizando la carpeta del buzón estándar, como: carpeta de la bandeja de entrada, elementos enviados, etc., y también; Podemos definir la carpeta Elementos recuperables como parámetro del alcance de la búsqueda.

En otras palabras, los cmdlets de PowerShell Search-Mailbox nos permiten restringir la búsqueda solo a la carpeta Elementos recuperables y recuperar (copiar) los elementos de correo en esta carpeta.

Esta opción es muy útil en "escenarios de recuperación de correo" porque, en este caso, no necesitamos buscar y recuperar el "contenido estándar del buzón, sino solo los elementos de correo ubicados en la carpeta Elementos recuperables".

Recuperar elementos de correo mediante cmdlets de PowerShell Search-Mailbox | Un proceso de dos etapas

Antes de comenzar a revisar la sintaxis específica de los cmdlets de PowerShell Search-Mailbox, es importante comprender la lógica y la estructura de este comando.

El flujo que implementan los cmdlets de PowerShell Search-Mailbox consta de dos fases:

Fase 1: en esta fase, el comando Search-Mailbox accede a los buzones que hemos especificado y comienza a buscar elementos de correo que respondan a los parámetros de consulta de búsqueda que tenemos que defender.

Fase 2: en esta fase, el comando Search-Mailbox "busca" los resultados de la búsqueda (elementos de correo) y los copia en el "buzón de destino".
El "buzón de destino" podría ser Exchange buzón de Discovery Search del sistema o cualquier otro buzón que elijamos.

Los cuatro parámetros obligatorios del Search-Mailbox

Al utilizar los cmdlets Search-Mailbox de PowerShell, tendremos que definir cuatro parámetros obligatorios:

1. El buzón o los buzones que queremos buscar: debemos especificar al menos un buzón como "buzón de origen".
2. Los parámetros de consulta de búsqueda: el parámetro de búsqueda puede ser muy simple o muy complicado, podemos optar por restringir la búsqueda según el rango de fechas, palabras clave específicas, carpeta específica, etc.
3. El “buzón de destino”: este es el buzón que servirá como “contenedor” para la copia de los elementos de correo que forman los resultados de la búsqueda.
4. El nombre de la carpeta que "alojará" la copia de los resultados de la búsqueda; debemos especificar un nombre que se utilizará para la carpeta que contendrá la copia de los resultados de la búsqueda.

Permisos necesarios para utilizar los cmdlets de Exchange PowerShell: buzón de búsqueda

El uso de los cmdlets Search-Mailbox permite al usuario que realiza la búsqueda (administrador de Exchange o el usuario con los permisos requeridos) buscar y ver los datos de los usuarios ubicados en sus buzones.
Para poder tener esta “capacidad” existe una Debe asignar el permiso requerido al usuario que utilizará el cmdlet Search-Mailbox.

Debe tener asignados los siguientes roles de administración para buscar y eliminar mensajes en los buzones de correo de los usuarios:

• Búsqueda de buzones: esta función le permite buscar mensajes en varios buzones de su organización. A los administradores no se les asigna esta función de forma predeterminada. Para asignarse este rol y poder buscar buzones de correo, agréguese como miembro del grupo de roles de Discovery Management. Consulte Asignar permisos de exhibición de documentos electrónicos en Exchange.
• Importación y exportación de buzones de correo: esta función le permite eliminar mensajes del buzón de un usuario. De forma predeterminada, este rol no está asignado a ningún grupo de roles. Para eliminar mensajes de los buzones de correo de los usuarios, puede agregar la función Importación y exportación de buzones al grupo de funciones Gestión de la organización. Para obtener más información, consulte la sección "Agregar una función a un grupo de funciones" en Administrar grupos de funciones.

Uso de los escenarios de cmdlets de Search-Mailbox

Para demostrar las diferentes posibilidades de utilizar los cmdlets Search-Mailbox, revisaremos un par de escenarios opcionales.

Escenario 1: copiar elementos de correo de la carpeta Elementos recuperables al buzón de búsqueda de descubrimiento

Descripción del escenario:
Queremos buscar y recuperar elementos de correo que respondan a los siguientes parámetros:

• Elementos de correo que se almacenan en un buzón de usuario de Exchange específico.
• Elementos de correo almacenados en la carpeta Elementos recuperables (SearchDumpsterOnly).

Además, cree un registro detallado (LogLevel Full).

Copie los elementos de correo de la carpeta Elementos recuperables al buzón de búsqueda de descubrimiento

Sintaxis del comando de PowerShell:

Search-Mailbox <Identity> -SearchDumpsterOnly -TargetMailbox <Destination mailbox> -TargetFolder <Folder name> -LogLevel Full

Ejemplo de comando de PowerShell:

Search-Mailbox John -SearchDumpsterOnly -TargetMailbox "Discovery Search Mailbox" -TargetFolder <John recovered mail> -LogLevel Full

Escenario 2: proporcionar un informe sobre elementos de correo eliminados

Descripción del escenario:
No deseamos recuperar elementos de correo, sino que solo queremos obtener un informe detallado sobre todos los elementos de correo que residen en la carpeta Elementos recuperables
Queremos buscar (pero no recuperar) ) artículos de correo que responden a los siguientes parámetros:

• Elementos de correo que se almacenan en un buzón de usuario de Exchange específico.
• Elementos de correo almacenados en la carpeta Elementos recuperables (SearchDumpsterOnly).

Proporcionar un informe sobre elementos de correo eliminados

Sintaxis del comando de PowerShell:

Search-Mailbox <Identity> -SearchDumpsterOnly -TargetMailbox <Destination mailbox> -TargetFolder <Folder name> -LogLevel Full -LogOnly

Ejemplo de comando de PowerShell:

Search-Mailbox John -SearchDumpsterOnly -TargetMailbox “Discovery Search Mailbox”-TargetFolder “David Deleted mail items” -LogLevel Full -LogOnly

Escenario 3: recuperar elementos de correo eliminados de todos los buzones de correo de los usuarios (modo masivo)

Descripción del escenario:
Queremos buscar y recuperar elementos de correo que respondan a los siguientes parámetros:

• Elementos de correo que se almacenan en todos los buzones de correo de los usuarios de Exchange (búsqueda masiva).
• Elementos de correo almacenados en la carpeta Elementos recuperables (SearchDumpsterOnly).

Recuperar elementos de correo eliminados de todos los buzones de correo de los usuarios (modo masivo)

Sintaxis del comando de PowerShell:

Get-Mailbox -ResultSize Unlimited |Search-Mailbox -SearchDumpsterOnly -TargetMailbox <Destination mailbox> -TargetFolder <Folder name> -LogLevel Full

Ejemplo de comando de PowerShell:

Get-Mailbox -ResultSize Unlimited | Search-Mailbox -SearchDumpsterOnly -TargetMailbox “Discovery Search Mailbox” -TargetFolder “All users Deleted mail items” -LogLevel Full

Escenario 4: recuperar solo elementos de correo del calendario eliminados

Descripción del escenario:
Queremos buscar y recuperar elementos de correo que respondan a los siguientes parámetros:

• Elementos de correo que se almacenan en un buzón de usuario de Exchange específico.
• Envíos de correo específicos: solo envíos de correo con un archivo adjunto específico
• Elementos de correo almacenados en la carpeta Elementos recuperables (SearchDumpsterOnly).

Recuperar solo elementos de correo del calendario eliminados

Sintaxis del comando de PowerShell:

Search-Mailbox <Identity> -SearchDumpsterOnly -SearchQuery “Attachment:<Mail Type>" -TargetMailbox <Destination mailbox> -TargetFolder <Folder name> -LogLevel Full

Ejemplo de comando de PowerShell:

Search-Mailbox John -SearchDumpsterOnly -SearchQuery “Kind:meetings" -TargetMailbox “Discovery Search Mailbox” -TargetFolder “John calendar items” -LogLevel Full

Escenario 5: recuperar elementos de correo eliminados con un archivo adjunto específico

Descripción del escenario:
Queremos buscar y recuperar elementos de correo que respondan a los siguientes parámetros:

• Elementos de correo que se almacenan en un buzón de usuario de Exchange específico.
• Artículos de correo específicos: solo artículos de correo de calendario
• Elementos de correo almacenados en la carpeta Elementos recuperables (SearchDumpsterOnly).

Recuperar elementos de correo eliminados con un archivo adjunto específico

Sintaxis del comando de PowerShell:

Search-Mailbox <Identity> -SearchDumpsterOnly -SearchQuery “Kind:<Mail Type>" -TargetMailbox <Destination mailbox> -TargetFolder <Folder name> -LogLevel Full

Ejemplo de comando de PowerShell:

Search-Mailbox John -SearchDumpsterOnly -SearchQuery “Kind:meetings" -TargetMailbox “Discovery Search Mailbox” -TargetFolder “John calendar items” -LogLevel Full

Escenario 6: recuperar solo elementos de correo eliminados que incluyan un texto específico (cuerpo o asunto del correo)

Descripción del escenario:
Queremos buscar y recuperar elementos de correo que respondan a los siguientes parámetros:

• Elementos de correo que se almacenan en un buzón de usuario de Exchange específico.
• Elementos de correo que incluyen una cadena de texto específica.

Recuperar solo elementos de correo eliminados que incluyan un texto específico (cuerpo o asunto del correo)

Sintaxis del comando de PowerShell:

Search-Mailbox <Identity> -SearchQuery “<Text String>” -TargetMailbox <Destination mailbox> -TargetFolder <Folder name> -LogLevel Full

Ejemplo de comando de PowerShell:

Search-Mailbox John -SearchQuery “call me ASAP” -TargetMailbox “Discovery Search Mailbox” -TargetFolder “John mail items” -LogLevel Full

Escenario 7: recuperar solo elementos de correo eliminados que incluyan un texto específico en el asunto del correo

Descripción del escenario:
Queremos buscar y recuperar un elemento de correo que responda a los siguientes parámetros:

• Elementos de correo que se almacenan en un buzón de usuario de Exchange específico.
• Elementos de correo que incluyen una cadena de texto específica que aparece en el asunto del correo electrónico.

Recuperar solo elementos de correo eliminados que incluyan un texto específico en el asunto del correo

Sintaxis del comando de PowerShell:

Search-Mailbox <Identity> -SearchQuery 'Subject:"<Txt String>"' -TargetMailbox <Destination mailbox> -TargetFolder <Folder name> -LogLevel Full

Ejemplo de comando de PowerShell:

Search-Mailbox John -SearchQuery 'Subject:"call me ASAP"' -TargetMailbox “Discovery Search Mailbox” -TargetFolder “John mail items” -LogLevel Full

Escenario 8: recuperar elementos de correo eliminados de un rango de fechas específico

Descripción del escenario:
Queremos buscar y recuperar elementos de correo que respondan a los siguientes parámetros:

• Elementos de correo que se almacenan en un buzón de usuario de Exchange específico.
• Artículos por correo que se enviaron en un rango de fechas específico.

Recuperar elementos de correo eliminados de un rango de fechas específico

Sintaxis del comando de PowerShell:

Search-Mailbox <Identity> SearchQuery '(sent: sent:dd/mm/yy..dd/mm/yy)' -TargetMailbox <Destination mailbox> -TargetFolder <Folder name> -LogLevel Full

Ejemplo de comando de PowerShell:

Search-Mailbox SearchQuery '(sent: 09/1/2015.. 09/10/2015)' -TargetMailbox -TargetFolder -LogLevel Full

Escenario 9: copiar TODOS los elementos de correo de un buzón específico al buzón de búsqueda de descubrimiento

Descripción del escenario:
Queremos buscar y recuperar TODOS los elementos de correo que respondan a los siguientes parámetros:

• Elementos de correo que se almacenan en un buzón de usuario de Exchange específico.
• TODOS los elementos de correo de un buzón específico

Además, cree un registro detallado (LogLevel Full).

Copie TODOS los elementos de correo de un buzón específico al buzón de búsqueda de descubrimiento

Sintaxis del comando de PowerShell:

Search-Mailbox <Identity> -TargetMailbox <Destination mailbox> -TargetFolder <Folder name> -LogLevel Full

Ejemplo de comando de PowerShell:

Search-Mailbox John -SearchDumpsterOnly -TargetMailbox "Discovery Search Mailbox" -TargetFolder <John recovered mail> -LogLevel Full

Consideración adicional relacionada con el uso del comando Buscar-buzón

1. Asigne permiso de acceso total al buzón de búsqueda de Discovery

En caso de que queramos ver el contenido del Discovery Search-Mailbox utilizando el cliente de correo Outlook, necesitaremos asignar permiso de acceso completo al Discovery Search-Mailbox . .

Recuperar solo elementos de correo del calendario eliminados

Sintaxis del comando de PowerShell:

Add-MailboxPermission "<Destination Mailbox>" -User <Identity> -AccessRights FullAccess -InheritanceType all -Automapping $False

Ejemplo de comando de PowerShell:

Add-MailboxPermission "Discovery Search Mailbox" -User John -AccessRights FullAccess -InheritanceType all -Automapping $False

2. Asigne el permiso requerido para usar los cmdlets de PowerShell Search-Mailbox

Para poder utilizar los cmdlets de PowerShell Search-Mailbox, necesitaremos asignar el permiso requerido a la cuenta de usuario que usará los cmdlets de PowerShell Search-Mailbox.

Necesitaremos habilitar los siguientes permisos:

Agregue un usuario al grupo rol de administración de descubrimiento y asigne a la cuenta de usuario el rol importación y exportación de buzones.

Agregar usuario al grupo de gestión de descubrimiento

Sintaxis del comando de PowerShell:

Add-RoleGroupMember -Identity "Discovery Management" -Member <Identity>

Ejemplo de comando de PowerShell:

Add-RoleGroupMember -Identity "Discovery Management" -Member John

Asignar a un usuario el permiso “Importar Exportar buzón”

Sintaxis del comando de PowerShell:

New-ManagementRoleAssignment -Role “Mailbox Import Export” -User <Identity>

Ejemplo de comando de PowerShell:

New-ManagementRoleAssignment -Role “Mailbox Import Export” -User John

3. Cree un nuevo buzón de descubrimiento

Exchange Online proporciona un buzón predeterminado que servirá como contenedor para el resultado de la búsqueda, el buzón Discovery Search-Mailbox.

En caso de que queramos crear un “buzón de correo de búsqueda de descubrimiento” adicional, podemos usar un comando de PowerShell para crear este buzón adicional.

Crear un nuevo buzón de descubrimiento

Sintaxis del comando de PowerShell:

New-Mailbox -Name <name> -Discovery

Ejemplo de comando de PowerShell:

New-Mailbox -Name “New Discovery” -Discovery

Trabajar con los cmdlets de PowerShell New-MailboxSearch

Paso 1#2

Exportar una conexión de buzón completo del destinatario A al buzón del destinatario B

Sintaxis del comando de PowerShell:

New-MailboxSearch -Name <Search name> -SourceMailboxes <source mailbox> -TargetMailbox <Destinaiton mailbox>

Ejemplo de comando de PowerShell:

New-MailboxSearch -Name "Alice exported items" -SourceMailboxes Alice -TargetMailbox John

Paso 2#2

Exportar una conexión de buzón completo del destinatario A al buzón del destinatario B

Sintaxis del comando de PowerShell:

Start-MailboxSearch -Identity "<Search name>" -Confirm

Ejemplo de comando de PowerShell:

Start-MailboxSearch -Identity "Alice exported items" -Confirm