purview-ediscovery

Microsoft Purview eDiscovery

Microsoft Purview eDiscovery 可识别、保全、收集、审查、分析和导出 Microsoft 365（Exchange、SharePoint、OneDrive、Teams、Copilot 交互）中的内容，用于法律案件、监管请求和内部调查，并在每个步骤遵循 EDRM 工作流，确保可辩护性。

适用场景

回应诉讼、监管或人力资源／调查请求，需要以可辩护的方式保全和制作 Microsoft 365 内容。

对于不涉及法律／调查事项的常规审核日志搜索，请勿使用此技能（改用 purview-audit）；对于保留策略设计，也请勿使用此技能（改用 purview-data-lifecycle）。

选择合适的事项类型

事项	方法
涉及指定保管人的诉讼	完整案件：对保管人应用保留，收集内容，建立审查集并导出
范围较广的监管请求	非保管人数据源 + 搜索 + 审查集
针对单个用户的人力资源调查	轻量级案件，采用有针对性的保留 + 收集（事项简单时无需审查集）
无保全义务的快速事实调查	改用 purview-audit

经验法则：只要有任何保全义务，就应先创建案件并应用保留，再进行搜索——如果保管人在分类处理期间删除内容，不应用保留的搜索可能导致证据毁损。

方法

1. 创建案件 - 在 eDiscovery 案件中整理事项；分配限定角色范围的审查人员（eDiscovery Manager 与 Reviewer），并记录事项元数据。 验证：案件显示在 eDiscovery 解决方案中，且只有获分配的用户能够打开。
2. 添加保管人和非保管人数据源 - 确定范围内的人员和位置；非保管人数据源涵盖未关联到个人的网站／邮箱。 验证：保管人状态显示保留待处理或已应用。
3. 应用法律保留 - 在任何收集之前，对保管人／数据源应用保留；必要时确认已收到保留通知。 验证：所有保管人的保留状态均为 Active，并显示数据源覆盖范围（邮箱、OneDrive、网站、Teams）。
4. 构建搜索 - 使用关键词、条件、日期范围和位置运行草稿搜索；查看统计信息并进行优化，然后再提交收集。 验证：搜索统计信息显示预计项目数和大小；主要位置看起来合理。
5. 提交到收集并建立审查集 - 将优化后的结果提交到审查集；使用分析功能（近似重复、电子邮件线程、主题）和标记进行筛选。 验证：审查集已完成索引，且分析图块已填充数据。
6. 审查并标记 - 审查人员标记相关／受特权保护等内容；在支持的情况下进行编辑遮盖；跟踪审查人员进度。 验证：可按审查人员审计标记历史。
7. 导出并制作 - 以可辩护的格式导出审查后的内容，并附带适用于下游审查平台的加载文件。 验证：导出包包含加载文件、原生文件，以及带哈希值的清单。

防护措施

• 在搜索／收集之前应用保留，以确保可辩护性——不应用保留的搜索可能无法成立。
• 当前统一版 eDiscovery 体验整合了此前的 Standard 和 Premium 版本——请根据许可证确认功能是否可用（审查集、分析和 Copilot 交互收集等高级功能需要 E5／E5 Compliance／eDiscovery Premium 附加许可证）。
• 严格限制访问范围；eDiscovery 可以访问高度敏感的内容，包括敏感度标签原本会限制访问的内容——应使用角色组和案件级成员资格，而非全租户授权。
• 保留通知、保管人确认和保管链记录应保存在 Purview 之外（事项管理系统中）——eDiscovery 是技术工具，并非法律记录。
• 请在截止日期前，根据审查平台对加载文件的要求测试导出。

常见反模式

• 运行面向整个租户的内容搜索，并跳过保留步骤来“节省时间”。
• 广泛授予 eDiscovery Manager 权限，而不是按案件分配 Reviewer。
• 确定范围时忘记添加 Teams 聊天 / Copilot 交互位置。
• 从搜索中导出，而不是从已审核的审阅集导出（没有可供辩护的审阅记录）。
• 在法律部门确认事项已结束之前关闭案件（并解除保留）。

示例提示词

• Create an eDiscovery case with legal hold to preserve content.
• Collect and review content for litigation in a review set.
• How do I export evidence and manage custodians?
• Run search and hold across Microsoft 365 for an investigation.
• Apply analytics and near-duplicate detection to cull a large review set.

Microsoft Learn

• eDiscovery 概述：https://learn.microsoft.com/purview/edisc
• 开始使用 eDiscovery：https://learn.microsoft.com/purview/ediscovery-standard-get-started
• 创建和管理保留：https://learn.microsoft.com/purview/ediscovery-create-holds
• 管理审阅集：https://learn.microsoft.com/purview/ediscovery-managing-review-sets
• 从审阅集导出：https://learn.microsoft.com/purview/ediscovery-export-documents-from-review-set
• 角色和权限：https://learn.microsoft.com/purview/ediscovery-assign-permissions