Retencja poczty w Microsoft 365: dlaczego skrzynka się zapełnia mimo zasad
Zasada przechowywania w Microsoft Purview i zasada przechowywania MRM w Exchange Online to dwa różne mechanizmy, a ich mylenie jest najczęstszą przyczyną pełnych skrzynek. Co robi każdy z nich, gdzie naprawdę rośnie zajętość i jak to sprawdzić poleceniami.
Przewodnik Poczta w firmie Część 4 z 4
- SPF, DKIM i DMARC: kolejność wdrożenia bez blokowania własnej poczty
- Aplikacje wysyłające przez zwykły SMTP: opcje w Microsoft 365 i lokalny przekaźnik
- Kwarantanna w Exchange Online: kto widzi zatrzymaną wiadomość i kto może ją zwolnić
- Retencja poczty w Microsoft 365: dlaczego skrzynka się zapełnia mimo zasad
Skrzynka współdzielona działu obsługi klienta dochodzi do limitu, użytkownicy dostają ostrzeżenia, a administrator jest przekonany, że problem rozwiązano rok temu, bo „przecież jest zasada przechowywania na siedem lat”. Zasada istnieje i działa poprawnie. Właśnie dlatego zajętość nie spada: zasada zachowuje każdą usuniętą wiadomość, a nic nie przenosi starszej poczty do archiwum.
W Microsoft 365 za retencję poczty odpowiadają dwa mechanizmy o podobnych nazwach i różnych celach. Pełna skrzynka mimo zasad niemal zawsze oznacza, że jednego z nich brakuje albo że blokada wypełnia folder, którego użytkownik nie widzi.
Dwa mechanizmy o podobnych nazwach
Zasady przechowywania w Microsoft Purview są narzędziem zgodności. Odpowiadają na pytanie, jak długo dane muszą istnieć i kiedy mogą zostać usunięte. Mogą zachowywać elementy przez określony czas, usuwać je po określonym czasie albo jedno i drugie. Nie przenoszą niczego do archiwum.
Zasady przechowywania MRM w Exchange Online (Messaging Records Management) są narzędziem porządku w skrzynce. Składają się z tagów, a każdy tag mówi, co zrobić z elementem po określonym czasie: przenieść do archiwum (MoveToArchive) albo usunąć. Tag domyślny (typ All) obejmuje całą skrzynkę, tag zasady przechowywania obejmuje jeden folder domyślny, na przykład Elementy do odzyskania. Zasady wykonuje proces Managed Folder Assistant, który przetwarza każdą skrzynkę cyklicznie, zwykle raz na kilka dni.
Domyślna zasada MRM, przypisywana nowym skrzynkom, zawiera dwa tagi istotne dla zajętości:
Connect-ExchangeOnline
Get-RetentionPolicy -Identity 'Default MRM Policy' |
Select-Object -ExpandProperty RetentionPolicyTagLinks
Get-RetentionPolicyTag |
Where-Object RetentionAction -eq 'MoveToArchive' |
Format-Table Name, Type, RetentionAction, AgeLimitForRetentionName Type RetentionAction AgeLimitForRetention
---- ---- --------------- --------------------
Default 2 year move to archive All MoveToArchive 730.00:00:00
Recoverable Items 14 days move to archive RecoverableItems MoveToArchive 14.00:00:00Pierwszy tag przenosi do archiwum elementy starsze niż dwa lata, drugi przenosi zawartość Elementów do odzyskania po czternastu dniach. Oba działają tylko wtedy, gdy skrzynka ma włączone archiwum.
Zasady Purview obejmujące Exchange odczytuje się w osobnej sesji, w PowerShell zabezpieczeń i zgodności:
Connect-IPPSSession
Get-RetentionCompliancePolicy | Format-Table Name, Enabled, ExchangeLocation
Get-RetentionComplianceRule -Policy 'Poczta 7 lat' |
Format-List RetentionDuration, RetentionComplianceActionExchangeLocation równe All oznacza zasadę dla wszystkich skrzynek, a RetentionComplianceAction z wartością Keep lub KeepAndDelete oznacza blokadę: od tej chwili usunięcie wiadomości przez użytkownika nie zwalnia miejsca.
| Cel | Mechanizm |
|---|---|
| Odciążyć skrzynkę podstawową, przenosząc starszą pocztę | tag MRM z akcją MoveToArchive i włączone archiwum |
| Zachować pocztę przez określony czas ze względów prawnych | zasada przechowywania Purview z akcją zachowania |
| Usuwać pocztę po określonym czasie | zasada Purview z akcją usunięcia albo tag MRM z akcją usunięcia |
| Zatrzymać całą pocztę jednej osoby na czas sporu | blokada postępowania sądowego albo blokada w sprawie eDiscovery |
| Pozwolić użytkownikom odzyskać usunięte elementy | okres przechowywania usuniętych elementów (RetainDeletedItemsFor, 14 dni domyślnie, maksymalnie 30) |
| Pomieścić archiwum większe niż 100 GB | archiwum automatycznie rozszerzane |
| Opróżniać Elementy do odzyskania przy blokadzie | tag MRM typu RecoverableItems z akcją MoveToArchive i włączone archiwum |
Archiwum online i archiwum automatycznie rozszerzane
Archiwum online to druga skrzynka powiązana z podstawową. Z licencją Exchange Online Plan 2 (także w ramach Microsoft 365 E3 i E5) ma 100 GB, a po włączeniu archiwum automatycznie rozszerzanego rośnie do 1,5 TB. Archiwum włącza polecenie, które od razu zmienia stan skrzynki:
Enable-Mailbox -Identity obsluga@example.com -Archive
# Nieodwracalne: archiwum automatycznie rozszerzanego nie da się później wyłączyć
Enable-Mailbox -Identity obsluga@example.com -AutoExpandingArchiveSamo włączenie archiwum niczego nie przenosi. Archiwum wypełnia Managed Folder Assistant według tagów MRM albo użytkownik, ręcznie przeciągając foldery. Po przypisaniu zasady lub włączeniu archiwum przetwarzanie można zlecić od razu: Start-ManagedFolderAssistant -Identity obsluga@example.com. Duża skrzynka potrzebuje kilku przebiegów, więc efekt widać po kilku dniach, nie po godzinie.
Skrzynka współdzielona bez licencji ma limit 50 GB. Archiwum, archiwum automatycznie rozszerzane i blokada postępowania sądowego wymagają przypisania jej licencji z odpowiednim planem Exchange Online lub dodatkiem Exchange Online Archiving.
Elementy do odzyskania i blokady
Każda skrzynka ma folder Elementy do odzyskania (Recoverable Items), niewidoczny w zwykłym widoku klienta. Trafiają tam elementy usunięte z folderu Elementy usunięte i usunięte trwale, a gdy skrzynka podlega blokadzie, także kopie elementów zmodyfikowanych i usuniętych. Podfoldery pokazują, skąd bierze się zajętość: Deletions to zwykłe usunięcia, Purges elementy usunięte z widoku odzyskiwania, Versions kopie zmienionych elementów, a DiscoveryHolds elementy zachowane przez blokadę.
Blokadą jest zasada Purview z akcją zachowania, blokada postępowania sądowego (LitigationHoldEnabled), blokada eDiscovery i etykieta przechowywania nałożona na element. Folder ma własny limit: RecoverableItemsQuota wynosi domyślnie 30 GB i jest podnoszony do 100 GB, gdy skrzynka podlega blokadzie. Po przekroczeniu limitu użytkownik nie może usuwać elementów, a podfolder DiscoveryHolds potrafi urosnąć do dziesiątek gigabajtów.
Zasady projektowe
- Purview odpowiada za to, jak długo dane muszą istnieć, a MRM za to, gdzie leżą w skrzynce. Oba mechanizmy projektuje się osobno i dokumentuje razem.
- Każda skrzynka objęta blokadą ma włączone archiwum i zasadę MRM z tagiem typu
RecoverableItems. - Zasady Purview o zasięgu całej organizacji przegląda się pod kątem skrzynek, które ich nie potrzebują, na przykład skrzynek systemowych z powiadomieniami.
- Zajętość skrzynki i folderu Elementy do odzyskania jest monitorowana, a alert przychodzi przy 80 procentach limitu, nie przy pierwszej odrzuconej wiadomości.
Sprawdź u siebie
Dwadzieścia największych skrzynek z rozmiarem Elementów do odzyskania (TotalDeletedItemSize), przeliczone na gigabajty, żeby sortowanie było liczbowe:
Get-EXOMailbox -ResultSize Unlimited -RecipientTypeDetails UserMailbox, SharedMailbox |
Get-EXOMailboxStatistics |
Select-Object DisplayName,
@{ n = 'TotalGB'; e = { [math]::Round(([long]("$($_.TotalItemSize)" -replace '^.*\(|[^\d]', '')) / 1GB, 1) } },
@{ n = 'DeletedGB'; e = { [math]::Round(([long]("$($_.TotalDeletedItemSize)" -replace '^.*\(|[^\d]', '')) / 1GB, 1) } } |
Sort-Object TotalGB -Descending | Select-Object -First 20Skrzynka, w której DeletedGB zbliża się do 30 lub 100, ma problem z Elementami do odzyskania, a nie ze zwykłą pocztą. TotalGB blisko 50 przy skrzynce współdzielonej oznacza zbliżający się limit skrzynki bez licencji.
Blokady, zasada MRM i stan archiwum jednej skrzynki:
Get-Mailbox -Identity obsluga@example.com |
Format-List LitigationHoldEnabled, InPlaceHolds, ComplianceTagHoldApplied, DelayHoldApplied,
RetentionPolicy, ArchiveStatus, AutoExpandingArchiveEnabled, RecoverableItemsQuota, RetainDeletedItemsFor
Get-OrganizationConfig | Format-List InPlaceHoldsNiepuste InPlaceHolds (identyfikatory z prefiksem mbx to zasady Purview, z prefiksem UniH blokady eDiscovery) albo LitigationHoldEnabled równe True oznaczają blokadę. Blokada przy ArchiveStatus równym None to przepis na pełny folder Elementy do odzyskania.
Rozkład Elementów do odzyskania na podfoldery:
Get-MailboxStatistics -Identity obsluga@example.com |
Format-List DisplayName, TotalItemSize, TotalDeletedItemSize, ItemCount
Get-MailboxFolderStatistics -Identity obsluga@example.com -FolderScope RecoverableItems |
Format-Table Name, FolderAndSubfolderSize, ItemsInFolderAndSubfoldersJeśli dominuje DiscoveryHolds albo Versions, przyczyną jest blokada. Jeśli Deletions, użytkownicy dużo usuwają, a tag przenoszący do archiwum nie działa. Ten sam podział dla archiwum daje parametr -Archive.
Data ostatniego udanego przetworzenia skrzynki przez Managed Folder Assistant:
$log = Export-MailboxDiagnosticLogs -Identity obsluga@example.com -ExtendedProperties
([xml]$log.MailboxLog).Properties.MailboxTable.Property |
Where-Object Name -like 'ELC*' | Format-Table Name, ValueELCLastSuccessTimestamp sprzed kilku dni jest normalne. Data sprzed kilku tygodni oznacza, że skrzynka nie jest przetwarzana, a tagi MRM nie działają, niezależnie od tego, co pokazuje ich konfiguracja.