Exchange的诉讼保留

有个朋友想了解诉讼保留，好，我们就来讲诉讼保留。

每个组织中总有一些“老鼠屎”，或者在特定的时间段会成为“老鼠屎”，比如被强行辞退时，他会干点坏事：比如散布一些假消息，或将一些机密信件转到自己的个人邮箱，然后将邮箱清空不留任何证据。

当然我这里说的清空不是传统意义的清空，一般删除的邮件会进到“已删除邮件”目录，从“已删除邮件”清除的邮件会进到数据库的Dumpster，也可以通过“恢复删除的项目”恢复（默认保留14天）。

这里说的清空是直接通过“Shift+Delete”从个人邮箱中永久删除。

通过以上操作清除的邮件不会进“已删除邮件”，也不会进数据库的Dumpster，只有通过合规性管理中的保留策略来恢复。通过保留策略可以找回任何从客户端已永久删除的邮件。需要注意的是，这是Exchange企业版客户端(CAL)才有的功能。

进入ECP的“合规性管理”–>”就地电子数据展示和保留“–>新建策略（+），输入名称。

然后我们选择目标邮箱或所有邮箱。

由于保留规则是基于搜索条件输出的，如果知道目标邮件的接收时间范围、发件人或关键字的，可以填入对应的搜索框，这里我们选择该用户的所有邮件。

然后决定对于检索出来的目标邮件保留的天数，那既然我们要找所有邮件，在不确定每一封邮件的接收时间时，我们把每一封邮件做永久保留。

Ok，操作完成

当然，对于这样一个策略，可能涉及到巨大的信息安全隐患，因为我们不知道目标邮箱里面究竟能恢复出来些什么东西，在这种情况下，能对恢复结果进行查阅的人员也是需要严格管控的。在Exchange中，这个预定义的角色组叫做Discovery Management，一般只有审计人员才有查看上述邮件的权限。