Éléments partiellement indexés dans eDiscovery

Lorsque vous sélectionnez Inclure des éléments partiellement indexés, les recherches eDiscovery incluent automatiquement des éléments partiellement indexés dans les résultats de recherche estimés. Les éléments partiellement indexés sont des éléments de boîte aux lettres Exchange et des documents sur les sites SharePoint et OneDrive qui n’ont pas été complètement indexés pour la recherche. Dans Exchange, un élément partiellement indexé contient généralement un fichier (d’un type de fichier qui ne peut pas être indexé) joint à un e-mail.

Les raisons suivantes expliquent pourquoi les éléments ne peuvent pas être indexés pour la recherche et sont retournés en tant qu’éléments partiellement indexés :

• Le type de fichier n’est paspris en charge ou est désactivé pour l’indexation.

• Les messages ont un fichier joint qui ne peut pas être ouvert ; ce problème est la cause la plus courante d’éléments de courrier partiellement indexés.

• Le type de fichier est pris en charge pour l’indexation, mais une erreur d’indexation s’est produite pour un fichier spécifique.

• Le nombre de fichiers joints à un message électronique est trop important.

• Un fichier joint à un message électronique est trop volumineux.

• Un fichier est chiffré avec des technologies autres que Microsoft.

• Un fichier joint à un message électronique est chiffré avec une étiquette de confidentialité Microsoft Purview qui applique le chiffrement. Exchange n’indexe pas le contenu de la pièce jointe, même si la pièce jointe peut être déchiffrée lors de l’exportation.

• Un fichier est protégé par mot de passe.

Pour les enquêtes juridiques, votre organization peut être amené à examiner les éléments partiellement indexés. Vous pouvez spécifier s’il faut inclure des éléments partiellement indexés lorsque vous exportez des résultats de recherche ou lorsque vous ajoutez des résultats de recherche à un jeu de révision.

Types de fichier non indexés pour la recherche

Certains types de fichiers, tels que les fichiers Bitmap (.bmp) ou MP3 (.mp3), ne contiennent pas de contenu pouvant être indexé. Les serveurs d’indexation de recherche dans Exchange et SharePoint n’effectuent pas d’indexation de texte intégral sur ces types de fichiers. Ces types de fichiers sont considérés comme des types de fichiers non pris en charge. Il existe également des types de fichiers pour lesquels l’indexation de texte intégral est désactivée, soit par défaut, soit par un administrateur. Les types de fichiers non pris en charge et désactivés sont étiquetés comme éléments non indexés dans les recherches.

Pour obtenir la liste des formats de fichiers pris en charge et désactivés, consultez les articles suivants :

• Exchange : formats de fichiers indexés par recherche Exchange
• Exchange : Get-SearchDocumentFormat
• SharePoint : extensions de nom de fichier analysés par défaut et types de fichiers analysés dans SharePoint

Messages et documents avec des types de fichiers partiellement indexés retournés dans les résultats de recherche

Tous les messages électroniques contenant une pièce jointe partiellement indexée ou tous les documents SharePoint partiellement indexés ne sont pas retournés automatiquement en tant qu’élément partiellement indexé. Cela est dû au fait que d’autres propriétés de message ou de document, telles que la propriété Subject dans les messages électroniques et les propriétés Title ou Author pour les documents, sont indexées et disponibles pour faire l’objet d’une recherche. Par exemple, un mot clé rechercher des éléments de retour financier avec une pièce jointe partiellement indexée si cette mot clé apparaît dans l’objet d’un message électronique ou dans le nom de fichier ou le titre d’un document. Toutefois, si le mot clé apparaît uniquement dans le corps du fichier, le message ou le document est retourné en tant qu’élément partiellement indexé.

De même, les messages comportant des pièces jointes partiellement indexées et des documents d’un type de fichier partiellement indexé sont inclus dans les résultats de recherche lorsque d’autres propriétés de message ou de document, indexées et pouvant faire l’objet d’une recherche, correspondent aux critères de recherche. Les propriétés des messages qui sont indexées pour la recherche comprennent les dates d’envoi et de réception, l’expéditeur et le destinataire, le nom de fichier d’une pièce jointe et le texte dans le corps du message. Les propriétés de document indexées pour la recherche comprennent les dates de création et de modification. Ainsi, même si une pièce jointe de message peut être un élément partiellement indexé, le message est inclus dans les résultats de la recherche normale si la valeur d’autres propriétés de message ou de document correspond aux critères de recherche.

Pour obtenir la liste des propriétés de courrier électronique et de document que vous pouvez rechercher à l’aide des outils eDiscovery dans le portail Microsoft Purview, consultez Requêtes par mot clé et conditions de recherche pour eDiscovery.

Éléments partiellement indexés inclus dans les résultats de recherche

Votre organization peut avoir besoin d’identifier et d’analyser les éléments partiellement indexés pour déterminer ce qu’ils sont, ce qu’ils contiennent et s’ils sont pertinents pour une investigation spécifique. Si vous sélectionnez Inclure des éléments partiellement indexés, les éléments partiellement indexés dans les emplacements de contenu que vous recherchez sont automatiquement inclus dans les résultats de recherche estimés. Selon le paramètre spécifique que vous sélectionnez, vous pouvez contrôler s’il faut inclure des éléments partiellement indexés dans des emplacements avec des résultats de recherche indexés, des éléments partiellement indexés dans des emplacements sans résultats de recherche indexés, ou les deux. Vous pouvez également inclure ces éléments partiellement indexés lorsque vous exportez des résultats de recherche ou ajoutez des éléments à des jeux de révision.

Gardez à l’esprit les points suivants concernant les éléments partiellement indexés :

• Lorsque vous exécutez une recherche eDiscovery, le nombre total et la taille des éléments Exchange partiellement indexés (retournés par la requête de recherche) apparaissent dans l’affichage des statistiques de recherche, et ils sont étiquetés comme des éléments partiellement indexés. Les statistiques sur les éléments partiellement indexés n’incluent pas les éléments partiellement indexés dans les sites SharePoint ou les comptes OneDrive.

• Si vous exportez des résultats à partir d’une recherche d’emplacements de contenu spécifiques ou de tous les emplacements de contenu dans votre organization, seuls les éléments non indexés à partir d’emplacements de contenu qui contiennent des éléments qui correspondent aux critères de recherche sont exportés. En d’autres termes, si aucun résultat de recherche n’est trouvé dans une boîte aux lettres ou un site, tous les éléments non indexés dans cette boîte aux lettres ou ce site ne sont pas exportés. La raison de ce comportement est que l’exportation d’éléments partiellement indexés à partir de nombreux emplacements dans le organization peut augmenter la probabilité d’erreurs d’exportation et augmenter le temps nécessaire à l’exportation et au téléchargement des résultats de la recherche.

  Pour exporter des éléments partiellement indexés à partir de tous les emplacements de contenu d’une recherche, configurez la recherche pour renvoyer tous les éléments (en supprimant les mots clés de la requête de recherche), puis exportez uniquement les éléments partiellement indexés lorsque vous exportez les résultats de la recherche (en sélectionnant éléments partiellement indexés sous Sélectionner les éléments à inclure dans vos options d’exportation).

• Si vous choisissez d’inclure tous les éléments de boîte aux lettres dans les résultats de la recherche, ou si une requête de recherche ne spécifie aucun mot clé ou spécifie uniquement une plage de dates, les éléments partiellement indexés peuvent ne pas être copiés dans le fichier PST qui contient les éléments partiellement indexés. Ce comportement se produit parce que tous les éléments, y compris les éléments partiellement indexés, sont automatiquement inclus dans les résultats de recherche standard.

• Vous ne pouvez pas afficher un aperçu des éléments partiellement indexés. Pour afficher les éléments partiellement indexés retournés par la recherche, vous devez exporter les résultats de la recherche.

  En outre, lorsque vous exportez des résultats de recherche et que vous incluez des éléments partiellement indexés dans l’exportation, les éléments partiellement indexés à partir d’éléments SharePoint sont exportés vers un dossier nommé Uncrawllable. Lorsque vous exportez des éléments Exchange partiellement indexés, ils sont exportés différemment selon que les éléments partiellement indexés correspondent ou non à la requête de recherche et à la configuration des paramètres d’exportation.

• Le tableau suivant indique le comportement d’exportation des éléments indexés et partiellement indexés et indique si chacun d’eux est inclus pour les différents paramètres de configuration d’exportation.

  Exporter la configuration	Éléments indexés qui correspondent à la requête de recherche	Éléments partiellement indexés qui correspondent à la requête de recherche	Éléments partiellement indexés qui ne correspondent pas à la requête de recherche
  exporter uniquement les éléments indexés ;	Exported	Exporté (inclus avec les éléments indexés exportés)	Non exporté
  Exporter uniquement les éléments partiellement indexés	Non exporté	Exporté (en tant qu’éléments partiellement indexés)	Exporté (en tant qu’éléments partiellement indexés)
  Exporter des éléments indexés et partiellement indexés	Exported	Exporté (inclus avec les éléments indexés exportés)	Exporté (en tant qu’éléments partiellement indexés)

Emplacements et l’option « dans les emplacements sans correspondances de recherche »

Lorsque vous incluez des éléments partiellement indexés dans une exportation (ou que vous les ajoutez à un jeu de révision), vous pouvez également choisir d’exclure des éléments partiellement indexés dans des emplacements sans accès à la recherche. Comprendre ce que signifie l’emplacement dans cette option détermine ce que contient votre exportation.

Un emplacement dans eDiscovery est l’un des éléments suivants :

• Une boîte aux lettres Exchange Online unique, ou
• Un site SharePoint Online unique ou OneDrive Entreprise site.

Un emplacement n’est pas un dossier, un préfixe d’URL, une bibliothèque de documents SharePoint ou un sous-ensemble d’une boîte aux lettres ou d’un site défini par une condition de Langage de requête Kusto (KQL). La plus petite unité sur laquelle fonctionne le filtre d’emplacement d’index partiel est la boîte aux lettres entière ou l’ensemble du site.

Action de l’option

Les conditions KQL ne limitent pas les éléments partiellement indexés

Les éléments partiellement indexés sont retournés en fonction de l’état d’index de l’emplacement, et non en fonction du fait que l’élément correspond à votre requête KQL. Si votre requête utilise un chemin d’accès, une URL, un modèle de nom de fichier ou une autre restriction de propriété (par exemple, DocumentLink:"https://contoso.sharepoint.com/sites/Finance/Subfolder/*"), les éléments partiellement indexés n’importe où dans le site correspondant peuvent toujours apparaître dans votre exportation. Ils ne sont pas évalués par rapport à la restriction.

Si vous devez filtrer les éléments partiellement indexés par KQL, sélectionnez Effectuer une indexation avancée sur les éléments partiellement indexés au moment de l’exportation. L’indexation avancée réindexe les éléments afin que vos conditions KQL s’appliquent à eux.

Recherches à emplacement unique

Si votre étendue est une seule boîte aux lettres ou un seul site, l’option Exclure des éléments partiellement indexés dans des emplacements sans correspondances de recherchen’a aucun effet :

• Si l’emplacement renvoie au moins un accès indexé, il est considéré comme réactif et tous ses éléments partiellement indexés sont inclus.
• Si l’emplacement ne renvoie aucun accès indexé, aucun élément de quelque type que ce soit n’est exporté à partir de cet emplacement.

Pour les étendues à emplacement unique, attendez-vous à l’ensemble complet d’éléments partiellement indexés de l’emplacement chaque fois que vous incluez des éléments partiellement indexés lors de l’exportation, ou utilisez l’indexation avancée pour appliquer vos conditions KQL.

Exemple

Une recherche SharePoint limitée à un seul site utilise la requête DocumentLink:"https://contoso.sharepoint.com/sites/Project/Subfolder/*" et inclut des éléments partiellement indexés lors de l’exportation. Deux résultats sont garantis :

1. Les éléments indexés dans l’exportation sont limités au chemin d’accès Subfolder/* (la condition KQL s’applique).
2. Les éléments partiellement indexés dans l’exportation incluent tous les éléments partiellement indexés sur l’ensemble sites/Project du site, pas seulement Subfolder/* (KQL ne s’applique pas aux éléments partiellement indexés, et l’emplacement est l’ensemble du site).

Pour limiter les éléments partiellement indexés au même sous-dossier, activez Effectuer une indexation avancée sur des éléments partiellement indexés.

Les paramètres de temps de recherche et d’exportation sont indépendants

La recherche et l’exportation eDiscovery sont des travaux distincts. Les choix d’éléments partiellement indexés que vous effectuez sur chacun d’eux sont indépendants :

Si vous définissez l’inclusion d’index partiel lors de la recherche, mais que vous l’effacez lors de l’exportation, l’exportation ne contient aucun élément partiellement indexé, quelles que soient les statistiques de recherche affichées. Si vous l’effacez lors de la recherche, mais que vous le définissez à l’exportation, l’exportation contient des éléments partiellement indexés en fonction des paramètres de la boîte de dialogue d’exportation. Vérifiez toujours le comportement de l’index partiel à l’étape d’exportation.

Plages de dates et exclusion des éléments partiellement indexés

Dans les recherches eDiscovery, vous ne pouvez pas utiliser une plage de dates pour exclure des éléments partiellement indexés des résultats d’une requête de recherche. Les statistiques de recherche incluent des éléments partiellement indexés qui se trouvent en dehors d’une plage de dates, et vous les incluez lorsque vous exportez des éléments partiellement indexés. Dans eDiscovery avec prise en charge des fonctionnalités Premium, vous pouvez ajouter des éléments partiellement indexés à un jeu de révision, puis les filtrer dans un ensemble de révisions avant l’exportation. Vous pouvez également utiliser la fonctionnalité d’indexation avancée (une fonctionnalité eDiscovery Premium) pour vous assurer que ces éléments partiellement indexés sont réindexés afin de les comparer à la plage de dates spécifiée et d’éviter l’exportation d’un volume important de données.

Pour plus d’informations sur l’indexation des limites pour les messages électroniques, consultez Limites dans eDiscovery.

Évaluer les éléments partiellement indexés dans votre organization

Après avoir exécuté une recherche eDiscovery, vous pouvez voir le nombre total et la taille des éléments partiellement indexés dans les emplacements que vous avez recherchés dans les statistiques des résultats de recherche. Les statistiques détaillées de la recherche affichent ces informations.

Quelques facteurs affectent le nombre d’éléments partiellement indexés qui apparaissent dans les résultats de la recherche :

• Si un élément est partiellement indexé et correspond à la requête de recherche, l’élément est inclus dans le nombre et la taille des éléments de résultats de recherche et dans les éléments partiellement indexés. Toutefois, lorsque vous exportez les résultats de cette même recherche, l’élément est inclus uniquement avec un ensemble de résultats de recherche et n’est pas inclus en tant qu’élément partiellement indexé.
• Les statistiques détaillées pour la recherche n’incluent pas les éléments partiellement indexés situés dans les sites SharePoint et OneDrive dans l’estimation des éléments partiellement indexés. Toutefois, lorsque vous exportez les résultats d’une recherche eDiscovery, vous pouvez inclure des éléments partiellement indexés dans l’exportation. Par exemple, si vous recherchez uniquement des sites, le nombre estimé d’éléments partiellement indexés est égal à zéro.

Pour comprendre l’exposition de votre organization aux éléments partiellement indexés, exécutez une recherche pour tout le contenu de toutes les boîtes aux lettres ou un sous-ensemble représentatif de boîtes aux lettres à l’aide d’une requête mot clé vide.

Dans l’exemple suivant, il y a 1 629 904 (146,46 Go) d’éléments entièrement indexés et 10 025 (10,27 Go) partiellement indexés.

Vous pouvez déterminer le pourcentage d’éléments partiellement indexés à l’aide des calculs suivants.

Pour calculer le ratio des éléments partiellement indexés dans votre organization :

(Total number of partially indexed items/Total number of items) x 100

(10025/1629904) x 100 = 0.62%

En utilisant les résultats de recherche de l’exemple précédent, 0,62 % de tous les éléments de boîte aux lettres sont partiellement indexés.

Pour calculer le pourcentage de taille des éléments partiellement indexés dans votre organization :

(Size of all partially indexed items/Size of all items) x 100

(10.27 GB/146.46 GB) x 100 = 7.0%

Dans l’exemple précédent, 7 % de la taille totale des éléments de boîte aux lettres proviennent d’éléments partiellement indexés. La plupart des clients ont moins de 1 % du contenu par volume et moins de 12 % du contenu par taille qui est partiellement indexé.

Pour une évaluation supplémentaire des types de contenu qui composent des éléments partiellement indexés pour votre organization, sélectionnez Éléments partiellement indexés à inclure dans votre rapport d’élément d’exportation ou Exportation globale pour un examen plus approfondi.

Plus d’informations sur les éléments partiellement indexés

• Étant donné que les propriétés des messages et des documents et leurs métadonnées sont indexées, une recherche mot clé peut retourner des résultats si cette mot clé apparaît dans les métadonnées indexées. Cependant, cette même recherche par mot clé peut ne pas renvoyer le même élément si le mot clé apparaît uniquement dans le contenu d’un élément dont le type de fichier n’est pas pris en charge. Dans ce cas, l’élément est retourné en tant qu’élément partiellement indexé.

• Si un élément partiellement indexé correspond aux critères de requête de recherche, il est inclus dans les résultats de la recherche. Toutefois, il n’est pas inclus dans les éléments partiellement indexés lorsque vous exportez des résultats de recherche.

• Bien qu’un type de fichier soit pris en charge pour l’indexation et qu’il soit indexé, les erreurs d’indexation ou de recherche peuvent entraîner le retour d’un fichier en tant qu’élément partiellement indexé. Par exemple, la recherche dans un fichier Excel volumineux peut être partiellement réussie (car les 4 premiers Mo sont indexés), mais échoue car la limite de taille de fichier est dépassée. Dans ce cas, il est possible que le même fichier soit retourné avec les résultats de la recherche et en tant qu’élément partiellement indexé.

• Files chiffrées avec les technologies de chiffrement Microsoft, y compris les étiquettes de confidentialité Microsoft Purview qui appliquent le chiffrement, se comportent différemment selon l’emplacement :

  • Email pièces jointes : Exchange n’indexe pas les pièces jointes chiffrées. Les recherches par mot clé ne correspondent pas au contenu de ces pièces jointes, et elles sont retournées en tant qu’éléments partiellement indexés. Toutefois, si le message électronique lui-même correspond aux critères de recherche (par exemple, l’objet ou l’expéditeur), le message est inclus dans les résultats de la recherche. Vous pouvez déchiffrer les pièces jointes chiffrées pendant la préversion et l’exportation.
  • Dossiers SharePoint et fichiers OneDrive : les Files chiffrées avec les technologies de chiffrement Microsoft sont partiellement indexées.
  • Pour vous assurer que les pièces jointes chiffrées sont capturées, incluez des éléments partiellement indexés lors de l’exportation des résultats de recherche ou de l’ajout de résultats à un jeu de révision. Utilisez des jeux de révision pour analyser le contenu déchiffré après la collecte.

• Email messages chiffrés avec S/MIME sont partiellement indexés. Cette limitation inclut les messages chiffrés avec ou sans pièces jointes.

• Email messages protégés à l’aide de Azure Rights Management sont indexés et inclus dans les résultats de la recherche s’ils correspondent à la requête de recherche. Les messages électroniques protégés par des droits sont déchiffrés et peuvent être prévisualisés et exportés. Pour cette fonctionnalité, vous devez disposer du rôle Decrypt RMS, qui est attribué par défaut au groupe de rôles Gestionnaire eDiscovery.

• N’utilisez pas de conservation basée sur les requêtes pour traiter des éléments chiffrés ou partiellement indexés. La conservation basée sur une requête avec des requêtes qui incluent des conditions au-delà des dates, des participants ou des types d’éléments (tels que des mots clés ou des chemins d’accès) peut ne pas s’appliquer à ces éléments. Il existe un risque que la conservation ne soit pas appliquée comme prévu. Pour garantir la couverture, limitez les conditions de conservation basées sur les requêtes pour les plages de dates, les participants et les types d’éléments uniquement, ou appliquez une conservation basée sur l’emplacement. Pour plus d’informations, consultez Créer une conservation eDiscovery.