Rechercher des activités eDiscovery dans le journal d’audit

Activités liées au Recherche de contenu et à la découverte électronique (pour Microsoft Purview eDiscovery (Standard) et Microsoft Purview eDiscovery (Premium)) qui sont effectuées dans portail de conformité Microsoft Purview ou en exécutant les applets de commande PowerShell correspondantes sont enregistrées dans le journal d’audit. Les événements sont enregistrés lorsque des administrateurs ou des responsables eDiscovery (ou des autorisations eDiscovery attribuées par l’utilisateur) effectuent les tâches de Recherche de contenu et eDiscovery (Standard) suivantes dans le portail de conformité :

• Création et gestion des cas eDiscovery (Standard) et eDiscovery (Premium).
• Création, démarrage et modification des recherches de contenu.
• Exécution d’actions de recherche, telles que l’aperçu, l’exportation et la suppression des résultats de recherche.
• Gestion des consignataires et des jeux de révision dans eDiscovery (Premium).
• Configuration du filtrage des autorisations pour la recherche de contenu.
• Gestion du rôle Administrateur eDiscovery.

Pour plus d’informations sur la recherche dans le journal d’audit, les autorisations requises et l’exportation des résultats de la recherche, consultez Recherche le journal d’audit.

Conseil

Si vous n’êtes pas un client E5, utilisez la version d’évaluation de 90 jours des solutions Microsoft Purview pour découvrir comment des fonctionnalités Supplémentaires purview peuvent aider vos organization à gérer les besoins en matière de sécurité et de conformité des données. Commencez dès maintenant au hub d’essais portail de conformité Microsoft Purview. En savoir plus sur les conditions d’inscription et d’essai.

Comment rechercher et afficher des activités eDiscovery

Actuellement, vous devez effectuer quelques opérations spécifiques pour afficher les activités eDiscovery dans le journal d’audit. Voici comment procéder.

1. Accédez au portail de conformité Microsoft Purview et connectez-vous à l’aide de votre compte professionnel ou scolaire.

2. Dans le volet de navigation gauche du portail de conformité, sélectionnez Audit.

3. Dans la liste déroulante Activités , sous Activités eDiscovery ou Activités eDiscovery (Premium), sélectionnez une ou plusieurs activités à rechercher.

   Remarque

   La liste déroulante Activités comprend également un groupe d’activités nommées activités d’applet de commande eDiscovery qui retournent des enregistrements à partir du journal d’audit de l’applet de commande.

4. Sélectionnez une plage de dates et d’heures pour afficher les événements eDiscovery qui se sont produits au cours de cette période.

5. Dans la zone Utilisateurs , sélectionnez un ou plusieurs utilisateurs pour qui afficher les résultats de la recherche. Laissez cette zone vide pour renvoyer les entrées pour tous les utilisateurs.

6. Sélectionnez Rechercher pour exécuter la recherche à l'aide de vos critères de recherche.

7. Une fois les résultats de la recherche affichés, vous pouvez sélectionner Filtrer les résultats pour filtrer ou trier les enregistrements d’activité résultants. Malheureusement, vous ne pouvez pas utiliser le filtrage pour exclure explicitement certaines activités.

8. Pour afficher les détails d’une activité, sélectionnez l’enregistrement d’activité dans la liste des résultats de la recherche.

   Une page volante Détails s’affiche et contient les propriétés détaillées de l’enregistrement d’événement. Pour afficher des détails supplémentaires, sélectionnez Plus d’informations. Pour obtenir une description de ces propriétés, consultez la section Propriétés détaillées pour les activités eDiscovery .

9. Si vous le souhaitez, vous pouvez exporter les résultats de la recherche dans le journal d’audit dans un fichier CSV, puis utiliser la fonctionnalité Power Query Excel pour mettre en forme et filtrer ces enregistrements. Pour plus d’informations, consultez Exporter, configurer et afficher des enregistrements du journal d’audit.

Activités de découverte électronique

Le tableau suivant décrit les activités Content Recherche et eDiscovery (Standard) qui sont enregistrées lorsqu’un administrateur ou un responsable eDiscovery effectue une activité liée à eDiscovery à l’aide du portail de conformité. Certaines activités effectuées dans eDiscovery (Premium) peuvent être retournées lorsque vous recherchez des activités dans cette liste.

Remarque

Les activités eDiscovery décrites dans cette section fournissent des informations similaires aux activités de l’applet de commande eDiscovery décrites dans la section suivante. Nous vous recommandons d’utiliser les activités eDiscovery décrites dans cette section, car elles apparaîtront dans les résultats de la recherche dans le journal d’audit dans les 30 minutes. L’affichage des activités d’applet de commande eDiscovery dans les résultats de recherche du journal d’audit peut prendre jusqu’à 24 heures.

Nom convivial	Opération	Applet de commande correspondante	Description
Ajout d’un membre au cas eDiscovery	CaseMemberAdded	Add-ComplianceCaseMember	Un utilisateur a été ajouté en tant que membre d’un cas eDiscovery. En tant que membre d’un cas, un utilisateur peut effectuer diverses tâches liées à un cas selon que les autorisations nécessaires lui ont été attribuées ou non.
Recherche de contenu modifiée	SearchUpdated	Set-ComplianceSearch	Une recherche de contenu existante a été modifiée. Les modifications peuvent inclure l’ajout ou la suppression d’emplacements de contenu ou la modification de la requête de recherche.
Modification de l’appartenance de l’administrateur eDiscovery	CaseAdminUpdated	Update-eDiscoveryCaseAdmin	La liste des administrateurs eDiscovery dans votre organization a été modifiée. Cette activité est journalisée lorsque la liste des administrateurs eDiscovery est remplacée par un groupe de nouveaux utilisateurs. Si un seul utilisateur est ajouté ou supprimé, l’opération CaseAdminAdded est journalisée.
Changement de cas eDiscovery	CaseUpdated	Set-ComplianceCase	Un cas eDiscovery a été modifié. Les modifications incluent la fermeture d’un cas ouvert ou la réouverture d’un cas fermé.
Modification de l’appartenance au cas eDiscovery	CaseMemberUpdated	Update-ComplianceCaseMember	La liste d’appartenances d’un cas eDiscovery a été modifiée. Cette activité est journalisée lorsque tous les membres sont remplacés par un groupe de nouveaux utilisateurs. Si un seul membre est ajouté ou supprimé, l’opération CaseMemberAdded ou CaseMemberRemoved est journalisée.
Filtre d’autorisations de recherche modifié	SearchPermissionUpdated	Set-ComplianceSecurityFilter	Un filtre d’autorisations de recherche a été modifié.
Modification de la requête de recherche pour la conservation de cas eDiscovery	HoldUpdated	Set-CaseHoldRule	Une conservation basée sur les requêtes associée à un cas eDiscovery a été modifiée. Les modifications possibles incluent la modification de la requête ou de la plage de dates pour une conservation basée sur une requête.
Élément d’aperçu de recherche de contenu téléchargé	PreviewItemDownloaded	S/O	Un utilisateur a téléchargé un élément sur son ordinateur local (en sélectionnant le lien Télécharger l’élément d’origine ) lors de l’aperçu des résultats de la recherche.
Élément d’aperçu de la recherche de contenu répertorié	PreviewItemListed	S/O	Un utilisateur a sélectionné Aperçu des résultats de la recherche pour afficher la page des résultats de recherche en préversion, qui répertorie jusqu’à 1 000 éléments à partir des résultats d’une recherche.
Recherche de contenu créée	SearchCreated	New-ComplianceSearch	Une nouvelle recherche de contenu a été créée.
Administrateur eDiscovery créé	CaseAdminAdded	Add-eDiscoveryCaseAdmin	Un utilisateur a été ajouté en tant qu’administrateur eDiscovery dans le organization.
Cas eDiscovery créé	CaseAdded	New-ComplianceCase	Un cas eDiscovery a été créé. Lorsqu’un cas est créé, il vous suffit de lui donner un nom. D’autres tâches liées à la casse, telles que l’ajout de membres, la création de conservations et la création de recherches de contenu associées au cas, entraînent la journaliser des événements supplémentaires.
Filtre d’autorisations de recherche créé	SearchPermissionCreated	New-ComplianceSecurityFilter	Un filtre d’autorisations de recherche a été créé.
Requête de recherche créée pour la conservation de cas eDiscovery	HoldCreated	New-CaseHoldRule	Une conservation basée sur les requêtes associée à un cas eDiscovery a été créée.
Recherche de contenu supprimé	SearchRemoved	Remove-ComplianceSearch	Une recherche de contenu existante a été supprimée.
Administrateur eDiscovery supprimé	CaseAdminRemoved	Remove-eDiscoveryCaseAdmin	Un administrateur eDiscovery a été supprimé de votre organization.
Cas eDiscovery supprimé	CaseRemoved	Remove-ComplianceCase	Un cas eDiscovery a été supprimé. Toute conservation associée au cas doit être supprimée avant que le cas puisse être supprimé.
Filtre d’autorisations de recherche supprimées	SearchPermissionRemoved	Remove-ComplianceSecurityFilter	Un filtre d’autorisations de recherche a été supprimé.
Requête de recherche supprimée pour la conservation de cas eDiscovery	HoldRemoved	Remove-CaseHoldRule	Une conservation basée sur les requêtes associée à un cas eDiscovery a été supprimée. La suppression de la requête de la conservation est souvent le résultat de la suppression d’une conservation. Lorsqu’une requête de conservation ou de conservation est supprimée, les emplacements de contenu qui étaient en attente sont libérés.
Exportation téléchargée de la recherche de contenu	SearchExportDownloaded	S/O	Un utilisateur a téléchargé les résultats d’une recherche de contenu sur son ordinateur local. Une activité de recherche de contenu démarrée doit être lancée avant que les résultats de la recherche puissent être téléchargés.
Aperçu des résultats de la recherche de contenu	SearchPreviewed	S/O	Un utilisateur a affiché un aperçu des résultats d’une recherche de contenu.
Résultats purgés de la recherche de contenu	SearchResultsPurged	New-ComplianceSearchAction	Un utilisateur a vidé les résultats d’une recherche de contenu en exécutant la commande New-ComplianceSearchAction -Purge .
Suppression de l’analyse de la recherche de contenu	RemovedSearchResultsSentToZoom	Remove-ComplianceSearchAction	Une action de préparation de recherche de contenu (pour préparer les résultats de la recherche pour eDiscovery (Premium)) a été supprimée. Si l’action de préparation date de moins de deux semaines, les résultats de recherche préparés pour eDiscovery (Premium) ont été supprimés de la zone de stockage Microsoft Azure. Si l’action de préparation date de plus de 2 semaines, cet événement indique que seule l’action de préparation correspondante a été supprimée.
Suppression de l’exportation de la recherche de contenu	RemovedSearchExported	Remove-ComplianceSearchAction	Une action d’exportation de recherche de contenu a été supprimée. Si l’action d’exportation date de moins de deux semaines, les résultats de la recherche qui ont été chargés dans la zone de stockage Microsoft Azure ont été supprimés. Si l’action d’exportation date de plus de 2 semaines, cet événement indique que seule l’action d’exportation correspondante a été supprimée.
Membre supprimé du cas eDiscovery	CaseMemberRemoved	Remove-ComplianceCaseMember	Un utilisateur a été supprimé en tant que membre d’un cas eDiscovery.
Suppression des résultats de l’aperçu de la recherche de contenu	RemovedSearchPreviewed	Remove-ComplianceSearchAction	Une action d’aperçu de recherche de contenu a été supprimée.
Suppression de l’action de vidage effectuée sur la recherche de contenu	RemovedSearchResultsPurged	Remove-ComplianceSearchAction	Une action de vidage de recherche de contenu a été supprimée.
Rapport de recherche supprimé	SearchReportRemoved	Remove-ComplianceSearchAction	Une action de rapport d’exportation de recherche de contenu a été supprimée.
Début de l’analyse de la recherche de contenu	SearchResultsSentToZoom	New-ComplianceSearchAction	Les résultats d’une recherche de contenu ont été préparés pour analyse dans eDiscovery (Premium).
Recherche de contenu démarrée	SearchStarted	Start-ComplianceSearch	Une recherche de contenu a été lancée. Lorsque vous créez ou modifiez une recherche de contenu à l’aide du portail de conformité, la recherche est automatiquement démarrée.
Début de l’exportation de la recherche de contenu	SearchExported	New-ComplianceSearchAction	Un utilisateur a exporté les résultats d’une recherche de contenu.
Rapport d’exportation démarré	SearchReport	New-ComplianceSearchAction	Un utilisateur a exporté un rapport de recherche de contenu.
Recherche de contenu arrêtée	SearchStopped	Stop-ComplianceSearch	Un utilisateur a arrêté une recherche de contenu.
(aucun)	CaseViewed	Get-ComplianceCase	Un utilisateur a consulté un cas eDiscovery (Standard) dans le portail de conformité. L’enregistrement d’audit de cet événement inclut le nom du cas qui a été consulté.
(aucun)	SearchViewed	Get-ComplianceSearch	Un utilisateur a consulté une recherche de contenu dans le portail de conformité en accédant à la recherche sous l’onglet Recherches dans un cas eDiscovery (Standard) ou en y accédant sur la page de recherche de contenu . L’enregistrement d’audit de cet événement inclut l’identité de la recherche qui a été consultée.
(aucun)	ViewedSearchExported	Get-ComplianceSearchAction -Exporter	Un utilisateur a affiché une exportation de recherche de contenu dans le portail de conformité en accédant à l’exportation sous l’onglet Exportations de la page de recherche de contenu . Cette activité est également journalisée lorsqu’un utilisateur affiche une exportation associée à un cas eDiscovery (Standard).
(aucun)	ViewedSearchPreviewed	Get-ComplianceSearchAction -Préversion	Un utilisateur a affiché un aperçu des résultats d’une recherche de contenu dans le portail de conformité. Cette activité est également journalisée lorsqu’un utilisateur affiche un aperçu des résultats d’une recherche associée à un cas eDiscovery (Standard).

Activités eDiscovery (Premium)

Le tableau suivant décrit les activités eDiscovery (Premium) enregistrées dans le journal d’audit. Ces activités peuvent être utilisées pour vous aider à suivre la progression de l’activité dans un cas eDiscovery (Premium).

Nom convivial	Opération	Description
Ajouter des données dans un autre ensemble à réviser	AddWorkingSetQueryToWorkingSet	L’utilisateur a ajouté des documents d’un ensemble à réviser à un autre.
Données ajoutées au groupe à réviser	AddQueryToWorkingSet	L’utilisateur a ajouté les résultats de la recherche à partir d’une recherche de contenu associée à un cas eDiscovery (Premium) à un jeu de révision.
Ajout de données ne relevant pas de Microsoft 365 à un jeu à réviser	AddNonOffice365DataToWorkingSet	L’utilisateur a ajouté des données ne relevant pas de Microsoft 365 à un jeu à réviser.
Ajout de documents corrigés au groupe révision	AddRemediatedData	L’utilisateur charge les documents qui comportent des erreurs d’indexation qui ont été corrigées dans un groupe de révision.
Données analysées dans le groupe révision	RunAlgo	L’utilisateur a exécuté l’analytique sur les documents d’un jeu de révision.
Document annoté dans le groupe révision	AnnotateDocument	L’utilisateur a annoté un document dans un groupe de révision. L’annotation inclut rédiger du contenu dans un document.
Ensembles chargés comparés	LoadComparisonJob	Un utilisateur a comparé deux ensembles chargés différents dans un groupe de révision. Un ensemble chargé est activé lorsque les données d’une recherche de contenu associées au cas sont ajoutées à un groupe de révision.
Documents rédigés convertis au format PDF	BurnJob	L’utilisateur a converti tous les documents rédigés dans un ensemble de révision en fichiers PDF.
Ensemble de révision créée	CreateWorkingSet	L’utilisateur a créé un groupe de révision.
Configuration de la recherche de révision créée	CreateWorkingSetSearch	L’utilisateur a créé une requête de recherche qui effectue une recherche dans les documents d’un groupe de révision.
Balise créée	CreateTag	Un utilisateur a créé un groupe de balises dans un ensemble de révision. Un groupe de balises peut contenir une ou plusieurs balises enfant. Ces balises sont ensuite utilisées pour baliser des documents dans le groupe révision.
Recherche de la révision supprimée	DeleteWorkingSetSearch	Un utilisateur a supprimé une requête de recherche dans un groupe de révision.
Balise supprimée	DeleteTag	Un utilisateur a supprimé une balise ou une balise de groupe dans un groupe de révision.
Document téléchargé	DownloadDocument	Un utilisateur a téléchargé un document à partir d’un groupe de révision.
Balise modifiée	UpdateTag	Un utilisateur a modifié une balise dans un groupe de révision.
Exporter des documents d’un groupe de révision	ExportJob	L’utilisateur a exporté les documents à partir d’un groupe de révision.
Paramètre de casse modifié	UpdateCaseSettings	L’utilisateur a modifié les paramètres de casse. Les paramètres de casse incluent les informations de casse, les autorisations d’accès et les paramètres qui contrôlent le comportement des recherches et analyses.
Configuration de la recherche de révision modifiée	UpdateWorkingSetSearch	Un utilisateur a modifié une requête de recherche dans un groupe de révision.
Aperçu de configuration de la recherche de révision	PreviewWorkingSetSearch	Un utilisateur a visualisé les résultats d’une requête de recherche dans un ensemble de révision.
Documents d’erreur rectifiés	ErrorRemediationJob	L’utilisateur corrige les fichiers qui contiennent des erreurs d’indexation.
Document balisé	TagFiles	L’utilisateur a balisé un document dans un groupe de révision.
Résultats avec indicateur d’une requête	TagJob	L’utilisateur balise tous les documents qui correspondent aux critères de la requête de recherche dans un ensemble de révision.
Document visualisé dans le groupe révision	ViewDocument	Un utilisateur a consulté un document dans un groupe de révision.

Activités d’applet de commande eDiscovery

Le tableau suivant répertorie les enregistrements du journal d’audit d’applet de commande qui sont enregistrés lorsqu’un administrateur ou un utilisateur effectue une activité liée à eDiscovery à l’aide du portail de conformité ou en exécutant l’applet de commande correspondante dans Security & Compliance PowerShell. Les informations détaillées dans l’enregistrement du journal d’audit sont différentes pour les activités d’applet de commande répertoriées dans ce tableau et les activités eDiscovery décrites dans la section précédente.

Comme indiqué précédemment, l’affichage des activités d’applet de commande eDiscovery dans les résultats de recherche dans le journal d’audit peut prendre jusqu’à 24 heures.

Conseil

Les applets de commande de la colonne Operation du tableau suivant sont liées à la rubrique d’aide correspondante sur TechNet. Accédez à la rubrique d’aide sur les applets de commande pour obtenir une description des paramètres disponibles pour chaque applet de commande. Le paramètre et la valeur du paramètre qui ont été utilisés avec une applet de commande sont inclus dans l’entrée du journal d’audit pour chaque activité d’applet de commande eDiscovery journalisée.

Nom convivial	Opération (applet de commande)	Description
Conservation créée dans le cas eDiscovery	New-CaseHoldPolicy	Une conservation a été créée pour un cas eDiscovery. Une conservation peut être créée avec ou sans spécification d’une source de contenu. Si des sources de contenu sont spécifiées, elles sont identifiées dans l’entrée du journal d’audit.
Conservation supprimée d’un cas eDiscovery	Remove-CaseHoldPolicy	Une conservation associée à un cas eDiscovery a été supprimée. La suppression d’une conservation libère tous les emplacements de contenu de la conservation. La suppression de la conservation entraîne également la suppression des règles de conservation de la casse associées à la conservation (voir Remove-CaseHoldRule ci-dessous).
Conservation modifiée dans le cas eDiscovery	Set-CaseHoldPolicy	Une conservation associée à une eDiscovery a été modifiée. Les modifications possibles incluent l’ajout ou la suppression d’emplacements de contenu ou la désactivation (désactivation) de la conservation.
Requête de recherche créée pour la conservation de cas eDiscovery	New-CaseHoldRule	Une conservation basée sur les requêtes associée à un cas eDiscovery a été créée.
Requête de recherche supprimée pour la conservation de cas eDiscovery	Remove-CaseHoldRule	Une conservation basée sur les requêtes associée à un cas eDiscovery a été supprimée. La suppression de la requête de la conservation est souvent le résultat de la suppression d’une conservation. Lorsqu’une requête de conservation ou de conservation est supprimée, les emplacements de contenu qui étaient en attente sont libérés.
Modification de la requête de recherche pour la conservation de cas eDiscovery	Set-CaseHoldRule	Une conservation basée sur les requêtes associée à un cas eDiscovery a été modifiée. Les modifications possibles incluent la modification de la requête ou de la plage de dates pour une conservation basée sur une requête.
Cas eDiscovery créé	New-ComplianceCase	Un cas eDiscovery a été créé. Lorsqu’un cas est créé, il vous suffit de lui donner un nom. D’autres tâches liées à la casse, telles que l’ajout de membres, la création de conservations et la création de recherches de contenu associées au cas, entraînent la journaliser des événements supplémentaires.
Cas eDiscovery supprimé	Remove-ComplianceCase	Un cas eDiscovery a été supprimé. Toute conservation associée au cas doit être supprimée avant que le cas puisse être supprimé.
Changement de cas eDiscovery	Set-ComplianceCase	Un cas eDiscovery a été modifié. Les modifications incluent la fermeture d’un cas ouvert ou la réouverture d’un cas fermé.
Ajout d’un membre au cas eDiscovery	Add-ComplianceCaseMember	Un utilisateur a été ajouté en tant que membre d’un cas eDiscovery. En tant que membre d’un cas, un utilisateur peut effectuer diverses tâches liées à un cas selon que les autorisations nécessaires lui ont été attribuées ou non.
Membre supprimé du cas eDiscovery	Remove-ComplianceCaseMember	Un utilisateur a été supprimé en tant que membre d’un cas eDiscovery.
Modification de l’appartenance au cas eDiscovery	Update-ComplianceCaseMember	La liste d’appartenances d’un cas eDiscovery a été modifiée. Cette activité est journalisée lorsque tous les membres sont remplacés par un groupe de nouveaux utilisateurs. Si un seul membre est ajouté ou supprimé, l’opération Add-ComplianceCaseMember ou Remove-ComplianceCaseMember est journalisée.
Recherche de contenu créée	New-ComplianceSearch	Une nouvelle recherche de contenu a été créée.
Recherche de contenu supprimé	Remove-ComplianceSearch	Une recherche de contenu existante a été supprimée.
Recherche de contenu modifiée	Set-ComplianceSearch	Une recherche de contenu existante a été modifiée. Les modifications peuvent inclure l’ajout ou la suppression d’emplacements de contenu qui font l’objet d’une recherche et la modification de la requête de recherche.
Recherche de contenu démarrée	Start-ComplianceSearch	Une recherche de contenu a été lancée. Lorsque vous créez ou modifiez une recherche de contenu à l’aide de l’interface graphique graphique du portail de conformité, la recherche est automatiquement démarrée. Si vous créez ou modifiez une recherche à l’aide de l’applet de commande New-ComplianceSearch ou Set-ComplianceSearch , vous devez exécuter l’applet de commande Start-ComplianceSearch pour démarrer la recherche.
Recherche de contenu arrêtée	Stop-ComplianceSearch	Une recherche de contenu en cours d’exécution a été arrêtée.
Action de recherche de contenu créée	New-ComplianceSearchAction	Une action de recherche de contenu a été créée. Les actions de recherche de contenu incluent l’aperçu des résultats de recherche, l’exportation des résultats de recherche, la préparation des résultats de recherche pour analyse dans eDiscovery (Premium) et la suppression définitive des éléments qui correspondent aux critères de recherche d’une recherche de contenu.
Action de recherche de contenu supprimé	Remove-ComplianceSearchAction	Une action de recherche de contenu a été supprimée.
Filtre d’autorisations de recherche créé	New-ComplianceSecurityFilter	Un filtre d’autorisations de recherche a été créé.
Filtre d’autorisations de recherche supprimées	Remove-ComplianceSecurityFilter	Un filtre d’autorisations de recherche a été supprimé.
Filtre d’autorisations de recherche modifié	Set-ComplianceSecurityFilter	Un filtre d’autorisations de recherche a été modifié.
Administrateur eDiscovery créé	Add-eDiscoveryCaseAdmin	Un utilisateur a été ajouté en tant qu’administrateur eDiscovery dans votre organization.
Administrateur eDiscovery supprimé	Remove-eDiscoveryCaseAdmin	Un administrateur eDiscovery a été supprimé de votre organization.
Modification de l’appartenance de l’administrateur eDiscovery	Update-eDiscoveryCaseAdmin	La liste des administrateurs eDiscovery dans votre organization a été modifiée. Cette activité est journalisée lorsque la liste des administrateurs eDiscovery est remplacée par un groupe de nouveaux utilisateurs. Si un seul utilisateur est ajouté ou supprimé, l’opération Add-eDiscoveryCaseAdmin ou Remove-eDiscoveryCaseAdmin est journalisée.
(aucun)	Get-ComplianceCase	Cette activité est journalisée lorsqu’un utilisateur a consulté une liste de cas eDiscovery (Standard) ou eDiscovery (Premium). Cette activité est également journalisée lorsqu’un utilisateur consulte un cas spécifique dans eDiscovery (Standard). Lorsqu’un utilisateur affiche un cas spécifique, l’enregistrement d’audit inclut l’identité du cas qui a été consulté. Si l’utilisateur n’a consulté qu’une liste de cas, l’enregistrement d’audit ne contient pas d’identité de cas.
(aucun)	Get-ComplianceSearch	Cette activité est journalisée lorsqu’un utilisateur a consulté une liste de recherches de contenu ou de recherches associées à un cas eDiscovery (Standard). Cette activité est également journalisée lorsqu’un utilisateur consulte une recherche de contenu spécifique ou une recherche spécifique associée à un cas eDiscovery (Standard). Lorsqu’un utilisateur affiche une recherche spécifique, l’enregistrement d’audit inclut l’identité de la recherche qui a été consultée. Si l’utilisateur n’a consulté qu’une liste de recherches, l’enregistrement d’audit ne contient pas d’identité de recherche.
(aucun)	Get-ComplianceSearchAction	Cette activité est journalisée lorsqu’un utilisateur a consulté une liste d’actions de recherche de conformité (telles que des exportations, des aperçus ou des purges) ou des actions associées à un cas eDiscovery (Standard). Cette activité est également journalisée lorsqu’un utilisateur affiche une action de recherche de conformité spécifique (telle qu’une exportation) ou une action spécifique associée à un cas eDiscovery (Standard). Lorsqu’un utilisateur affiche une action de recherche, l’enregistrement d’audit inclut l’identité de l’action de recherche qui a été consultée. Si l’utilisateur n’a consulté qu’une liste d’actions, l’enregistrement d’audit ne contient pas d’identité d’action.

Propriétés détaillées pour les activités eDiscovery

Le tableau suivant décrit les propriétés incluses dans la page de menu volant d’une activité eDiscovery répertoriées dans les résultats de la recherche. Ces propriétés sont également incluses dans le fichier CSV lorsque vous exportez les résultats de la recherche dans le journal d’audit. Un enregistrement de journal d’audit pour une activité eDiscovery n’inclut pas toutes les propriétés détaillées répertoriées ci-dessous.

Conseil

Lorsque vous exportez les résultats de la recherche, le fichier CSV contient une colonne nommée AudtiData, qui contient les propriétés détaillées décrites dans le tableau suivant dans une propriété à valeurs multiples. Vous pouvez utiliser la fonctionnalité Power Query dans Excel pour fractionner cette colonne en plusieurs colonnes afin que chaque propriété ait sa propre colonne. Cela vous permet de trier et de filtrer sur une ou plusieurs de ces propriétés. Pour plus d’informations, consultez Recherche le journal d’audit.

Propriété	Description
Cas	Identité (GUID) du cas eDiscovery qui a été créé, modifié ou supprimé.
ClientApplication	Les activités d’applet de commande eDiscovery ont la valeur EMC pour cette propriété. Cela indique que l’activité a été effectuée à l’aide de l’interface graphique graphique du portail de conformité ou en exécutant l’applet de commande dans PowerShell.
ClientIP	Adresse IP du périphérique utilisé lors de la journalisation de l’activité. L’adresse IP apparaît au format d’adresse IPv4 ou IPv6.
ClientRequestId	Pour les activités eDiscovery, cette propriété est généralement vide.
CmdletVersion	Numéro de build de la version du portail de conformité en cours d’exécution dans votre organization.
CreationTime	Date et heure en temps universel coordonné (UTC) à laquelle l’activité eDiscovery s’est terminée.
EffectiveOrganization	Nom du organization Microsoft 365.
ExchangeLocations	Le Exchange Online boîtes aux lettres qui sont incluses dans une recherche de contenu ou mises en attente dans un cas eDiscovery.
Exclusions	Emplacements de boîte aux lettres ou de site exclus d’une recherche de contenu ou d’une conservation dans un cas eDiscovery.
ExtendedProperties	Propriétés supplémentaires d’une recherche de contenu, d’une action de recherche de contenu ou d’une conservation dans un cas eDiscovery, telles que le GUID de l’objet et les paramètres d’applet de commande et d’applet de commande correspondants qui ont été utilisés lors de l’exécution de l’activité.
ID	ID de l’entrée de rapport. L’ID identifie de manière unique l’entrée du journal d’audit.
NonPIIParameters	Liste des paramètres (sans valeurs) qui ont été utilisés avec l’applet de commande identifiée dans la propriété Operation. Les paramètres répertoriés dans cette propriété sont les mêmes que ceux répertoriés dans la propriété Parameters.
ObjectId	GUID ou nom de l’objet (par exemple, une recherche de contenu ou un cas eDiscovery (Standard) qui a été créé, consulté, modifié ou supprimé par l’activité répertoriée dans la propriété Operation. Cet objet est également identifié dans la colonne Item dans les résultats de recherche du journal d’audit.
ObjectType	Type d’objet eDiscovery que l’utilisateur a créé, supprimé ou modifié ; par exemple, une action de recherche de contenu (aperçu, exportation ou vidage), un cas eDiscovery ou une recherche de contenu.
Opération	Nom de l’opération qui correspond à l’activité eDiscovery qui a été effectuée.
OrganizationId	GUID de votre organization Microsoft 365.
Paramètres	Nom et valeur des paramètres utilisés avec l’applet de commande correspondante.
PublicFolderLocations	Les emplacements de dossiers publics dans Exchange Online inclus dans une recherche de contenu ou mis en attente dans un cas eDiscovery.
Requête	Requête de recherche associée à l’activité, telle qu’une recherche de contenu ou une conservation basée sur une requête.
RecordType	Type d’opération indiqué par l’enregistrement. La valeur 18 indique un événement lié à une activité répertoriée dans la section activités de l’applet de commande eDiscovery . La valeur 24 indique un événement lié à une activité répertoriée dans la section Comment rechercher et afficher des activités eDiscovery .
ResultStatus	Indique si l’action (indiquée dans la propriété Operation) a réussi ou non.
SecurityComplianceCenterEventType	Indique que l’activité était un événement du portail de conformité. Toutes les activités eDiscovery auront la valeur 0 pour cette propriété.
SharepointLocations	Sites SharePoint Online inclus dans une recherche de contenu ou mis en attente dans un cas eDiscovery.
StartTime	Date et heure utc (Temps universel coordonné) auxquelles l’activité eDiscovery a démarré.
UserId	Utilisateur qui a effectué l’activité (spécifiée dans la propriété Operation) qui a entraîné la journaliser l’enregistrement. Les enregistrements de l’activité eDiscovery effectuée par des comptes système (tels que NT AUTHORITY\SYSTEM) sont également inclus dans le journal d’audit.
UserKey	Autre ID pour l’utilisateur identifié dans la propriété UserId. Pour les activités eDiscovery, la valeur de cette propriété est généralement identique à la propriété UserId.
UserServicePlan	Abonnement utilisé par votre organization. Pour les activités eDiscovery, cette propriété est généralement vide.
UserType	Type d’utilisateur ayant effectué l’opération. Les valeurs suivantes indiquent le type d’utilisateur. 0 Un utilisateur normal. 2 Un administrateur dans votre organization. 3 Un compte de système de centre de données ou administrateur de centre de données Microsoft. 4 Un compte système. 5 Une application. 6 Un principal de service.
Version	Indique le numéro de version de l’activité (identifiée par la propriété Operation) enregistrée.
Charge de travail	Service où l’activité s’est produite. Pour les activités eDiscovery, la valeur est SecurityComplianceCenter.