Analisi degli elementi parzialmente indicizzati in eDiscoveryInvestigating partially indexed items in eDiscovery

Una ricerca di contenuto eseguita dal centro sicurezza & conformità include automaticamente gli elementi parzialmente indicizzati nei risultati della ricerca stimati durante l'esecuzione di una ricerca.A Content Search that you run from the Security & Compliance Center automatically includes partially indexed items in the estimated search results when you run a search. Gli elementi parzialmente indicizzati sono gli elementi della cassetta postale di Exchange e i documenti sui siti di SharePoint e OneDrive for business che per qualche motivo non sono stati completamente indicizzati per la ricerca.Partially indexed items are Exchange mailbox items and documents on SharePoint and OneDrive for Business sites that for some reason weren't completely indexed for search. La maggior parte dei messaggi di posta elettronica e i documenti del sito vengono indicizzati correttamente perché rientrano nei limiti di indicizzazione dei messaggi di posta elettronicaMost email messages and site documents are successfully indexed because they fall within the Indexing limits for email messages. Tuttavia, alcuni elementi possono superare questi limiti di indicizzazione e verranno parzialmente indicizzati.However, some items may exceed these indexing limits, and will be partially indexed. Di seguito sono riportati altri motivi per i quali gli elementi non possono essere indicizzati per la ricerca e vengono restituiti come elementi parzialmente indicizzati durante l'esecuzione di una ricerca di contenuto:Here are other reasons why items can't be indexed for search and are returned as partially indexed items when you run a Content Search:

  • I messaggi di posta elettronica dispongono di un file allegato di un tipo di file che non può essere indicizzato. nella maggior parte dei casi, il tipo di file non è riconosciuto o non è supportato per l'indicizzazioneEmail messages have an attached file of a file type that can't be indexed; in most cases, the file type is unrecognized or unsupported for indexing

  • I messaggi di posta elettronica dispongono di un file allegato privo di un gestore valido, ad esempio file di immagine. Questa è la causa più comune degli elementi di posta elettronica parzialmente indicizzatiEmail messages have an attached file without a valid handler, such as image files; this is the most common cause of partially indexed email items

  • Troppi file allegati a un messaggio di posta elettronicaToo many files attached to an email message

  • Un file allegato a un messaggio di posta elettronica è troppo grandeA file attached to an email message is too large

  • Il tipo di file è supportato per l'indicizzazione, ma si è verificato un errore di indicizzazione per un file specifico.The file type is supported for indexing but an indexing error occurred for a specific file

Anche se varia, la maggior parte delle organizzazioni clienti ha meno dell'1% del contenuto in base al volume e meno del 12% del contenuto in base alle dimensioni parzialmente indicizzate.Although it varies, most organizations customers have less than 1% of content by volume and less than 12% of content by size that is partially indexed. Il motivo della differenza tra il volume e la dimensione è che i file più grandi hanno una probabilità maggiore di contenere contenuto che non può essere completamente indicizzato.The reason for the difference between the volume versus size is that larger files have a higher probability of containing content that can't be completely indexed.

Dopo aver eseguito una ricerca contenuto nel centro sicurezza & conformità, il numero totale e le dimensioni degli elementi parzialmente indicizzati nei percorsi ricercati sono elencati nelle statistiche dei risultati di ricerca visualizzati nelle statistiche dettagliate per la ricerca.After you run a Content Search in the Security & Compliance Center, the total number and size of partially indexed items in the locations that were searched are listed in the search result statistics that are displayed in the detailed statistics for the search. Nota Queste sono denominate voci non indicizzate nelle statistiche di ricerca.Note these are called unindexed items in the search statistics. Di seguito sono riportati alcuni aspetti che influiscono sul numero di elementi parzialmente indicizzati restituiti nei risultati della ricerca:Here are a few things that will affect the number of partially indexed items that are returned in the search results:

  • Se un elemento è parzialmente indicizzato e corrisponde alla query di ricerca, è incluso sia nel conteggio (sia nelle dimensioni) degli elementi dei risultati di ricerca e degli elementi parzialmente indicizzati.If an item is partially indexed and matches the search query, it's included in both the count (and size) of search result items and partially indexed items. Tuttavia, quando vengono esportati i risultati della stessa ricerca, l'elemento viene incluso solo con un set di risultati di ricerca. non è incluso come elemento parzialmente indicizzato.However, when the results of that same search are exported, the item is included only with set of search results; it's not included as a partially indexed item.

  • Se si specifica un intervallo di date per una query di ricerca, inclusa nella query di parole chiave o tramite una condizione, qualsiasi elemento parzialmente indicizzato che non corrisponde all'intervallo di date non è incluso nel numero di elementi parzialmente indicizzati.If you specify a date range for a search query (by including it in the keyword query or by using a condition), any partially indexed item that doesn't match the date range isn't included in the count of partially indexed items. Solo gli elementi parzialmente indicizzati che rientrano nell'intervallo di date sono inclusi nel numero di elementi parzialmente indicizzati.Only the partially indexed items that fall within date range are included in the count of partially indexed items.

Nota: Gli elementi parzialmente indicizzati che si trovano in siti di SharePoint e OneDrive non sono inclusi nella stima degli elementi parzialmente indicizzati visualizzati nelle statistiche dettagliate per la ricerca.Note: Partially indexed items located in SharePoint and OneDrive sites are not included in the estimate of partially indexed items that's displayed in the detailed statistics for the search. Tuttavia, gli elementi parzialmente indicizzati possono essere esportati quando si esportano i risultati di una ricerca di contenuto.However, partially indexed items can be exported when you export the results of a Content Search. Ad esempio, se si cercano solo i siti in una ricerca di contenuto, gli elementi parzialmente indicizzati per il numero stimato saranno pari a zero.For example, if you only search sites in a Content Search, the estimated number partially indexed items will be zero.

Calcolo del rapporto tra gli elementi parzialmente indicizzati nell'organizzazioneCalculating the ratio of partially indexed items in your organization

Per comprendere l'esposizione dell'organizzazione a elementi parzialmente indicizzati, è possibile eseguire una ricerca per tutto il contenuto in tutte le cassette postali (utilizzando una query parola chiave vuota).To understand your organization's exposure to partially indexed items, you can run a search for all content in all mailboxes (by using a blank keyword query). Nell'esempio seguente, sono presenti 56.208 (4.830 MB) elementi completamente indicizzati e 470 (316 MB) di elementi parzialmente indicizzati.In the following example below, there are 56,208 (4,830 MB) fully indexed items and 470 (316 MB) partially indexed items.

Esempio di statistiche di ricerca che mostrano elementi parzialmente indicizzati

Per determinare la percentuale di elementi parzialmente indicizzati, è possibile utilizzare i calcoli riportati di seguito.You can determine the percentage of partially indexed items by using the following calculations.

Per calcolare il rapporto tra gli elementi parzialmente indicizzati nell'organizzazione:To calculate the ratio of partially indexed items in your organization:

(Total number of partially indexed items/Total number of items) x 100

(470/56,208) x 100 = 0.84%

Utilizzando i risultati della ricerca dell'esempio precedente, il 84% di tutti gli elementi delle cassette postali è parzialmente indicizzato.By using the search results from the previous example, .84% of all mailboxes items are partially indexed.

Per calcolare la percentuale delle dimensioni degli elementi parzialmente indicizzati nell'organizzazione:To calculate the percentage of the size of partially indexed items in your organization:

(Size of all partially indexed items/Size of all items) x 100

(316 MB/4830 MB) x 100 = 6.54%

Nell'esempio precedente, il 6,54% delle dimensioni totali degli elementi delle cassette postali è compreso tra gli elementi parzialmente indicizzati.So in the previous example, 6.54% of the total size of mailbox items are from partially indexed items. Come indicato in precedenza, la maggior parte delle organizzazioni clienti ha meno dell'1% del contenuto in base al volume e meno del 12% del contenuto in base alle dimensioni parzialmente indicizzate.As previously stated, most organizations customers have less than 1% of content by volume and less than 12% of content by size that is partially indexed.

Utilizzo di elementi parzialmente indicizzatiWorking with partially indexed items

Nei casi in cui è necessario esaminare parzialmente gli elementi per convalidare che non contengono informazioni rilevanti, è possibile esportare un rapporto di ricerca contenuto che contiene informazioni sugli elementi parzialmente indicizzati.In cases when you need to examine partially items to validate that they don't contain relevant information, you can export a content search report that contains information about partially indexed items. Quando si esporta un rapporto di ricerca contenuto, assicurarsi di scegliere una delle opzioni di esportazione che includa gli elementi parzialmente indicizzati.When you export a content search report, be sure to choose one of the export options that includes partially indexed items.

Scegliere la seconda o la terza opzione per esportare gli elementi parzialmente indicizzati

Quando si esportano i risultati della ricerca del contenuto o un rapporto di ricerca contenuto utilizzando una di queste opzioni, l'esportazione include un report denominato Items.csv non indicizzato.When you export content search results or a content search report using one of these options, the export includes a report named Unindexed Items.csv. Questo rapporto include la maggior parte delle stesse informazioni del file di ResultsLog.csv; Tuttavia, il file di Items.csv non indicizzato include anche due campi correlati agli elementi parzialmente indicizzati: tag di errore e proprietà di errore.This report includes most of the same information as the ResultsLog.csv file; however, the Unindexed Items.csv file also includes two fields related to partially indexed items: Error Tags and Error Properties. Questi campi contengono informazioni sull'errore di indicizzazione per ogni elemento parzialmente indicizzato.These fields contain information about the indexing error for each partially indexed item. L'utilizzo delle informazioni contenute in questi due campi consente di determinare se l'errore di indicizzazione per un determinato impatto dell'indagine.Using the information in these two fields can help you determine whether or not the indexing error for a particular impacts your investigation. In caso affermativo, è possibile eseguire una ricerca di contenuto mirato e recuperare ed esportare messaggi di posta elettronica specifici e documenti di SharePoint o OneDrive in modo da poterli esaminare per determinare se sono rilevanti per la propria indagine.If it does, you can perform a targeted content search and retrieve and export specific email messages and SharePoint or OneDrive documents so that you can examine them to determine if they're relevant to your investigation. Per istruzioni dettagliate, vedere preparare un file CSV per una ricerca di contenuto mirata in Office 365.For step-by-step instructions, see Prepare a CSV file for a targeted Content Search in Office 365.

Nota: Il file di Items.csv non indicizzato contiene anche campi denominati tipo di errore e messaggio di errore.Note: The Unindexed Items.csv file also contains fields named Error Type and Error Message. Si tratta di campi legacy che contengono informazioni simili alle informazioni nei campi dei tag di errore e delle proprietà di errore , ma con informazioni meno dettagliate.These are legacy fields that contain information that is similar to the information in the Error Tags and Error Properties fields, but with less detailed information. È possibile ignorare tali campi legacy.You can safely ignore these legacy fields.

I tag di errore sono costituiti da due parti di informazioni, l'errore e il tipo di file.Error tags are made up of two pieces of information, the error and the file type. Ad esempio, in questa coppia errore/filetype:For example, in this error/filetype pair:

 parseroutputsize_xls

parseroutputsize è l'errore ed xls è il tipo di file del file su cui si è verificato l'errore.parseroutputsize is the error and xls is the file type of the file the error occurred on. Nei casi in cui il tipo di file non è stato riconosciuto o il tipo di file non è stato applicato all'errore, verrà visualizzato il valore noformat al posto del tipo di file.In cases were the file type wasn't recognized or the file type was doesn't apply to the error, you will see the value noformat in place of the file type.

Di seguito è riportato un elenco di errori di indicizzazione e una descrizione della possibile causa dell'errore.The following is a list of indexing errors and a description of the possible cause of the error.

Tag di erroreError tag DescrizioneDescription
attachmentcount
Un messaggio di posta elettronica aveva troppi allegati e alcuni di questi allegati non sono stati elaborati.An email message had too many attachments, and some of these attachments weren't processed.
attachmentdepth
La funzione di recupero contenuto e l'analizzatore del documento hanno rilevato troppi livelli di allegati annidati all'interno di altri allegati.The content retriever and document parser found too many levels of attachments nested inside other attachments. Alcuni di questi allegati non sono stati elaborati.Some of these attachments were not processed.
attachmentrms
Un allegato non è stato in grado di decodificare perché è protetto da RMS.An attachment failed decoding because it was RMS-protected.
attachmentsize
Un file allegato a un messaggio di posta elettronica è troppo grande e non è stato possibile elaborarlo.A file attached to an email message was too large and couldn't be processed.
indexingtruncated
Quando si scrive il messaggio di posta elettronica elaborato nell'indice, una delle proprietà indicizzabili è troppo grande ed è stata troncata.When writing the processed email message to the index, one of the indexable properties was too large and was truncated. Le proprietà troncate sono elencate nel campo proprietà errore.The truncated properties are listed in Error Properties field.
invalidunicode
Un messaggio di posta elettronica contiene testo che non può essere elaborato come Unicode valido.An email message contained text that couldn't be processed as valid Unicode. L'indicizzazione per questo elemento potrebbe essere incompleta.Indexing for this item may be incomplete.
parserencrypted
Il contenuto dell'allegato o del messaggio di posta elettronica è crittografato e Microsoft 365 non è in grado di decodificare il contenuto.The content of attachment or email message is encrypted, and Microsoft 365 couldn't decode the content.
parsererror
Si è verificato un errore sconosciuto durante l'analisi.An unknown error occurred during parsing. Questo in genere deriva da un errore del software o da un arresto del servizio.This typically results from a software bug or a service crash.
parserinputsize
Un allegato è troppo grande per la gestione del parser e l'analisi di tale allegato non è stata eseguita o non è stata completata.An attachment was too large for the parser to handle, and the parsing of that attachment didn't happen or wasn't completed.
parsermalformed
Un allegato non è stato corretto e non è stato possibile gestirlo dal parser.An attachment was malformed and couldn't be handled by the parser. Questo risultato può essere costituito da vecchi formati di file, file creati da software incompatibili o virus che fingono di essere diversi da quelli richiesti.This result from can old file formats, files created by incompatible software, or viruses pretending to be something other than claimed.
parseroutputsize
L'output dell'analisi di un allegato è troppo grande e deve essere troncato.The output from the parsing of an attachment was too large and had to be truncated.
parserunknowntype
Un allegato ha un tipo di file che Microsoft 365 non è in grado di rilevare.An attachment had a file type that Microsoft 365 couldn't detect.
parserunsupportedtype
Un allegato aveva un tipo di file rilevato da Office 365could, ma l'analisi del tipo di file non è supportata.An attachment had a file type that Office 365could detect, but parsing that file type isn't supported.
propertytoobig
Il valore di una proprietà di posta elettronica nell'archivio di Exchange era troppo grande per essere recuperato e il messaggio non è stato elaborato.The value of an email property in Exchange Store was too large to be retrieved and the message couldn't be processed. Questo accade in genere solo alla proprietà Body di un messaggio di posta elettronica.This typically only happens to the body property of an email message.
retrieverrms
La funzione di recupero contenuto non è riuscita a decodificare un messaggio protetto da RMS.The content retriever failed to decode an RMS-protected message.
wordbreakertruncated
Nel documento sono state identificate troppe parole durante l'indicizzazione.Too many words were identified in the document during indexing. L'elaborazione della proprietà si è interrotta al raggiungimento del limite e la proprietà è troncata.Processing of the property stopped when reaching the limit, and the property is truncated.

Nei campi di errore vengono descritti i campi che sono stati modificati dall'errore di elaborazione elencato nel campo tag error.Error fields describe which fields are affected by the processing error listed in the Error Tags field. Se si esegue la ricerca di una proprietà subject , ad esempio participants , gli errori nel corpo del messaggio non influiscono sui risultati della ricerca.If you're searching a property such as subject or participants, errors in the body of the message won't impact the results of your search. Questo può essere utile quando si determinano esattamente gli elementi parzialmente indicizzati che potrebbe essere necessario approfondire.This can be useful when determining exactly which partially indexed items you might need to further investigate.

Utilizzo di uno script di PowerShell per determinare l'esposizione dell'organizzazione a elementi di posta elettronica parzialmente indicizzatiUsing a PowerShell script to determine your organization's exposure to partially indexed email items

Nei passaggi seguenti viene illustrato come eseguire uno script di PowerShell che consente di cercare tutti gli elementi in tutte le cassette postali di Exchange e quindi di generare un report sul rapporto tra l'organizzazione e gli elementi di posta elettronica parzialmente indicizzati (conta e per dimensione) e visualizza il numero di elementi (e il relativo tipo di file) per ogni errore di indicizzazione che si verifica.The following steps show you how to run a PowerShell script that searches for all items in all Exchange mailboxes, and then generates a report about your organization's ratio of partially indexed email items (by count and by size) and displays the number of items (and their file type) for each indexing error that occurs. Utilizzare le descrizioni dei tag di errore nella sezione precedente per identificare l'errore di indicizzazione.Use the error tag descriptions in the previous section to identify the indexing error.

  1. Salvare il testo seguente in un file di script di Windows PowerShell utilizzando un suffisso FileName di. ps1. ad esempio, PartiallyIndexedItems.ps1 .Save the following text to a Windows PowerShell script file by using a filename suffix of .ps1; for example, PartiallyIndexedItems.ps1.
  write-host "**************************************************"
  write-host "     Security & Compliance Center      " -foregroundColor yellow -backgroundcolor darkgreen
  write-host "   eDiscovery Partially Indexed Item Statistics   " -foregroundColor yellow -backgroundcolor darkgreen
  write-host "**************************************************"
  " " 
  # Create a search with Error Tags Refinders enabled
  Remove-ComplianceSearch "RefinerTest" -Confirm:$false -ErrorAction 'SilentlyContinue'
  New-ComplianceSearch -Name "RefinerTest" -ContentMatchQuery "size>0" -RefinerNames ErrorTags -ExchangeLocation ALL
  Start-ComplianceSearch "RefinerTest"
  # Loop while search is in progress
  do{
      Write-host "Waiting for search to complete..."
      Start-Sleep -s 5
      $complianceSearch = Get-ComplianceSearch "RefinerTest"
  }while ($complianceSearch.Status -ne 'Completed')
  $refiners = $complianceSearch.Refiners | ConvertFrom-Json
  $errorTagProperties = $refiners.Entries | Get-Member -MemberType NoteProperty
  $partiallyIndexedRatio = $complianceSearch.UnindexedItems / $complianceSearch.Items
  $partiallyIndexedSizeRatio = $complianceSearch.UnindexedSize / $complianceSearch.Size
  " "
  "===== Partially indexed items ====="
  "         Total          Ratio"
  "Count    {0:N0}{1:P2}" -f $complianceSearch.Items.ToString("N0").PadRight(15, " "), $partiallyIndexedRatio
  "Size(GB) {0:N2}{1:P2}" -f ($complianceSearch.Size / 1GB).ToString("N2").PadRight(15, " "), $partiallyIndexedSizeRatio
  " "
  Write-Host ===== Reasons for partially indexed items =====
  foreach($errorTagProperty in $errorTagProperties)
  {
      $name = $refiners.Entries.($errorTagProperty.Name).Name
      $count = $refiners.Entries.($errorTagProperty.Name).TotalCount
      $frag = $name.Split("{_}")
      $errorTag = $frag[0]
      $fileType = $frag[1]
      if ($errorTag -ne $lastErrorTag)
      {
          $errorTag
      }
      "    " + $fileType + " => " + $count
      $lastErrorTag = $errorTag
  }
  
  1. Connettersi a PowerShell in Centro sicurezza e conformità.Connect to Security & Compliance Center PowerShell.

  2. In PowerShell Centro sicurezza & conformità, passare alla cartella in cui è stato salvato lo script nel passaggio 1, quindi eseguire lo script. Per esempio:In Security & Compliance Center PowerShell, go to the folder where you saved the script in step 1, and then run the script; for example:

    .\PartiallyIndexedItems.ps1
    

Di seguito è riportato un esempio per l'output restituito dallo script.Here's an example fo the output returned by the script.

Esempio di output da script che genera un report sull'esposizione dell'organizzazione a elementi di posta elettronica parzialmente indicizzati

Tenere presente quanto segue:Note the following:

  1. Il numero totale e le dimensioni degli elementi di posta elettronica e il rapporto tra l'organizzazione e gli elementi di posta elettronica parzialmente indicizzati (conteggio e per dimensione)The total number and size of email items, and your organization's ratio of partially indexed email items (by count and by size)

  2. Tag di errore dell'elenco e tipi di file corrispondenti per i quali si è verificato l'errore.A list error tags and the corresponding file types for which the error occurred.

Vedere ancheSee also

Partially indexed items in Content Search in Office 365 (Elementi parzialmente indicizzati in Ricerca contenuto in Office 365)Partially indexed items in Content Search in Office 365