Differenze tra i risultati della ricerca di eDiscovery stimati ed effettivi

Questo articolo si applica alle ricerche che è possibile eseguire usando uno degli strumenti di Microsoft Purview eDiscovery seguenti:

• Ricerca contenuto
• eDiscovery (Standard)

Quando si esegue una ricerca di eDiscovery, lo strumento in uso restituirà una stima del numero di elementi (e delle relative dimensioni totali) che corrispondono ai criteri di ricerca. Ad esempio, quando si esegue una ricerca nel Portale di conformità di Microsoft Purview, i risultati della ricerca stimati vengono visualizzati nella pagina del riquadro a comparsa per la ricerca selezionata.

Si tratta della stessa stima delle dimensioni totali e del numero di elementi visualizzati nello strumento di esportazione eDiscovery quando si esportano i risultati in un computer locale e nel report Riepilogo esportazione scaricato con i risultati della ricerca.

Risultati stimati nello strumento di esportazione eDiscovery

Risultati stimati nel report Di riepilogo esportazione

Tuttavia, come si noterà nello screenshot precedente del report Di riepilogo esportazione, le dimensioni e il numero dei risultati effettivi della ricerca scaricati sono diversi da quelli delle dimensioni e del numero di risultati della ricerca stimati.

Ecco alcuni motivi per queste differenze:

• Il modo in cui vengono stimati i risultati. Una stima dei risultati della ricerca è semplicemente una stima (e non un conteggio effettivo) degli elementi che soddisfano i criteri della query di ricerca. Per compilare la stima degli elementi di Exchange, viene richiesto un elenco degli ID messaggio che soddisfano i criteri di ricerca dal database di Exchange tramite lo strumento eDiscovery in uso. Tuttavia, quando si esportano i risultati della ricerca, la ricerca viene rieseguita e i messaggi effettivi vengono recuperati dal database di Exchange. Queste differenze potrebbero quindi verificarsi a causa del modo in cui vengono determinati il numero stimato di elementi e il numero effettivo di elementi.

• Modifiche che si verificano tra il momento in cui si stimano ed esportano i risultati della ricerca. Quando si esportano i risultati della ricerca, la ricerca viene riavviata per raccogliere gli elementi più recenti nell'indice di ricerca che soddisfano i criteri di ricerca. È possibile che siano stati creati, inviati o ricevuti elementi aggiuntivi che soddisfano i criteri di ricerca nel periodo tra la raccolta dei risultati della ricerca stimati e l'esportazione dei risultati della ricerca. È anche possibile che gli elementi presenti nell'indice di ricerca quando i risultati della ricerca sono stati stimati non siano più presenti perché sono stati eliminati dal percorso del contenuto prima dell'esportazione dei risultati della ricerca. Un modo per attenuare questo problema consiste nel specificare un intervallo di date per una ricerca di eDiscovery. Un altro modo consiste nell'inserire un blocco nelle posizioni del contenuto in modo che gli elementi vengano conservati e non possano essere eliminati.

  Ecco altri problemi che possono verificarsi sono le differenze tra i risultati della ricerca stimati ed esportati:

  • Aumento degli elementi quando si usa una query di data. Ciò è in genere causato dai due aspetti seguenti:
    • Mantenere il controllo delle versioni in SharePoint. Se viene eliminato un documento da un sito sottoposto ad archiviazione ed è abilitato il controllo delle versioni dei documenti, verranno mantenute tutte le versioni del documento eliminato.
    • Elementi del calendario. Accettare e rifiutare messaggi e le riunioni ricorrenti continueranno automaticamente a creare nuovi elementi in background con le date precedenti.
  • Con i blocchi, possono essere presenti casi in cui lo stesso elemento viene conservato nella cassetta postale primaria di un utente e nella cassetta postale di archiviazione. Ciò può verificarsi quando un utente sposta manualmente un elemento nel proprio archivio.
  • Anche se raro, anche nel caso in cui venga applicato un blocco, la manutenzione degli elementi predefiniti del calendario (che non sono modificabili dall'utente, ma sono inclusi in molti risultati di ricerca) può essere rimossa di volta in volta. Questa rimozione periodica degli elementi del calendario comporterà un minor numero di elementi esportati.

• Elementi non indicizzati. Gli elementi non indicizzati per la ricerca possono causare differenze tra i risultati della ricerca stimati ed effettivi. È possibile includere elementi non indicizzati quando si esportano i risultati della ricerca. Se si includono elementi non indicizzati durante l'esportazione dei risultati della ricerca, potrebbero essere presenti altri elementi esportati. Ciò causerà una differenza tra i risultati della ricerca stimati ed esportati.

  Quando si usa lo strumento Ricerca contenuto, è possibile includere elementi non indicizzati quando si esportano i risultati della ricerca. Il numero di elementi non indicizzati restituiti dalla ricerca è elencato nella pagina a comparsa insieme agli altri risultati della ricerca stimati. Eventuali elementi non indicizzati verranno inclusi anche nelle dimensioni totali dei risultati della ricerca stimati. Quando si esportano i risultati della ricerca, è possibile includere o meno elementi non indicizzati. La configurazione di queste opzioni potrebbe comportare differenze tra i risultati di ricerca stimati e quelli effettivi scaricati.

• Esportazione dei risultati di una ricerca contenuto che include tutti i percorsi del contenuto. Se la ricerca da cui si esportano i risultati è una ricerca di tutti i percorsi di contenuto dell'organizzazione, verranno esportati solo gli elementi non indicizzati provenienti da posizioni di contenuto contenenti elementi che corrispondono ai criteri di ricerca. In other words, if no search results are found in a mailbox or site, then any unindexed items in that mailbox or site won't be exported. Tuttavia, gli elementi non indicizzati di tutti i percorsi di contenuto (anche quelli che non contengono elementi che corrispondono alla query di ricerca) verranno inclusi nei risultati della ricerca stimati.

  In alternativa, se la ricerca che si sta esportando i risultati da percorsi di contenuto specifici inclusi, gli elementi non indicizzati (che non sono esclusi dai criteri di ricerca) da tutti i percorsi di contenuto specificati nella ricerca verranno esportati. In questo caso, il numero stimato di elementi non indicizzati e il numero di elementi non indicizzati esportati devono essere uguali.

  Il motivo per cui non si esportano elementi non indicizzati da ogni posizione dell'organizzazione è che potrebbe aumentare la probabilità di errori di esportazione e aumentare il tempo necessario per esportare e scaricare i risultati della ricerca.

• Gli elementi non indicizzati in SharePoint e OneDrive non sono inclusi nelle stime di ricerca. Gli elementi non indicizzati dai siti di SharePoint e dagli account OneDrive for Business non sono inclusi nei risultati della ricerca stimati. Questo perché l'indice di SharePoint non contiene dati per gli elementi non indicizzati. Solo gli elementi non indicizzati delle cassette postali sono inclusi nelle stime di ricerca. Tuttavia, se si includono elementi non indicizzati durante l'esportazione dei risultati della ricerca, vengono inclusi gli elementi non indicizzati in SharePoint e OneDrive, che aumenteranno il numero di elementi effettivamente esportati. Ciò comporterà differenze tra i risultati stimati (che non includono elementi non indicizzati nei siti di SharePoint e OneDrive) e gli elementi effettivi scaricati. La regola sull'esportazione di elementi non indicizzati solo da percorsi di contenuto che contengono elementi che corrispondono ai criteri di ricerca si applica ancora in questa situazione.

• Versioni dei documenti in SharePoint e OneDrive. Durante la ricerca di siti di SharePoint e account di OneDrive, più versioni di un documento non sono incluse nel conteggio dei risultati di ricerca stimati. È tuttavia possibile includere tutte le versioni dei documenti quando si esportano i risultati della ricerca. Se si includono le versioni dei documenti durante l'esportazione dei risultati della ricerca, il numero effettivo (e le dimensioni totali) degli elementi esportati verrà aumentato.

• Cartelle di SharePoint. Se le cartelle in SharePoint corrispondono a una query di ricerca, ad esempio la ricerca in base alla data, la stima della ricerca includerà un conteggio di tali cartelle con l'intervallo di date dell'ultima modifica (ma non gli elementi in tali cartelle). Quando si esportano i risultati della ricerca, gli elementi nella cartella vengono esportati, ma la cartella effettiva non viene esportata. Il risultato è che il numero di elementi esportati sarà maggiore del numero di risultati di ricerca stimati. Se una cartella è vuota, il numero di risultati di ricerca effettivi esportati verrà ridotto di un elemento, perché la cartella effettiva non viene esportata.

  Nota

  Quando si esegue una ricerca basata su query, è possibile escludere le cartelle di SharePoint aggiungendo la condizione seguente alla query: NOT(ContentType:folder).

• Elenchi di SharePoint. Se il nome di un elenco di SharePoint corrisponde a una query di ricerca, la stima della ricerca includerà un conteggio di tutti gli elementi nell'elenco. Quando si esportano i risultati della ricerca, l'elenco e gli elementi dell'elenco vengono esportati come un singolo file CSV. In questo modo si ridurrà il numero effettivo di elementi effettivamente esportati. Se l'elenco contiene allegati, gli allegati verranno esportati come documenti separati, aumentando anche il numero di elementi esportati.

  Nota

  Quando si esegue una ricerca basata su query, è possibile escludere gli elenchi di SharePoint aggiungendo la condizione seguente alla query: NOT(ContentType:list).

• Formati di file non elaborati rispetto ai formati di file esportati. Per gli elementi di Exchange, le dimensioni stimate dei risultati della ricerca vengono calcolate usando le dimensioni dei messaggi di Exchange non elaborati. Tuttavia, i messaggi di posta elettronica vengono esportati in un file PST o come singoli messaggi (formattati come file EML). Entrambe queste opzioni di esportazione usano un formato di file diverso rispetto ai messaggi di Exchange non elaborati, il che comporta una dimensione totale del file esportata diversa rispetto alle dimensioni del file stimate.

• Deduplicazione degli elementi di Exchange durante l'esportazione. Per gli elementi di Exchange, la deduplicazione riduce il numero di elementi esportati. È possibile duplicare i risultati della ricerca quando li si esporta. Per i messaggi di Exchange, ciò significa che viene esportata solo una singola istanza di un messaggio, anche se tale messaggio può essere trovato in più cassette postali. I risultati della ricerca stimati includono ogni istanza di un messaggio. Pertanto, se si sceglie l'opzione di deduplicazione durante l'esportazione dei risultati della ricerca, il numero effettivo di elementi esportati potrebbe essere notevolmente inferiore al numero stimato di elementi.

Il report dei risultati della ricerca (Results.csv file) contiene una voce per ogni messaggio duplicato e identifica la cassetta postale di origine in cui si trova un messaggio duplicato. In questo modo è possibile identificare tutte le cassette postali che contengono un messaggio duplicato.

Nota

Se non si seleziona l'opzione Include items that are encrypted or have an unrecognized format (Includi elementi crittografati o con formato non riconosciuto) quando si esportano i risultati della ricerca o semplicemente si scaricano i report, i report degli errori di indice vengono scaricati ma non contengono voci. Ciò non significa che non ci siano errori di indicizzazione. Significa solo che gli elementi non indicizzati non sono stati inclusi nell'esportazione.