電子檔探索的關鍵詞查詢和搜尋條件

本文說明可用來協助在 Exchange Online 中尋找電子郵件和聊天內容的屬性，以及儲存在 SharePoint 上的文件和檔案，以及使用 Microsoft Purview 合規性入口網站 中的電子檔探索搜尋工具 商務用 OneDrive。

這包括內容搜尋、Microsoft Purview 電子文件探索 (Standard) ，以及 Microsoft Purview 電子文件探索 在電子檔探索中 (進階) (電子檔探索搜尋， (Premium) 稱為集合) 。 您也可以使用 Security & Compliance PowerShell 中的 *-ComplianceSearch Cmdlet 來搜尋這些屬性。

本文也說明：

• 使用布爾搜尋運算子、搜尋條件和其他搜尋查詢技術來精簡搜尋結果。
• 在特定時間範圍中搜尋與特定員工和專案相關的各種類型的通訊。
• 搜尋特定期間內與特定項目、員工和/或主題相關的網站內容。

如需如何建立不同電子檔探索搜尋的逐步指示，請參閱：

• 內容搜尋
• 在電子檔探索 (Standard) 中搜尋內容
• 在 eDiscovery (Premium) 中建立集合估計

搜尋秘訣和訣竅

• 所有搜尋的時區都是國際標準時間 (UTC) 。 目前不支援變更組織的時區。 搜尋檢視中的時區顯示設定僅適用於 [資料] 資料 行中的值，不會影響所收集項目的時間戳。
• 關鍵詞搜尋不區分大小寫。 例如， cat 和 CAT 會傳回相同的結果。
• 布爾運算元 AND、 OR、 NOT 和 NEAR 必須是大寫。
• 使用引號會停止通配符和引號內的任何作業。
• 兩個關鍵詞或兩 property:value 個表達式之間的間距與使用 OR 相同。 例如， 會傳 from:"Sara Davis" subject:reorganization 回所有由Ara 接著傳送的訊息，或是主旨行中包含重新整理字組的訊息。 不過，在單一查詢中混合使用空格和 OR 條件可能會導致非預期的結果。 建議您在單一查詢中使用空格或 OR 。
• 使用符合格式的 property:value 語法。 值不區分大小寫，而且在 運算子後面不能有空格。 如果有空格，您預期的值就是全文搜索。 例如 to: pilarp ，搜尋 「pilarp」 作為關鍵詞，而不是傳送至 pilarp 的訊息。
• 搜尋收件者屬性時，例如收件者、收件者、副本或收件者，您可以使用 SMTP 位址、別名或顯示名稱來表示收件者。 例如，您可以使用 pilarp@contoso.com、pinarp 或 “Pilar Pinilla”。
• 您只能使用前置詞搜尋;例如， cat* 或 set*。 不支援 *cat) (後綴搜尋、 (c*t) 的 infix 搜尋，以及 (*cat*) 的子字元串搜尋。
• 搜尋屬性時，如果搜尋值包含多個字詞，請使用雙引號 (“) 。 例如， 會傳 subject:budget Q1 回在主旨行中包含 預算 ，且包含訊息中任何位置或任何訊息屬性中 Q1 的訊息。 使用會 subject:"budget Q1" 傳回主旨行中任何位置包含 預算 Q1 的所有訊息。
• 若要從搜尋結果中排除以特定屬性值標示的內容，請在屬性名稱之前加上減號 ( ) 。 例如， -from:"Sara Davis" 會排除任何由Ara 然後傳送的訊息。
• 您可以根據訊息類型匯出專案。 例如，若要在 Microsoft Teams 中匯出 Skype 交談和聊天，請使用 語 kind:im法 。 若只要傳回電子郵件訊息，您可以使用 kind:email。 若要在 Microsoft Teams 中傳回聊天、會議和通話，請使用 kind:microsoftteams。
• 搜尋網站時，當您使用 path 屬性只傳回指定網站中的專案時，必須將尾端/新增至 URL 結尾。 如果您未包含尾端 /，也會傳回具有類似路徑名稱之網站的專案。 例如，如果您使用 path:sites/HelloWorld ，則會傳回名為 sites/HelloWorld_East 或 sites/HelloWorld_West 之網站中的專案。 若只要從 HelloWorld 網站傳回專案，您必須使用 path:sites/HelloWorld/。
• 在收集內容之前，必須在搜尋查詢中定義 查詢語言/國家/地區 。
• 在搜尋 寄件 人資料夾中的電子郵件時，不支援使用寄件者的 SMTP 位址。 [ 傳送] 資料夾中的專案只包含顯示名稱。

在 Exchange Online 中尋找內容

系統管理員通常會負責找出誰知道何時能以最有效率且最有效的方式，回應有關進行中或潛在訴訟、內部調查和其他案例的要求。 這些要求通常是緊急要求、牽涉到多個項目關係人小組，如果未及時完成，則會產生重大影響。 瞭解如何尋找正確的資訊，對於系統管理員而言，成功完成搜尋並協助其組織管理與電子檔探索需求相關聯的風險和成本非常重要。

提交電子檔探索要求時，通常只有部分資訊可供系統管理員開始收集可能與特定調查相關的內容。 要求可能包括員工姓名、項目職稱、專案使用中時的粗略日期範圍，而非更多。 從這項資訊中，系統管理員必須建立查詢，以尋找Microsoft 365 服務的相關內容，以判斷特定專案或主旨所需的資訊。 瞭解如何儲存和管理這些服務的資訊，可協助系統管理員更有效地快速且有效地找出所需的資訊。

Email、聊天、會議和 Microsoft 365 Copilot 和 Microsoft Copilot 活動數據 (使用者提示和 Copilot 回應) 都會儲存在 Exchange Online 中。 有許多通訊屬性可用於搜尋包含在 Exchange Online 中的專案。 某些屬性，例如From、Sent、Subject和To是特定專案的唯一屬性，在SharePoint和 商務用 OneDrive 中搜尋檔案或檔時不相關。 在工作負載之間搜尋時包含這些類型的屬性，有時可能會導致非預期的結果。

例如，若要尋找與特定員工相關的內容， (使用者 1 和 使用者 2) 、與名為 Tradewinds 的項目相關聯，以及在 2020 年 1 月到 2022 年 1 月期間，您可以使用具有下列屬性的查詢：

• 將使用者 1 和使用者 2 的 Exchange Online 位置新增為案例的數據源
• 選取 [使用者 1] 和 [使用者 2] 的 [Exchange Online 位置] 作為集合位置
• 針對 關鍵詞，請使用 Tradewinds
• 針對 日期範圍，請使用 2020 年 1 月 1 日到 2022 年 1 月 31 日 的範圍

可搜尋的電子郵件屬性

下表列出可使用合規性入口網站中的電子檔探索搜尋工具，或使用 New-ComplianceSearch 或 Set-ComplianceSearch Cmdlet 來搜尋的電子郵件訊息屬性。

數據表包含每個 屬性的 property：value 語法範例，以及範例所傳回搜尋結果的描述。 您可以在電子檔案探索搜尋的關鍵字方塊中輸入這些 property:value 配對。

收件者擴充

在搜尋任何收件者屬性 (From、To、Cc、Bcc、Participants 和 Recipients) 時，Microsoft 365 會嘗試透過在 Microsoft Entra ID 中查閱來擴充每個使用者的身分識別。 如果在 Microsoft Entra ID 中找到使用者，則會展開查詢，以包含使用者的電子郵件位址 (或 UPN) 、別名、顯示名稱和 LegacyExchangeDN。 例如，例如 participants:ronnie@contoso.com 的查詢會展開至 participants:ronnie@contoso.com OR participants:ronnie OR participants:"Ronald Nelson" OR participants:"<LegacyExchangeDN>"。

若要防止收件者擴充，請將通配符 (星號) 新增至電子郵件地址的結尾，並使用縮減的功能變數名稱;例如， participants:"ronnie@contoso*" 請務必以雙引弧括住電子郵件位址。

不過，請注意，防止搜尋查詢中的收件者展開，可能會導致搜尋結果中未傳回相關專案。 Email 訊息可以在收件者欄位中以不同的文字格式儲存。 收件者擴充的目的是要傳回可能包含不同文字格式的訊息，以協助減輕此事實。 因此，防止收件者擴充可能會導致搜尋查詢未傳回可能與您的調查相關的所有專案。

在 SharePoint 和 OneDrive 中尋找內容

搜尋位於 SharePoint 或 商務用 OneDrive 的文件和檔案時，根據感興趣之檔和檔案的元數據調整查詢方法可能很合理。 檔案和檔具有相關的屬性，例如 Author、 Created、 CreatedBy、 FileName、 LastModifiedTime 和 Title。 在 Exchange Online 中搜尋通訊內容時，這些屬性大部分都不相關，如果在文件和通訊之間使用，則使用這些屬性可能會導致非預期的結果。 此外， 檔的 FileName 和 Title 可能不相同，而使用其中一個或另一個來嘗試尋找具有特定內容的檔案可能會導致不同或不正確的結果。 在 SharePoint 和 商務用 OneDrive 中搜尋特定文件和檔案內容時，請記住這些屬性。

例如，若要尋找與 User 1 所建立文件相關的內容、名為 Tradewinds 的專案、名為 Financials 的特定檔案，以及從 2020 年 1 月到 2022 年 1 月，您可以使用具有下列屬性的查詢：

• 將使用者 1 的 商務用 OneDrive 網站新增為案例的數據源
• 選取使用者 1 的 商務用 OneDrive 網站作為集合位置
• 將與項目相關的其他 SharePoint 網站位置新增為集合位置
• 針對 FileName，請使用 財務
• 針對 關鍵詞，請使用 Tradewinds
• 針對 日期範圍，請使用 2020 年 1 月 1 日到 2022 年 1 月 31 日 的範圍

可搜尋的網站屬性

下表列出可使用 Microsoft Purview 合規性入口網站 中的電子檔探索搜尋工具，或使用 New-ComplianceSearch 或 Set-ComplianceSearch Cmdlet 來搜尋的 SharePoint 和 商務用 OneDrive 属性。

數據表包含每個 屬性的 property：value 語法範例，以及範例所傳回搜尋結果的描述。

可搜尋的聯繫人屬性

下表列出已編製索引的聯繫人屬性，而且您可以使用電子檔探索搜尋工具進行搜尋。 這些是可供使用者針對聯繫人設定的屬性， (也稱為個人聯繫人) 位於使用者信箱的個人通訊簿中。 若要搜尋聯繫人，您可以選取要搜尋的信箱，然後在關鍵詞查詢中使用一或多個聯繫人屬性。

搜尋運算子

布爾搜尋運算元，例如 AND、 OR 和 NOT，可協助您在搜尋查詢中包含或排除特定字組，以定義更精確的搜尋。 其他技術，例如使用屬性運算符 (例如 >= 或 ..) 、引號、括號和通配符，可協助您精簡搜尋查詢。 下表列出您可以用來縮小或擴大搜尋結果的運算符。

搜尋條件

您可以將條件新增至搜尋查詢，以縮小搜尋範圍，並傳回一組更精簡的結果。 每個條件會將一個子句新增至 KQL 搜尋查詢，當您啟動搜尋時便會建立並執行。

• 一般屬性的條件
• 郵件屬性的條件
• 檔屬性的條件
• 與條件搭配使用的運算符
• 使用條件的指導方針
• 在搜尋查詢中使用條件的範例

一般屬性的條件

在相同搜尋中搜尋信箱和網站時，使用一般屬性建立條件。 下表列出新增條件時要使用的可用屬性。

郵件屬性的條件

在 Exchange Online 中搜尋信箱或公用資料夾時，使用郵件屬性建立條件。 下表列出可用於條件的電子郵件屬性。 這些屬性是先前所述電子郵件屬性的子集。 為了方便起見，會重複這些描述。

檔屬性的條件

在 SharePoint 和 商務用 OneDrive 網站上搜尋檔時，使用文檔屬性建立條件。 下表列出可用於條件的文件屬性。 這些屬性是先前描述的網站屬性子集。 為了方便起見，會重複這些描述。

與條件搭配使用的運算符

當您新增條件時，可以選取與條件的屬性類型相關的運算符。 下表描述與條件搭配使用的運算符，並列出搜尋查詢中使用的對等運算符。

使用條件的指導方針

使用搜尋條件時，請記住下列事項。

• 條件會以 AND 運算子的邏輯方式連接至關鍵字查詢 (在關鍵字方塊中指定)。 這表示結果中包含的項目必須同時滿足關鍵字查詢與條件。 這是條件協助縮小搜尋結果的方式。

• 如果您將兩個或多個的獨特條件新增至搜尋查詢 (指定不同屬性的條件)，則會使用 AND 運算子，以邏輯方式連接這些條件。 這表示只會傳回除了任何關鍵詞查詢) 之外，滿足所有條件 (的專案。

• 如果您為相同的屬性新增多個條件，則 OR 運算 符會以邏輯方式連接這些條件。 這表示會傳回滿足關鍵詞查詢和任何一個條件的專案。 因此，OR 運算符會 將相同條件的群組彼此連接，然後 AND 運算符會連接一組唯一條件。

• 如果您將多個值 (以逗號或分號分隔) 加入至單一條件，這些值會以 OR 運算子連接。 這表示如果項目在條件中包含任何指定的屬性值，則會傳回項目。

• 使用具有 Contains 和 Equals 邏輯之運算符的任何條件，都會針對簡單的字串搜尋傳回類似的搜尋結果。 簡單字串搜尋是條件中的字串，不包含通配符) 。 例如，使用 Equals any 的條件會傳回與使用 Contains any 之條件相同的專案。

• 使用關鍵詞方塊和條件所建立的搜尋查詢會顯示在 [ 搜尋 ] 頁面上所選搜尋的詳細數據窗格中。 在查詢中，表示法 (c:c) 右邊的所有項目都會指出加入查詢的條件。 (c:c) 不應用於手動建構的查詢，且不等於 AND 或 OR。

• 條件只會將屬性新增至搜尋查詢;它們不會新增運算符。 這就是為什麼詳細數據窗格中顯示的查詢不會在表示法的 (c:c) 右邊顯示運算元。 KQL 會根據執行查詢時) 先前說明的規則，新增邏輯運算子 (。

• 您可以使用拖放控件來重新排序條件的順序。 選取條件的控件，並將它向上或向下移動。

• 如先前所述，某些條件屬性可讓您輸入多個值 (以分號分隔) 。 OR 運算子會 以邏輯方式連接每個值，並產生查詢 (filetype=docx) OR (filetype=pptx) OR (filetype=xlsx)。 下圖顯示具有多個值的條件範例。

  

  注意事項

  您無法選取相同屬性) 的 [ 新增條件 ]， (新增多個條件。 相反地，您必須為條件提供多個值， (以分號分隔) ，如上一個範例所示。

在搜尋查詢中使用條件的範例

下列範例顯示具有條件之搜尋查詢的 GUI 型版本、所選搜尋 (詳細數據窗格中顯示的搜尋查詢語法，以及 Get-ComplianceSearch Cmdlet) 所傳回的搜尋查詢語法，以及對應 KQL 查詢的邏輯。

範例 1

本範例會傳回包含關鍵詞 「report」 的電子郵件專案或檔，這些關鍵詞是在 2021 年 4 月 1 日之前傳送或建立，且在電子郵件訊息的主旨欄位或檔的 title 屬性中包含 「northwind」 這個字。 查詢會排除符合其他搜尋準則的網頁。

GUI：

搜尋查詢語法：

report(c:c)(date<2021-04-01)(subjecttitle:"northwind")(-filetype:aspx)

搜尋查詢邏輯：

report AND (date<2021-04-01) AND (subjecttitle:"northwind") NOT (filetype:aspx)

範例 2

此範例會傳回 2019 年 12 月 1 日到 2020 年 11 月 30 日之間傳送的電子郵件訊息或行事曆會議，其中包含開頭為 “phone” 或 “smartphone” 的單字。

GUI：

搜尋查詢語法：

phone* OR smartphone*(c:c)(sent=2019-12-01..2020-11-30)(kind="email")(kind="meetings")

搜尋查詢邏輯：

phone* OR smartphone* AND (sent=2019-12-01..2020-11-30) AND ((kind="email") OR (kind="meetings"))

特殊字元

某些特殊字元不會包含在搜尋索引中，因此無法搜尋。 這也包括代表搜尋查詢中搜尋運算元的特殊字元。 以下是特殊字元的清單，這些字元會由實際搜尋查詢中的空白空間取代，或是造成搜尋錯誤。

+ - = : ! @ # % ^ & ; _ / ? ( ) [ ] { }

可搜尋的敏感數據類型

您可以在合規性入口網站中使用電子檔探索搜尋工具，搜尋儲存在 SharePoint 和 商務用 OneDrive 網站上檔中的敏感數據，例如信用卡號碼或社會安全號碼。 您可以使用關鍵字查詢中 SensitiveType 敏感性資訊類型的屬性和名稱 (或識別子) 來執行此動作。 例如，查詢 SensitiveType:"Credit Card Number" 會傳回包含信用卡號碼的檔。 SensitiveType:"U.S. Social Security Number (SSN)"查詢會傳回包含美國社會安全號碼的檔。

若要查看您可以搜尋的敏感性資訊類型清單，請移至合規性>入口網站中的數據分類敏感性信息類型。 或者，您可以在安全性 & 合規性 PowerShell 中使用 Get-DlpSensitiveInformationType Cmdlet 來顯示敏感性資訊類型的清單。

搜尋敏感數據類型的限制

• 若要搜尋自定義敏感性資訊類型，您必須在 屬性中 SensitiveType 指定敏感性資訊類型的標識碼。 使用自定義敏感性資訊類型的名稱 (如上一節中內建敏感性資訊類型的範例所示，) 不會傳回任何結果。 使用合規性入口網站中 [敏感性資訊類型] 頁面上的 [發行者] 數據行 (或 PowerShell 中的 Publisher 屬性) 來區分內建和自定義敏感性資訊類型。 內建敏感數據類型具有 Publisher 屬性的Microsoft Corporation 值。

  若要顯示組織中自定義敏感數據類型的名稱和標識碼，請在安全性 & 合規性 PowerShell 中執行下列命令：

  Get-DlpSensitiveInformationType | Where-Object {$_.Publisher -ne "Microsoft Corporation"} | FT Name,Id
  

  然後，您可以使用搜尋屬性中的 SensitiveType 標識碼來傳回包含自定義敏感數據類型的檔;例如， SensitiveType:7e13277e-6b04-3b68-94ed-1aeb9d47de37

• 您無法使用敏感性資訊類型和SensitiveType搜尋屬性，在信箱中搜尋待用 Exchange Online 數據。 這包括 1：1 聊天訊息、1：N 群組聊天訊息，以及Microsoft Teams 中的小組頻道交談，因為所有內容都會儲存在信箱中。 不過，您可以使用數據外洩防護 (DLP) 原則來保護傳輸中的敏感電子郵件數據。 如需詳細資訊，請 參閱了解數據外泄防護 和 搜尋及尋找個人資料。

搜尋與外部使用者共用的網站內容

您也可以在合規性入口網站中使用電子檔探索搜尋工具來搜尋儲存在 SharePoint 上的檔，以及 商務用 OneDrive 與組織外部人員共用的網站。 這可協助您識別在組織外部共用的敏感性或專屬資訊。 您可以在關鍵字查詢中使用 ViewableByExternalUsers 屬性來執行此動作。 此屬性會使用下列其中一種共用方法，傳回已與外部使用者共用的檔案或網站：

• 共享邀請，要求使用者以已驗證的使用者身分登入您的組織。
• 匿名來賓連結，可讓具有此連結的任何人存取資源，而不需要經過驗證。

範例如下：

• 此查詢 ViewableByExternalUsers:true AND SensitiveType:"Credit Card Number" 會傳回已與組織外部人員共用並包含信用卡號碼的所有專案。
• ViewableByExternalUsers:true AND ContentType:document AND site:"https://contoso.sharepoint.com/Sites/Teams"查詢會傳回組織中所有已與外部用戶共用之小組網站上的檔案清單。

與組織外部人員共用的內容為何？ 組織 SharePoint 中的檔，以及透過傳送共用邀請或在公用位置中共用的 商務用 OneDrive 網站。 例如，下列用戶活動會產生外部用戶可檢視的內容：

• 使用者與組織外部的人員共用檔案或資料夾。
• 使用者會建立共用檔案的連結，並將其傳送給組織外部的人員。 此連結可讓外部用戶檢視檔案 (或編輯) 。
• 用戶傳送共用邀請或來賓連結給組織外部的人員，以檢視共用檔案) (或編輯。

使用 ViewableByExternalUsers 屬性的問題

雖然 屬性 ViewableByExternalUsers 代表檔或網站是否與外部用戶共享的狀態，但此屬性的作用和未反映有一些注意事項。 在下列案例中，不會更新 屬性的 ViewableByExternalUsers 值，而且使用此屬性的搜尋查詢結果可能不正確。

• 共用原則的變更，例如關閉網站或組織的外部共用。 即使外部存取可能已被撤銷，屬性仍會將先前共用的文件顯示為可從外部存取。
• 變更群組成員資格，例如將外部使用者新增至 Microsoft 365 群組 或Microsoft 365 安全組。 此屬性不會針對群組可存取的項目自動更新。
• 將共用邀請傳送給收件者尚未接受邀請的外部使用者，因此還無法存取內容。

在這些案例中 ViewableByExternalUsers ，在網站或文檔庫重新編目並重新編製索引之前，屬性不會反映目前的共享狀態。

搜尋組織內共用的網站內容

如先前所述，您可以使用 SharedWithUsersOWSUser 屬性，以便搜尋組織中人員之間共用的檔。 當人員與組織內的另一位使用者共用檔案 (或資料夾) 時，共用檔案的連結會出現在與我共用之人員 商務用 OneDrive 帳戶的 [與我共用] 頁面上。 例如，若要搜尋已與並排顯示與並排顯示的檔案，您可以使用查詢 SharedWithUsersOWSUser:"sarad@contoso.com"。 如果您匯出此搜尋的結果，將會下載原始檔 (位於與Ara 共用檔之人員的內容位置) 。

使用 屬性時 SharedWithUsersOWSUser ，文件必須明確地與特定用戶共用，才能在搜尋結果中傳回。 例如，當人員在其 OneDrive 帳戶中共用檔時，可以選擇與組織內部或外部 (的任何人共用) 、只與組織內的人員共用檔，或與特定人員共用。 以下是 OneDrive 中 [共用 ] 視窗的螢幕快照，其中顯示三個共享選項。

只有使用第三個選項 (與 特定人員 共用) 共用的檔，才會由使用 屬性的 SharedWithUsersOWSUser 搜尋查詢傳回。

搜尋 商務用 Skype 交談

您可以使用下列關鍵字查詢，在 商務用 Skype 交談中特別搜尋內容：

kind:im

先前的搜尋查詢也會從 Microsoft Teams 傳回聊天。 若要避免這種情況，您可以使用下列關鍵詞查詢，將搜尋結果縮小為僅包含 商務用 Skype 交談：

kind:im AND subject:conversation

先前的關鍵詞查詢會排除Microsoft Teams中的聊天，因為 商務用 Skype 交談會儲存為電子郵件訊息，其中包含開頭為 「Conversation」 一詞的主旨行。

若要搜尋在特定日期範圍內發生的 商務用 Skype 交談，請使用下列關鍵詞查詢：

kind:im AND subject:conversation AND (received=startdate..enddate)

搜尋的字元限制

在 SharePoint 網站和 OneDrive 帳戶中搜尋內容時，搜尋查詢有 4,000 個字元的限制。 以下是搜尋查詢中字元總數的計算方式：

• 關鍵詞搜尋查詢中的字元 (包括使用者和篩選字段，) 根據此限制計算。
• 任何位置屬性中的字元 (例如所搜尋之所有 SharePoint 網站或 OneDrive 位置的 URL，) 根據此限制計算。
• 所有搜尋許可權中的字元會根據限制套用至執行搜尋計數的用戶篩選。

如需字元限制的詳細資訊，請參閱 電子檔探索搜尋限制。