Microsoft Purview eDiscovery

Il n’y a pas de serveur. La messagerie tourne dans le nuage, comme le reste de l’administration, et les ordinateurs que vous trouvez sur les lieux ne contiennent tout au plus qu’un cache local de ce qui se trouve dans le tenant. Chercher en local n’a alors aucun sens, et le tenant Microsoft 365 est le seul chemin vers les pièces demandées.

Cette constatation a sa place dans le rapport, et pas en incise. Elle justifie pourquoi vous travaillez ensuite par l’intermédiaire de l’administrateur d’un environnement qui n’est pas le vôtre, et pourquoi la captation ne ressemble pas à une copie ordinaire de disque.

Droits et conditions d’accès à surveiller
Le droit d’accès exact pour l’export n’est disponible qu’au sein du groupe de rôles eDiscovery Manager. Vérifiez auprès de l’administrateur informatique que ce rôle est bien attribué.

Des droits que personne ne possède d’office

Purview eDiscovery est protégé par son propre modèle de rôles, distinct de l’administration ordinaire. Un compte doté de droits d’administration globaux ne peut pas effectuer d’export eDiscovery tant que le rôle correspondant n’a pas été attribué explicitement : le rôle Export ne figure que dans le groupe de rôles eDiscovery Manager (avec le sous-groupe eDiscovery Administrator). Des groupes de rôles comme Compliance Administrator et Organization Management reçoivent bien Case Management, Compliance Search et Hold, mais ni Export ni Preview.

En pratique : « nous vous avons mis administrateur » ne suffit pas, et vous ne vous en apercevez qu’au moment où le bouton Export manque à l’appel. Faites-vous ajouter par l’administrateur informatique au groupe de rôles eDiscovery Manager, dans le portail Purview via Settings → Role groups.

Deux conditions accompagnent cet accès, et elles pèsent plus lourd qu’elles n’en ont l’air :

  • Demandez un accès personnel et non partagé, sur votre propre adresse électronique. Chaque opération dans le tenant est journalisée sur un compte. Sur un compte d’administration partagé, ce journal ne prouve rien quant à l’auteur de chaque opération, et donc rien non plus quant à ce que vous n’avez pas fait. Microsoft considère d’ailleurs les liens de téléchargement d’un paquet d’export comme personnels et non partageables.
  • Refermez la boucle par écrit. Confirmez à l’administrateur, une fois le téléchargement réussi, que l’accès peut être refermé, et notez ce moment. Portez au rapport tant l’ouverture que la fermeture. Cette boucle fait la différence entre une intervention défendable et une intervention attaquable dans l’environnement d’autrui.

Les étapes

  1. Faire attribuer les droits comme ci-dessus, et vérifier que le rôle Export en fait effectivement partie avant de fixer un rendez-vous.
  2. Ouvrir un case, nommé d’après la mission.
  3. Lancer une recherche nominative : tout ce qui est rattaché au compte et à l’adresse électronique, avec les bornes de dates imposées par le juge. Conservez le texte exact de la requête et les emplacements retenus, car c’est ce que vous devez pouvoir montrer si l’on vous demande comment la sélection s’est constituée.
  4. Demander l’export depuis la recherche, avec les réglages du paragraphe suivant. Microsoft prépare le paquet en arrière-plan.
  5. Télécharger, décompresser et hacher, et seulement ensuite faire refermer l’accès.

Les réglages qui comptent dans une mission judiciaire

Format d’export. Create PSTs for messages fournit des fichiers PST qui s’ouvrent dans un client de messagerie ; Create .msg files for messages fournit des messages isolés. Le PST est le choix exploitable pour une boîte aux lettres ; les fichiers .msg séparés rendent service lorsque des messages individuels doivent figurer comme pièces numérotées dans un dossier.

Taille des paquets. La taille maximale d’un paquet PST se règle sur 1, 2, 5 (valeur par défaut) ou 10 Go, et le zip maximal sur 2, 10 (valeur par défaut), 20 ou 40 Go. Microsoft ne va pas au-delà de dix gigaoctets, parce que les gros fichiers PST sont sensibles à la corruption. Attendez-vous donc à ce qu’une boîte bien remplie revienne en plusieurs PST. Numérotez-les, hachez-les un par un et mentionnez-les tous dans le rapport ; une seule empreinte sur l’ensemble ne dit rien du fichier que la partie adverse ouvrira tout à l’heure.

Organize data from different locations into separate folders or PSTs. À activer : vous obtenez un PST par boîte, nommé d’après l’adresse, de sorte que la provenance reste lisible dans le nom du fichier. Notez que la boîte principale et l’archive sont de toute façon fusionnées dans le même PST.

Include folder and path of the source. À activer. Sans cette option, tous les messages atterrissent à la racine du PST et la structure de dossiers d’origine ne subsiste plus que dans le rapport. Or cette structure est souvent une constatation à elle seule.

Items.csv. Le rapport de traitement joint à l’export est votre inventaire : il contient pour chaque élément la source, le chemin d’origine et les métadonnées. C’est là l’instrument de comptage, pas le client de messagerie.

Pièges

L’export dure des heures. Près de trois heures n’a rien d’exceptionnel. Organisez-vous en conséquence : les dernières étapes se font depuis votre propre bureau. Un export qui dépasse sept jours est interrompu automatiquement. Découpez donc un ensemble volumineux par plage de dates ou par source.

Le paquet disparaît après quatorze jours. Un export issu d’une recherche expire quatorze jours après sa création, après quoi le paquet et toutes les données qu’il contient sont supprimés automatiquement et irrévocablement. Téléchargez donc sans attendre, et mettez immédiatement les fichiers à l’abri. Reporter le téléchargement au retour de congé, c’est refaire tourner tout l’export, avec une nouvelle intervention dans l’environnement d’autrui à la clé.

Il ne vient pas que du courrier. Les messages de conversation Teams et Skype sont conservés dans la boîte aux lettres : une recherche nominative les emporte donc, même lorsque la mission parle de « courrier électronique ». Il existe en outre une option distincte qui ajoute les messages Teams et Viva Engage dans une fenêtre de douze heures avant et après chaque élément trouvé : c’est du contexte assumé, qui ne répond pas lui-même à la requête. Des données provenant d’autres applications logées dans la boîte peuvent également se retrouver en HTML dans le paquet. Décidez avant l’export de ce qui peut suivre, et consignez votre choix.

Le compteur de dossiers du client de messagerie n’est pas un comptage. Pour certains dossiers, il affiche le nombre d’éléments non lus, pas le total. Reprendre ce chiffre revient à publier un nombre erroné dans une pièce qui sort sous votre signature. Comptez à partir d’Items.csv.

Le courrier supprimé se trouve à part, ou nulle part. Les messages supprimés vivent dans le dossier des éléments récupérables et non parmi le courrier ordinaire. S’ils sont expressément demandés, vérifiez que ce dossier figure réellement dans le paquet. Et précisez ce que l’environnement pouvait encore conserver : sans obligation de conservation ni hold, ce qui tombait hors du délai de rétention a définitivement disparu. Ce n’est pas un export raté, c’est une constatation.

La décompression ne se fait pas avec l’Explorateur Windows. Les chemins longs butent sur la limite du système de fichiers ; utilisez 7-Zip ou équivalent. Les programmes de décompression peuvent en outre modifier les propriétés des fichiers. Pour les horodatages, la référence est Items.csv, pas ce que vous voyez dans le dossier.

La scission A/B

Un export nominatif contient presque toujours plus que ce que couvre la mission. Ce n’est pas à l’expert de trancher ce nœud : ce qu’une partie finit par voir, c’est le juge qui en décide.

Livrez dès lors deux ensembles :

  • Catégorie A : l’export brut, conservé intégralement et sans modification comme matériau source, avec les valeurs de hachage.
  • Catégorie B : l’ensemble produit, contenant uniquement ce qui relève sans conteste de la mission.

Décrivez les deux dans le rapport, produisez B, et tenez A à disposition sous protection. Vous ne résolvez pas la question du périmètre, vous la rendez décidable, et c’est là que s’arrête le rôle de l’expert.

La scission A/B L'export nominatif se scinde en catégorie A, le matériau source conservé sous protection, et catégorie B, la production qui est livrée. C'est le juge qui décide du périmètre, pas l'expert. Export nominatif Catégorie A source, valeurs de hachage conservée sous protection, non livrée Catégorie B production : ce qui relève sans conteste de la mission, est livrée C'est le juge qui tranche l'accès à la catégorie B, pas l'expert.

La vérification reste minimale

Si la mission ne demande pas d’analyse de fond, vous contrôlez seulement que l’export a réussi :

  • triez par date et notez le message le plus ancien et le plus récent, ce qui établit que les bornes de dates imposées ont été correctement appliquées ;
  • énumérez les catégories de dossiers présentes.

Rien de plus. Écrivez aussi expressément que le contrôle s’est limité à cela, afin que nul ne puisse supposer par la suite que vous avez lu le contenu.

Sources

Les noms d’écran du portail Purview changent régulièrement ; la logique sous-jacente, non. En cas de doute, allez à la documentation elle-même :