Powershell поиск писем в outlook
This cmdlet is available in on-premises Exchange and in the cloud-based service. Some parameters and settings may be exclusive to one environment or the other.
Use the Search-Mailbox cmdlet to search a mailbox and copy the results to a specified target mailbox, delete messages from the source mailbox, or both.
Note: In cloud-based environments, the Search-Mailbox cmdlet is being deprecated in favor of New-ComplianceSearch and related eDiscovery cmdlets.
By default, Search-Mailbox is available only in the Mailbox Search or Mailbox Import Export roles, and these roles aren't assigned to any role groups. To use this cmdlet, you need to add one or both of the roles to a role group (for example, the Organization Management role group). Only the Mailbox Import Export role gives you access to the DeleteContent parameter. For more information about adding roles to role groups, see Add a role to a role group.
For information about the parameter sets in the Syntax section below, see Exchange cmdlet syntax.
Syntax
Description
You can use the Search-Mailbox cmdlet to search messages in a specified mailbox and perform any of the following tasks:
- Copy messages to a specified target mailbox.
- Delete messages from the source mailbox. You have to be assigned the Mailbox Import Export management role to delete messages.
- Perform single item recovery to recover items from a user's Recoverable Items folder.
- Clean up the Recoverable Items folder for a mailbox when it has reached the Recoverable Items hard quota.
Examples
Example 1
This example searches the mailbox of Joe Healy and copies the search results to the DiscoveryMailbox in the folder JoeHealy-ProjectHamilton.
Example 2
This example searches April Stewart's mailbox for messages that contain the phrase "Your bank statement" in the subject and logs the result in the SearchAndDeleteLog folder in the administrator's mailbox. Messages aren't copied to the target mailbox.
Example 3
This example searches April Stewart's mailbox for messages that contain the phrase "Your bank statement" in the subject and deletes the messages from the source mailbox. You have to be assigned the Mailbox Import Export management role to use the DeleteContent switch.
Example 4
This example searches all mailboxes in your organization for messages that contain the words "election", "candidate", or "vote". The search results are copied to the Discovery Search Mailbox in the folder AllMailboxes-Election.
Parameters
The Confirm switch specifies whether to show or hide the confirmation prompt. How this switch affects the cmdlet depends on if the cmdlet requires confirmation before proceeding.
- Destructive cmdlets (for example, Remove-* cmdlets) have a built-in pause that forces you to acknowledge the command before proceeding. For these cmdlets, you can skip the confirmation prompt by using this exact syntax: -Confirm:$false .
- Most other cmdlets (for example, New-* and Set-* cmdlets) don't have a built-in pause. For these cmdlets, specifying the Confirm switch without a value introduces a pause that forces you acknowledge the command before proceeding.
Note: You need to be assigned the Mailbox Import Export management role to use this switch. By default, this role isn't assigned to any role group (including Organization Management). Typically, you assign a role to a built-in or custom role group.
The DeleteContent switch specifies that the messages returned by the search be permanently deleted from the source mailbox. You don't need to specify a value with this switch.
When you use this switch with the TargetMailbox parameter, messages are copied to the target mailbox and removed from the source mailbox. If you set the logging level for the search to Basic or Full, you must specify a target mailbox and a target folder to place the log in. To delete messages from the source mailbox without copying them to the target mailbox, don't specify the TargetMailbox, TargetFolder, and LogLevel parameters.
Before you use the DeleteContent switch to delete content, we recommend that you test search parameters by using the LogOnly parameter, as shown in Example 2.
Type: | SwitchParameter |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
This parameter is available only in on-premises Exchange.
Type: | Fqdn |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019 |
The DoNotIncludeArchive switch specifies that the user's archive mailbox shouldn't be included in the search. You don't need to specify a value for this switch.
By default, the archive mailbox is always searched.
If auto-expanding archiving is enabled for an Exchange Online mailbox, only the user's primary archive mailbox is searched. Auxiliary archive mailboxes aren't included in the search.
Type: | SwitchParameter |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
The EstimateResultOnly switch returns only an estimate of the total number and size of messages. Messages aren't copied to the target mailbox. You don't need to specify a value with this switch.
You can't use this switch with the TargetMailbox parameter.
Type: | SwitchParameter |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
The Force switch hides warning or confirmation messages. You don't need to specify a value with this switch.
Use this switch to hide the confirmation prompt when you use the DeleteContent switch to permanently delete messages.
Type: | SwitchParameter |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
The Identity parameter specifies the identity of the mailbox to search. You can use any value that uniquely identifies the mailbox. For example:
- Name
- Alias
- Distinguished name (DN)
- Canonical DN
- Domain\Username
- Email address
- GUID
- LegacyExchangeDN
- SamAccountName
- User ID or user principal name (UPN)
The IncludeUnsearchableItems switch includes items that couldn't be indexed by Exchange Search in the search results. You don't need to specify a value with this switch.
Type: | SwitchParameter |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
The LogLevel parameter specifies the logging level for the search. It can have one of the following values:
- Suppress: No logs are kept.
- Basic: Basic information about the query and who ran it is kept.
- Full: In addition to the information kept by the Basic log level, the Full log level adds a complete list of search results.
The default log level is Basic.
When you included this parameter, an email message is created and sent to the mailbox specified by the TargetMailbox parameter. The log file (which is a CSV-formatted file named Search Results.csv) is attached to this email message, and will be located in the folder specified by the TargetFolder parameter. The log file contains a row for each message that's included in the search results when you run the Search-Mailbox cmdlet.
Type: | LoggingLevel |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
The LogOnly switch performs a search, but only generates a log. Messages returned by the search aren't copied to the target mailbox. You don't need to specify a value with this switch.
The logging level is specified by using the LogLevel parameter.
Type: | SwitchParameter |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
The SearchDumpster switch specifies whether to include the Recoverable Items folder in the search. The Recoverable items folder stores items that were deleted from the Deleted Items folder or items that were hard-deleted until they're purged from the mailbox database.
By default, the Recoverable Items folder is always included in the search. To exclude the Recoverable Items folder from the search, use this exact syntax: -SearchDumpster:$false .
Type: | SwitchParameter |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
The SearchDumpsterOnly switch specifies that only the Recoverable Items folder of the specified mailbox is searched. You don't need to specify a value with this switch.
The Recoverable items folder stores items that were deleted from the Deleted Items folder or items that were hard-deleted until they're purged from the mailbox database.
You can also use this switch with the DeleteContent switch to delete messages from the Recoverable Items folder and reduce the size of the folder.
Type: | SwitchParameter |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
The SearchQuery parameter specifies a search string or a query formatted using Keyword Query Language (KQL). For more information about KQL in Exchange, see Message properties and search operators for In-Place eDiscovery.
If this parameter is empty, all messages are returned.
Note: The Search-Mailbox cmdlet returns up to 10000 results per mailbox if a search query is specified.
Type: | String |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
The TargetFolder parameter specifies a folder name in which search results are saved in the target mailbox. The folder is created in the target mailbox upon execution.
Type: | String |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
The TargetMailbox parameter specifies the destination mailbox where search results are copied. You can use any value that uniquely identifies the mailbox. For example:
- Name
- Alias
- Distinguished name (DN)
- Canonical DN
- Domain\Username
- Email address
- GUID
- LegacyExchangeDN
- SamAccountName
- User ID or user principal name (UPN)
You must use this parameter with the TargetFolder parameter. You can't use this parameter with the EstimateResultOnly switch.
Type: | MailboxIdParameter |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
The WhatIf switch simulates the actions of the command. You can use this switch to view the changes that would occur without actually applying those changes. You don't need to specify a value with this switch.
Type: | SwitchParameter |
Aliases: | wi |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
Inputs
To see the input types that this cmdlet accepts, see Cmdlet Input and Output Types. If the Input Type field for a cmdlet is blank, the cmdlet doesn't accept input data.
Outputs
To see the return types, which are also known as output types, that this cmdlet accepts, see Cmdlet Input and Output Types. If the Output Type field is blank, the cmdlet doesn't return data.
This cmdlet is available in on-premises Exchange and in the cloud-based service. Some parameters and settings may be exclusive to one environment or the other.
Use the Get-MailboxSearch cmdlet to view mailbox searches that are in progress, complete or stopped.
Note: As of October 2020, the *-MailboxSearch cmdlets are retired in Exchange Online PowerShell. Use the *-ComplianceSearch cmdlets in Security & Compliance Center PowerShell instead. For more information, see Retirement of legacy eDiscovery tools.
For information about the parameter sets in the Syntax section below, see Exchange cmdlet syntax.
Syntax
Description
In on-premises Exchange, a mailbox search is used to perform an In-Place eDiscovery or to place users on an In-Place Hold. Use the Get-MailboxSearch cmdlet to retrieve details of either type of mailbox search.
You need to be assigned permissions before you can run this cmdlet. Although this topic lists all parameters for the cmdlet, you may not have access to some parameters if they're not included in the permissions assigned to you. To find the permissions required to run any cmdlet or parameter in your organization, see Find the permissions required to run any Exchange cmdlet.
Examples
Example 1
This example retrieves a list of all mailbox searches.
Example 2
This example retrieves all properties for the mailbox search Project Hamilton.
The Identity parameter is a positional parameter. Positional parameters can be used without the label (Identity). For more information about positional parameters, see About Parameters.
Example 3
This example retrieves the In-Place Holds that a user is placed on. The first command outputs GUIDs of In-Place Holds. The last command retrieves a mailbox search based on the GUID of the In-Place Hold that the user is placed on.
Parameters
This parameter is available only in on-premises Exchange.
Type: | Fqdn |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019 |
The Identity parameter specifies the name of the search query. If a name isn't provided, all mailbox search queries are returned.
- SourceMailboxes
- Sources
- SearchQuery
- ResultsLink
- PreviewResultsLink
- Errors
To view these properties, you have to provide the name of a mailbox search.
Type: | SearchObjectIdParameter |
Position: | 1 |
Default value: | None |
Accept pipeline input: | True |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
The InPlaceHoldIdentity parameter specifies the GUID of an In-Place Hold. Use this parameter to search for an In-Place Hold that a user is placed on. GUIDs of all In-Place Holds that a user is placed on are added to the user's InPlaceHolds property. You can retrieve the property by using the Get-Mailbox cmdlet.
Type: | String |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
The ResultSize parameter specifies the maximum number of results to return. If you want to return all requests that match the query, use unlimited for the value of this parameter. The default value is 1000.
Type: | Unlimited |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2010, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
This parameter is reserved for internal Microsoft use.
Type: | SwitchParameter |
Position: | Named |
Default value: | None |
Accept pipeline input: | False |
Accept wildcard characters: | False |
Applies to: | Exchange Server 2013, Exchange Server 2016, Exchange Server 2019, Exchange Online |
Inputs
To see the input types that this cmdlet accepts, see Cmdlet Input and Output Types. If the Input Type field for a cmdlet is blank, the cmdlet doesn't accept input data.
Outputs
To see the return types, which are also known as output types, that this cmdlet accepts, see Cmdlet Input and Output Types. If the Output Type field is blank, the cmdlet doesn't return data.
21.07.2021
itpro
Exchange, PowerShell
комментариев 6
Для анализа транспортных журналов при отслеживании писем в Exchange можно использовать командлет Get-MessageTrackingLog консоли Exchange Management Shell. В этой статье я перечислю примеры однострочных PowerShell команд, которые я часто использую при поиске и отслеживании маршрутизации писем в Exchange Server 2016/2013/2010 и Office 365 (Exchange Online).
Прежде всего рассмотрите основные параметры командлета Get-MessageTrackingLog, которые можно использовать для фильтрации событий в журналах. Чаще всего используются следующие параметры команлета:
Если выполнить командлет Get-MessageTrackingLog без параметров, будут выведены все события из журналов Exchange за последние 30 дней. Хорошо, что при таком запуске командлет выводит только 1000 последних событий. Чтобы убрать ограничение на количество выводимых событий, нужно указать параметр –ResultSize Unlimited (делать этого без указания дополнительных параметров фильтрации не рекомендуется из-за возможной высокой нагрузкой на сервера).
Вы можете вывести информацию о событиях Exchange в постраничной форме с помощью команды:
Get-MessageTrackingLog | Out-Host –Paging
Чтобы представить данные в табличной форме и выровнять ширину колонок используется командлет Format-Table:
Get-MessageTrackingLog | Format-Table –AutoSize
Если в вашей организации Exchange используется несколько серверов Hub Transport, для поиска в журналах серверов нужно указывать имя сервера в качестве аргумента параметра –Server, или выполнить команду поиска для каждого сервера Hub Transport:
Get-MessageTrackingLog -Start (Get-Date).AddHours(-12) -ResultSize unlimited | where
Чтобы вывести все письма, отправленные определенным пользователем за указанный период через указанный сервер (в отчет выведем только определенные поля):
Get-MessageTrackingLog -ResultSize unlimited –Sender "avivanov@winitpro.ru” –server msk-hub-01 -Start "03/30/2019 08:00:00" -End "04/04/2019 21:00:00" |select-object Timestamp,Sender,Recipients,MessageSubject,EventId|ft
Найдем все письма, отправленные одним пользователем другому и выгрузим результат в CSV файл:
Get-MessageTrackingLog -Sender "dbpetrov@winitpro.ru" -Recipients "aksimonova@winitpro.ru" -ResultSize unlimited –server msk-hub-01| Select-Object Timestamp,Sender,,MessageSubject | Export-Csv -Path "C:\ps\exchange\msg_tracking_out.csv" -Encoding Default -Delimiter ";"
Поиск по теме письма. Для вывода всех письма с темой, содержащей фразу “test”, выполните следующую команду (чтобы представить результаты поиска в отдельной табличном графическом окне с удобными возможностями сортировки, фильтрации и поиска данных можно использовать командлет out-gridview):
Get-MessageTrackingLog -MessageSubject "test" -ResultSize unlimited –server msk-hub-01| Select-Object Timestamp,Sender, , MessageSubject | out-gridview
Get-MessageTrackingLog -messageID "41A1234C3C8E2A4FFFFF02272F2BDB7CB84AC232@msk-mail1.winitpro.ru" -ResultSize unlimited –server msk-hub-01| Select-Object Timestamp,Sender, , MessageSubject
Чтобы посчитать количество входящих писем за последние 7 дней для конкретного ящика, выполните:
(Get-MessageTrackingLog -EventID "RECEIVE" -Recipients "aksimonova@winitpro.ru" -ResultSize unlimited).Count
Get-MessageTrackingLog -EventId "Receive" -Start (Get-Date).AddDays(-1) -ResultSize Unlimited | Where-Object | Group-Object Sender | Sort-Object Count -Descending | Format-Table *
Для поиска писем, которые хранятся в ящиках пользователей Exchange нужно использовать командлет Search-Mailbox.
В Office 365 есть возможность поиска по трекинг логам из веб-интерфейса Exchange Admin Center (EAC). Перейдите в раздел Mail Flow -> Message Trace. Заполните нужные поля для поиска. По сути это веб-интерфейс для командлета Get-MessageTrackingLog, позволяющий пользователю в простой форме сформировать PowerShell команду для поиска писем по журналам.
22.02.2022
itpro
Exchange, Microsoft 365, PowerShell
комментариев 48
Статья применима к on-prem Exchange Server 2019/2016/2013 и 2010, а также к облачному Exchange Online (Microsoft 365).
Предоставить права для поиска по ящикам Exchange
Учетной записи администратора, который выполняет поиск и удаление элементов нужно назначить следующие роли:
- Mailbox Import Export
- Mailbox Search
Вы можете назначить роли через EAC или с помощью следующих команд PowerShell:
New-ManagementRoleAssignment -User itpro -Role "Mailbox Import Export"
New-ManagementRoleAssignment -User itpro -Role "Mailbox Search”
В Exchange Online нужно назначить следующие роли:
Добавьте свою учетную запись в eDiscovery Admins в Microsoft 365 Compliance Center
После назначения ролей нужно перезапустить сеанс PowerShell.
Search-Mailbox: поиск и удаление писем в ящиках Exchange
Для поиска писем в ящиках пользователей можете использовать веб-интерфейс Exchange Admin Center (EAC) или PowerShell командлет Search-Mailbox. Эта команда позволяет найти письма в ящиках пользователей по определенных критериями, скопировать найденные элементы в другой ящик или удалить их
Для поиска в ящике пользователя писем с определенной темой выполните команду:
Search-Mailbox -Identity vasia -SearchQuery 'Subject:"Годовой отчет"'
Для поиска по всем ящикам в организации, воспользуйтесь командой:
Get-Mailbox -ResultSize unlimited | Search-Mailbox -SearchQuery 'Subject:"Годовой отчет"'
При использовании командлета Search-Mailbox в Exchange Online (Microsoft 365) появляется предупреждение:
Microsoft рекомендует использовать для поиска более быстрые командлеты New-ComplianceSearch и New-ComplianceSearchAction (рассмотрены ниже).
Чтобы скопировать результаты поиска в определенный ящик и папку, используйте параметры TargetMailbox и TargetFolder. Это позволит вам после окончания поиска вручную просмотреть найденные письма в вашем Outlook. Допустим, нам нужно выполнить поиск писем по списку пользователей (содержится в текстовом файле users.txt) и скопировать найденные письма в папку определённого ящика, выполните:
get-content users.txt | Get-Mailbox -ResultSize unlimited | Search-Mailbox -SearchQuery 'Subject:"Годовой отчет"' -TargetMailbox sec_mbx -TargetFolder "ExSearchFolder”
Параметр –LogOnly -LogLevel Full означает, что нужно выполнить только оценку результатов поиска, не копируя результаты поиска в целевой ящик и не удаляя элементы. При использовании этого аргумента на указанный целевой ящик будет отправлен отчет с результатами поиска. Отчет представляет собой заархивированный csv-файл, в котором перечислен список ящиков, соответствующих критериям поиска.
Обратите внимание, что в полученном отчете есть статус письма Прочтено/Не прочтено (Read: True/False ).
Вы можете оценить результаты поиска (общее количество и размер писем) с помощью параметра –EstimateResultOnly. При использовании этого параметра не нужно указывать целевой ящик и папку.
Get-Mailbox | Search-Mailbox -SearchQuery 'Subject:"report"' -EstimateResultOnly|select Identity,ResultItemsCount,ResultItemsSize| Where-Object ResultItemsCount -gt 0
Чтобы удалить найденные письма нужно использовать параметр –DeleteContent. Чтобы убрать запросы на подтверждение удаления информации, добавьте параметр –Force.
Удалим все письма от пользователя vasia во всех ящиках на определенном почтовом сервере Exchange:
Get-Mailbox –Server msk-mdb1 –ResultSize unlimited | Search-Mailbox -SearchQuery 'from:"vasia@winitpro.ru"' –DeleteContent –Force
Перед удалением писем из ящиков с помощью ключа -DeleteContent настоятельно рекомендуем ознакомиться с найденными по указанным критериям поиск письмам с помощью аргументов -EstimateResultOnly или –LogOnly .
Чтобы выполнить поиск только по удаленным элементам, добавьте параметр –SearchDumpsterOnly (чтобы исключить поиск по удаленным элементам, добавьте параметр -SearchDumpster:$false ) . Если нужно исключить архив ящика, используйте параметр –DoNotIncludeArchive.
Командлет Search-Mailbox может вернуть максимум 10000 элементов. Если найдено большее количество элементов, появится ошибка:
Поэтому, чтобы удалить большее количество элементов нужно запустить командлет Search-Mailbox несколько раз, либо разбивать ящик на группы по почтовым базам или серверам.
Другая проблема Search-Mailbox – низкая производительность. Поиск по большой организации может выполняться несколько суток. В современных версиях Exchange и Microsoft 365 для поиска писем в ящиках лучше использовать командлет New-ComplianceSearch (рассмотрен ниже).
Примеры запросов SearchQuery для поиска писем в ящиках Exchange
Найти и удалить все письма с ключевым слово “Секрет” в теме от всех пользователей не из вашего домена:
С помощью логических операторов OR и AND вы можете комбинировать более сложные условия поиска писем.
Найти и удалить все письма с вложениями размером более 20Мб:
Search-Mailbox -Identity vasia -SearchQuery 'hasattachment:true AND Size >20971520' –DeleteContent
Совет. Размер писем указывается в байтах, причем учитывается размер всего письма, а не только вложения. Можно указывать размер в мегабайтах, в этом случае используется такой синтаксис: -SearchQuery .
Можно одновременно искать по тексту в заголовке и в теме письма. Например, чтобы найти и удалить письма, у которых в теме письма содержится фраза «Новый Год» или в тексте письма есть фраза «покупка коньяка»:
Можно искать в ящиках определенные элементы, с помощью аргумента Kind. Например:
Собрания: -SearchQuery "Kind:meetings"
Контакты: -SearchQuery "Kind:contacts"
Или другие элементы:
Поиск писем по определенному отправителю и получателю
-SearchQuery 'from:"admin@winitpro.ru" AND to:"support@winitpro.ru"'
Письма с вложениями: -SearchQuery 'hasattachment:true'
Прочитанные письма: -SearchQuery 'isread:false'
Поиск писем по размеру: -SearchQuery 'size>200000'
Или по типу файла:
-SearchQuery 'attachment -like:"*.docx"'
Возможен поиск по дате отправки/получения писем, но тут есть несколько нюансов. При использовании дат в качестве критерия поиска нужно учитывать региональные настройки сервера Exchange. Например, дата 20 февраля 2022 года может быть указана:
- 20/02/2022
- 02/20/2022
- 20-Feb-2022
- 20/February/2022
Если при выполнении команды Search-Mailbox вы получите ошибку “ The KQL parser threw an exception… ”, значит вы используете неверный формат времени.
Для поиска писем, отправленных в конкретный день, используйте запрос:
Если нужно указать диапазон дат (поиск писем, полученных в указанный промежуток времени):
Еще один пример. Ищем письма, полученные после 7 июля:
Совет. В локализованной (русской) версии Exchange нужно использовать русские ключи в аргументах KQL. Например, ищем письма, полученные и отправленные в указанный период:
Соответственно, нужно использовать такие конструкции в SearchQuery:
- кому:admin@winitpro.ru
- откого:"vasya@winitpro.ru"
- тема:"Секретный план"
ЗЫ. Именно за это я не люблю использовать русские версии серверных продуктов!
New-ComplianceSearch: быстрый поиск и удаление писем в Exchange
В Exchange 2016/2019 и Exchange Online (Microsoft 365) появился новый механизм для быстрого поиска и удаления писем в ящиках пользователей с помощью командлетов New-ComplianceSearch и New-ComplianceSearchAction.
Microsoft рекомендует использовать именно эти командлеты для поиска писем в Exchange вместо устаревшего Search-Mailbox.
Подключитесь к M365 Security & Compliance Center:
Попробуем найти в ящиках письма с определенной темой от указанного email отправителя за период:
$Sender = "user1@winitpro.ru"
$StartTime = "02/19/2022"
$EndTime = "02/21/2021"
$Subject = "report2022"
Чтобы создать задание поиска писем по указанным критериям, выполните:
New-ComplianceSearch -Name "ContentSearch_for_Report2022" -ExchangeLocation all -ContentMatchQuery "sent>=$($StartTime) AND sent
Вы можете задавать критерии поиска в атрибуте -ContentMatchQuery по аналогии с параметрами -SearchQuery командлета Search-Mailbox.
Проверьте, что вы назначили все роли Exchange как описано выше.
Закройте текущую сессию PowerShell и переподключитесь: Get-PSSession | Remove-PSSession .
Чтобы запустить это задание:
Start-ComplianceSearch -Identity "ContentSearch_for_Report2022"
Нужно дождаться его выполнения. Текущий статус можно получить так:
Get-ComplianceSearch -Identity "ContentSearch_for_Report2022"| FL name,items,size,jobprogress,status
Чтобы вывести результаты поиска в консоль в режиме Preview:
New-ComplianceSearchAction -SearchName "ContentSearch_for_Report2022" -Preview
(Get-ComplianceSearchAction "ContentSearch_for_Report2022"| Select-Object -ExpandProperty Results).Split(";")
Если вы хотите удалить все найденные письма из ящиков пользователей, используйте параметр –Purge:
New-ComplianceSearchAction -SearchName ContentSearch_for_Report2022 -Purge -PurgeType SoftDelete
Если вы хотите сделать удаленные письма доступными для восстановления пользователями, используйте параметр -PurgeType SoftDelete . Укажите -PurgeType HardDelete , чтобы полностью удалить письма из почтовых ящиков.
11.12.2018
itpro
Exchange, PowerShell
комментариев 12
Клиентские и серверные правила Outlook
Администратору Exchange следует отличать правила Outlook, которые функционируют на стороне клиента (Client-side rules) и на стороне сервера (Server-side rules).
Просмотр правил в ящике Exchange
Чтобы вывести список правил в ящике Exchange, запустите консоль EMS и выполните следующую команду PowerShell:
Get-InboxRule –Mailbox abivanov
Как вы видите, для каждого правила выводится его имя, статус (Enabled: True/False), приоритет (Proirity) и RuleIdentity.
Можно вывести более подробную информацию о конкретном Inbox правиле, указав его имя:
Get-InboxRule -Mailbox abivanov -Identity "HelpDesk"| fl
Обычно содержание правила можно понять по полю Description:
Get-InboxRule -Mailbox abivanov -Identity "HelpDesk "| Select Name, Description | fl
Поиск правил в ящиках пользователей Exchange
В некоторых случаях администратору нужно найти определенные правила в ящике пользователя. Например, вам нужно найти все правила, в которых выполняется удаление писем:
Get-InboxRule -Mailbox abivanov | ?
Также может быть сценарий, когда по запросу службы информационной безопасности, вам нужно найти во всех ящиках организации правила автоматической пересылки почты:
foreach ($i in (Get-Mailbox -ResultSize unlimited)) < Get-InboxRule -Mailbox $i.DistinguishedName | where | fl MailboxOwnerID,Name,ForwardTo >> C:\PS\All_Mailbox_Forward_Rules.txt >
Создаем правило для входящей почты Outlook с помощью PowerShell
Создать новое правило Outlook для входящей почты можно с помощью командлета Exchange New-InboxRule. К примеру, вы хотите переслать все письма с определенными ключами в теме письма в другой ящик. Выполните команду:
New-InboxRule -Name ZenossAlerttoHelpdesk -Mailbox rootadmin -SubjectContainsWords "Zenoss Alert" -ForwardTo "Helpdesk"
New-InboxRule -Mailbox abivanov –name SecretaryRule -From secretary@winitpro.ru –SubjectContainsWords “Годовое собрание" -ApplyCategory -MarkImportance 2
Для всех пользователей в определенном OU создадим правило, которое автоматически перемещает письма с темой «Казино» в каталог «Нежелательная почта» (Junk Email).
$mbxs = Get-mailbox -organizationalUnit Managers
$mbxs | % < >
$mbxs | %
Список все доступных условий (Conditions), которые вы можете использовать в правилах Exchange можно вывести так:
Get-InboxRule -Mailbox abivanov | get-member
Чтобы изменить какое-то правило Outlook, нужно использовать командлет Set-InboxRule, например:
Set-InboxRule -Mailbox abivanov –identity SecretaryRule -FromAddressContainsWords
Совет. Размер правил в ящике Microsoft Exchange ограничен (см. статью). В Exchange 2003 размер правил ограничен 32 Кб, а в Exchange 2016/2013/2010 – под правила выделяется 64 кб. Если при редактировании правил появляется ошибка:
Некоторые правила невозможно загрузить в Microsoft Exchange, и они были отключены. Некоторые параметры не поддерживаются, или не хватает места для хранения всех ваших правил
Вы можете изменить размер квоты под правила (RulesQuota) до 256 Кб, выполнив команду:
Set-Mailbox -identity abivanov -RulesQuota 256Kb
Как отключить и удалить входящее правило Outlook из PowerShell
Чтобы отключить конкретное правило Outlook, нужно указать:
Disable-Inboxrule –Mailbox abivanov -Identity “SecretaryRule”
При этом его статус (Enabled) меняется False и оно более не применяется ко входящим письмам.
Чтобы удалить правило, выполните:
Remove-Inboxrule –Mailbox abivanov -Identity SecretaryRule
Команда запросит подтверждение, просто введите Y. Чтобы удалить все правила в определенном ящике, выполните:
Get-inboxrule -mailbox abivanov | disable-inboxrule
Предыдущая статья Следующая статья
Поиск и удаление писем в ящиках Exchange Server (Microsoft 365) с помощью PowerShell
Не работает поиск в Outlook: решение проблемы
Управление отключенными ящиками в Exchange
Ручная настройка подключения к Exchange в Outlook 2016
Спасибо ! Интересная тема.
Тема интересная.
Но еще интереснее обсудить настройку OoF на стороне почтового сервера, когда она настроена у клиента с пересылкой писем на другой почтовый ящик.
В Exchange 2013 такое правило (скрытое правило), можно увидеть, указав ключ -IncludeHidden.
А вот в Exchange 2010 такого ключа нет. И остаётся только Exchange Web Services (EWS) API. Вот про него очень не хватает статьи!
Спс и Вас с наступающими!
По поводу EWS даже не знаю, очень уже непопулярная тематика… Один с таким объемом не справлюсь.
Интересно, это у нас так криво настроили Exchange (подрядчики) или автор про такую фичу забыл упомянуть ? (;
Какая версия Exchnage? У пользователя уже были правила? Не может быть, что проблема связана с превышением лимита на размер правил?
Exch 2013, Outlook 2016.
У пользователя было только 2 правила. Шибко разбираться не стал, поверил спецам — те сказали, да есть такая фича у Exchange. И, вроде, ссылку давали на оффсайт — мельком глянул, удостоверился и забыл… Странно, что это малоизвестно… Может я все-таки что-то напутал, ок — если найду, то скину ссылку!
Собственно, искать и не пришлось — все есть в описаниях командлетов на оффсайте:
New-InboxRule
When you create, modify, remove, enable, or disable an Inbox rule in Exchange PowerShell, any client-side rules disabled by Microsoft Outlook and outbound rules are removed.
Set-InboxRule
The Set-InboxRule cmdlet allows you to modify the rule conditions, exceptions, and actions.
When you create, modify, remove, enable, or disable an Inbox rule in Exchange PowerShell, any client-side rules created by Microsoft Outlook are removed.
Или я все-таки что-то не так понимаю ??
При добавлении нового правила с помощью New-InboxRul уведомление появляется:
Confirm. Using Outlook Web App or Windows PowerShell to modify your rules will delete any rules that were previously turned off using Outlook. If you want to preserve the rules you turned off using Outlook, select «No» and use Outlook to edit your rules. Are you sure you want to proceed?
Cтарые правила не удалились несмотря на предупреждение. При этом не появилось и новое правило, лишь висит уведомление «Имеются не показанные правила, созданные в другой версии Outlook или OWA»…
New-InboxRule — показывает и старые и новые правило… Я в задумчивости…
Да, такое было предупреждение, вроде…
Видимо, от настроек серверов зависит — у нас удаляются все client-side правила.
Я шибко разбираться не могу — доступ только к серверу баз данных. Да и то обрезанный.
Подскажите, плз, а есть ли возможность узнать сколько занимает конкретное правило или суммарно все правила созданные пользователем в Outlook?
Читайте также: