Exchange Online - verwijderen alle email voor bepaalde datum

[hellknight]

Mijn vraag
Ik zoek een optie om voor enkele Exchange Online mailboxen alle email ontvangen of verstuurd voor een bepaalde datum te verwijderen, uit alle folders binnen de mailbox, incl. online archive

Relevante software en hardware die ik gebruik
Exchange Online, volledige M365 E5 suite

Wat ik al gevonden of geprobeerd heb:
Powershell:
- New-ContentSearchAction: deze kan volgens documentatie slechts 10 emails per mailbox verwijderen, performance bij loopen van deze actie is dusdanig slecht dat dit geen optie is
- Search-Mailbox: deprecated, delete actie werkt niet meer in onze tenant
- CleanUpMailbox-Graph - werkt volgens toelichting niet op data in Online Archive

Explorer: date limit van 30 dagen, niet geschikt voor bulk action op grote aantallen email
Retention policy met delete action: werkt met aantal dagen ipv daterange, waardoor we voor iedere mailbox moeten uitrekenen hoeveel dagen er tussen aanmaken mailbox en gewenste cut-off date zitten

[Duke of Savage]

Kan dat niet via de Compliance Center in de Admin portal?

[hellknight]

Je bedoelt MS Purview Compliance portal (compliance.microsoft.com)?
Welke functie had je daar dan in gedachte? Content search of E-discovery kan de data naar boven halen, maar vanuit portal is er geen mogelijkheid om die data uit mailboxen te verwijderen.Via New-ContentSearchAction powershell commando kan dit wel, maar zoals vermeld max 10 items/mailbox per keer

[RGBSxi]

Hmm, misschien iets als een retentielabel? Je kan een retentie label maken binnen Microsoft Purview die mail na een x aantal dagen/maanden/jaren automatisch verwijderd. Je kan alleen geen specifieke datum opgeven.

Microsoft Purview > Data lifecycle management > Exchange > Retentionlabels.

Hierna kun je een retentionpolicy aanmaken en het retentielabel hier aan toewijzen.

[Question Mark]

hellknight schreef op woensdag 15 mei 2024 @ 15:07:
Ik zoek een optie om voor enkele Exchange Online mailboxen alle email ontvangen of verstuurd voor een bepaalde datum te verwijderen, uit alle folders binnen de mailbox, incl. online archive

Even wat voor extra context, maar wat is je uiteindelijke doel? Misschien zijn er nog wel wat andere manieren...

Waarom moet email precies voor een bepaalde datum verwijderd worden?

[Xelefim]

beschik je over de wachtwoorden van de mailboxen?

[hellknight]

@RGBSxi Ik had deze al in mijn TS benoemd, als optie die minder praktisch is, ivm het per mailbox moeten bepalen van de tijd die in het label moet worden opgegeven. Het lijkt er echter op dat dit toch de enige haalbare optie is.
@Xelefim Nee, passwords zijn niet beschikbaar - wij hebben vanzelfsprekend de passwords van onze users niet. Er is overwogen om een instructie op te zetten om de delete actie door de desbetreffende users zelf uit te laten voeren, maar gezien de hoeveelheid emails die in sommige mailboxen verwijderd moeten worden in het geen reële optie dit via de GUI ui te laten voeren.
@Question Mark Doel is exact wat aangegeven is - alle email voor datum X verwijderen uit een aantal mailboxen. De exacte reden voor de actie is mij niet bekend, dit is een opdracht vanuit onze CISO, met akkoord van HR directeur en Legal

[nextware]

Archiving functie aanzetten op de mailboxen waardoor je die ingestelde tijd haalt ? En dan retention policy inschakelen voor de Online Archive ?

Of is dit een eenmalige actie ?

[Orion84]

hellknight schreef op woensdag 15 mei 2024 @ 15:07:
Retention policy met delete action: werkt met aantal dagen ipv daterange, waardoor we voor iedere mailbox moeten uitrekenen hoeveel dagen er tussen aanmaken mailbox en gewenste cut-off date zitten

Hoezo is het moment van aanmaken van de mailbox relevant? Een retentie policy gaat over het aantal dagen tussen nu en de oudste mail die bewaard moet worden. Wil je alle mails van vóór 1 januari 2024 verwijderd hebben, dan moet je dus een retentie policy van op dit moment 155 dagen instellen. Daar heeft de aanmaakdatum van de mailbox niets mee van doen.

Als degene die je de opdracht gegeven heeft puur een harde limiet wil (dus eenmalig alles van vóór datum X wegmikken en niet een die verschuift middels retentie policy), dan moet je misschien even met ze checken of ze wel begrijpen wat ze vragen en of ze niet stiekem toch gewoon een retentie policy bedoelen, maar die domweg hebben uitgedrukt in een bepaalde datum.

Je kan, als het echt om eenmalig opruimen van oude mails gaat, natuurlijk ook die retentie policy instellen zodat ie matcht met die datum, hem zijn werk laten doen en daarna weer uitzetten. Of je dat allemaal perfect strak op 1 dag nauwkeurig voor elkaar krijgt vraag ik me af (geen idee hoe snel zo'n policy effectief dingen opruimt), maar wellicht dat je daar nog wel wat marge in kan nemen of elke dag dat ie draait met 1 dag ophogen om toch aan de eis te voldoen. Maar dat is nogal afhankelijk van wat precies de drijfveer is achter dit verzoek.

[ Voor 3% gewijzigd door Orion84 op 04-06-2024 12:54 ]

[Qwerty-273]

hellknight schreef op dinsdag 4 juni 2024 @ 10:39:
De exacte reden voor de actie is mij niet bekend, dit is een opdracht vanuit onze CISO, met akkoord van HR directeur en Legal

Het is wel handig om minstens iets van de redenering te weten. Dat hoef je vervolgens niet online te delen

Een retentie policy lijkt mij het makkelijkste als alle e-mail van voor 1 januari verwijderd moeten worden. Dan hoef je alleen maar uit te rekenen hoeveel dagen er tussen vandaag en de bepaalde datum zitten (156 dagen). Dat een mailbox wellicht pas in maart is aangemaakt, dat maakt niet uit. Dan wijs je nog steeds een retentie policy toe van 156 dagen.

Je zit alleen wel met het het punt dat standaard de Managed Folder Assistant in Exchange Online een mailbox minimaal eens in de 7 dagen doorloopt. Je zal dan even voor de bewuste mailboxen dat moeten aanslingeren via Start-ManagedFolderAssistant . Vervolgens controleer je via Export-MailboxDiagnosticsLogs via het ElcLastRunSuccessTimeStamp attribuut en anderen wat er gebeurt is. Kleine kanttekening, de MFA laat mailboxen kleiner dan 10MB links liggen......

code:

$Log = Export-MailboxDiagnosticLogs -Identity hellknight -ExtendedProperties
$xml = [xml]($Log.MailboxLog)
$xml.Properties.MailboxTable.Property | Where-Object {$_.Name -like "ELC*"}

Anders zou je ook Pureview kunnen gebruiken (al heb ik dat zelf nooit gedaan) https://learn.microsoft.c...and-delete-email-messages maar daar zitten inderdaad erg kleine limieten aan. Het is dan ook een incident gerichte tool en geen opruim oplossing.

[Qwerty-273]

Nog als toevoeging, wellicht overbodig, na het toewijzen van de policy en het controleren dat deze daadwerkelijk is uitgevoerd door MFA. Zal je de policy weer moeten verwijderen van de mailbox.