Exchange 2016- inplace hold, inplace archive, inplace ediscovery, litigation hold 都有啥区别以及原理

Exchange 2016 给IT用户们带来了很多变动。有兴趣的同学可以通过这边文章一览大概 （What's new in Exchange 2016 https://technet.microsoft.com/en-us/library/jj150540%28v=exchg.160%29.aspx?f=255&MSPPError=-2147217396）.

在这些变动中，对于compliance的管理加强是一个重点。Compliance 更多强调的是合规性，有时带有法律强制性要求。在业务多元化，信息日益增长和变化的时代，用户应该及时洞悉并主动管理邮件系统中的信息合规性。不过Exchange 2016 里有很多看似相近的概念 -- inplace hold, inplace archive, inplace ediscovery, litigation hold，什么区别，什么时候用哪一个？这些相近的概念容易引起用户疑惑。 我们今天就简单做一个比较：

inplace archive: 是Exchange 2016 为配合mailbox archive 特性而为用户准备的archive mailbox. 顾名思义，它是用来给用户存放超过一定时间的邮箱内容。所以inplace archive与合规性没有关系;

inplace ediscovery: 简单来说，inpalce ediscovery 是一个搜索功能，它让管理员能够以搜索的形式访问到所有复合搜索条件的所有邮箱的内容。它这一功能的实现基于Exchange Search 和 Exchange 2016 里的RBAC (基于角色访问控制)。搜索的语法基于KQL (Keyword query language 关键字查询语言)，可以在Exchange 2016 管理中心 (EAC)或者powershell 里面用new-mailboxsearch 来实现，搜索的结果可以保存到一个特定邮箱，或者导出存为PST，或者将搜索到的内容开启 inplace hold 进行监管，方便管理员/稽查访问或者存档。所以inplace ediscovery 是和inplace hold 一起作为一个wizard出现在Exchange 2016.

inplace hold: 管理员可以对符合搜索条件的邮箱内容开启inpalce hold. 使得这一部分的内容在指定时间内无法被彻底删除，篡改（任何更改会有版本留档）。改功能的实现基于-InPlaceHoldEnabled $true 这个属性，以及Exchange Dumpster (Exchange Recover deleted items 实现的基础)。

litigation hold: 相比于inplace hold基于inplace ediscovery 查询，litigation hold 对象是整个邮箱。一旦对于一个邮箱开启litigation hold （-LitigationHoldEnabled $true），该邮箱的所有内容无法彻底删除/篡改，它的工作机制和inplace hold 一致。

所以，litigation hold 和 inplace hold 是类似功能，区别在于litigation hold面向邮箱，inplace hold 基于查询；是同一种功能的不同维度场景应用。

那么问题来了，litigation hold/inplace hold 怎么实现内容无法彻底删除/篡改? 这里要引入Dumpster的概念, 先看一张图:

Dumpster: Exchange 赋予 mailbox的一个“系统文件夹”，又叫recoverable items folder， 用于保留被用户删除的内容实现流程化的内容删除回复，以及合规管理。 从deleted items 被删除的邮件先进入deletions, 邮件在deletions 满足了 deleted item retention time 就会移动到purges, 然后MFA把这些内容彻底删除。所以从purges 中消失的内容才是真正删除; Dumpster 是Exchange 实现 Single item recovery, 实现inplace hold, litigation hold的一个基础。

Deletions: 从deleted items被删除的邮件进入deletions；

Versions: 开启litigation hold 或者 inpalce hold后有邮件修改发生，原版和修改版都会保留在Versions （所以无法篡改）；

Purges: Deletions 里面的内容满足Deleted item retention time 就到 Purges. 如果没有开 Single Item Recovery, litigation hold, MFA (mailbox folder assistant) 会将里面内容彻底删除。如果开了Single item recovery, litigation hold, Purges 里面的内容不会删除 (所以开启litigation hold 后用户是无法彻底删除内容的)；

Audits ： 用来保存mailbox auditting log。

DiscoveryHold: inplace hold 开启后，MFA不会将超过deleted item retention time的内容彻底删除，而是存放到inplace ediscovery （所以开启inplace hold后用户无法彻底删除内容）.

综上可知，inplace hold 和 litigation hold 的区别有两个 :

1. litigation hold 面向整个邮箱，inplace hold 基于查询，他们是同一个功能在不同场景的应用；

2. litigation hold 的实现基于dumpster purges, inplace hold的实现基于dumpster DiscoveryHold.

希望此文可以给广大用户们理清 inplace archive, inplace ediscovery, inplace hold, litigation hold这几个概念。有问题欢迎留言.