本文由机器翻译。若要查看英语原文,请勾选“英语”复选框。 也可将鼠标指针移到文本上,在弹出窗口中显示英语原文。
翻译
英语

关键字查询和法规遵从性在 Office 365 专用的搜索的搜索条件

 

适用于:Exchange Online Dedicated

上一次修改主题:2016-12-09

本主题介绍您可以通过搜索中的Exchange Online中的电子邮件项目使用Office 365专用 Exchange 管理员中心 (EAC) 中的法规遵从性搜索功能的电子邮件和文档属性。该主题描述邮件属性,您可以搜索、 支持布尔搜索运算符,并可用于缩小搜索结果的搜索条件。 法规遵从性搜索使用关键字查询语言 (KQL)。有关 KQL 的详细信息,请参阅关键字查询语言语法参考

有关详细信息,请参 阅Compliance Search in Office 365 Dedicated

内容

可搜索的电子邮件属性

搜索运算符

搜索条件

搜索提示和技巧

下表列出了可以通过使用搜索功能,或通过使用 New-ComplianceSearchSet-ComplianceSearch cmdlet 搜索的电子邮件属性。该表包含每个属性的 property:value 语法示例,并介绍了这些示例返回的搜索结果。您可以在合规性搜索的关键字框中键入这些 property:value 对。

 

属性 属性描述 示例 示例返回的搜索结果

Attachment

附加到电子邮件的文件名称。

attachment:annualreport.ppt

attachment:annual*

含有名为 annualreport.ppt 的附加文件的邮件。在第二个示例中,使用通配符返回附件名中带有单词"annual"的邮件。

Bcc

电子邮件的"密件抄送"字段。1

bcc:pilarp@contoso.com

bcc:pilarp

bcc:"Pilar Pinilla"

所有示例都返回"密件抄送"字段中包含"Pilar Pinilla"的邮件。

Body

电子邮件正文中的文本。

body:"Northwind Traders"

body:north*

邮件正文中包含准确短语"Northwind Traders"的邮件。第二个示例返回所有包含以字符串"north"(如 north、northwind 或 northern)开头的单词的邮件。

Category

搜索类别。用户可以使用 Outlook 或 Outlook Web App 定义类别。可能的值是:

  • 蓝色

  • 绿色

  • 橙色

  • 紫色

  • 红色

  • 黄色

category:"Red Category"

在源邮箱中已指定红色类别的邮件。

抄送

电子邮件的"抄送"字段。1

cc:pilarp@contoso.com

cc:"Pilar Pinilla"

在以上两个示例中,在"抄送"字段中指定了含有"Pilar Pinilla"的邮件。

发件人

电子邮件的发件人。1

from:pilarp@contoso.com

from:contoso.com

由指定用户或指定域发送的邮件。

Importance

发件人在发送邮件时可以指定电子邮件的重要性。除非发件人将重要性设置为"高"或"低",否则在发送邮件时将重要性默认为"普通"。

importance:high

importance:medium

importance:low

将重要性标记为高、中等或低的邮件。

Kind

要搜索的邮件类型。可能的值:

  • 联系人

  • 文档

  • 电子邮件

  • 传真

  • 即时消息

  • 日志

  • 会议

  • 注释

  • 公告

  • RSS 源

  • 任务

  • 语音邮件

kind:email

kind:email OR kind:im OR kind:voicemail

满足搜索条件的电子邮件。第二个示例返回满足搜索条件的电子邮件、即时消息对话以及语音邮件。

参与者

电子邮件中的所有人员字段;这些字段分别为:发件人、收件人、抄送和密件抄送。1

participants:garthf@contoso.com

participants:contoso.com

发送自/到 garthf@contoso.com 的邮件。第二个示例返回 contoso.com 域中的用户发送的所有邮件或发送至 contoso.com 域中的用户的所有邮件。

Received

收件人接收电子邮件的日期。

received:04/15/2014

received>=01/01/2014 AND received<=03/31/2014

2014 年 4 月 15 日接收的邮件。第二个示例返回 2014 年 1 月 1 日和 2014 年 3 月 31 日之间接收的所有邮件。

收件人

电子邮件中的所有收件人字段;这些字段分别为:收件人、抄送和密件抄送。1

recipients:garthf@contoso.com

recipients:contoso.com

发送到 garthf@contoso.com 的邮件。第二个示例返回发送至 contoso.com 域中任何收件人的邮件。

Sent

发件人发送电子邮件的日期。

sent:07/01/2014

sent>=06/01/2014 AND sent<=07/01/2014

在指定日期或指定日期范围内发送的邮件。

Size

邮件的大小(以字节为单位)。

size>2621440

size:1..50000

大于 25 MB 的邮件。第二个示例返回大小介于 1 到 50,000 字节之间的邮件。

Subject

电子邮件主题行中的文本。

subject:"Quarterly Financials"

subject:northwind

主题行中包含准确短语&quot;Quarterly Financials&quot;的邮件。第二个示例返回主题行中包含单词&quot;northwind&quot;的所有邮件。

收件人

电子邮件的&quot;收件人&quot;字段。1

to:annb@contoso.com

to:annb

to:"Ann Beebe"

所有示例返回在&quot;收件人:&quot;行中指定为 Ann Beebe 的邮件。

注意注意:
1   对于收件人属性的值,你可以使用 SMTP 地址、显示名称或别名来指定用户。例如,你可以使用 annb@contoso.com、annb 或&quot;Ann Beebe&quot;指定用户 Ann Beebe。

返回顶部

使用布尔搜索运算符(如 ANDORNOT)可以在搜索查询中包括或排除特定单词,从而帮助定义更精确的邮箱搜索。使用其他技术(如使用诸如 >= 或 .. 的属性运算符、问号、圆括号和通配符)可帮助您精简搜索查询。下表列出了可以用于缩小或扩大搜索结果范围的运算符。

 

运算符 用法 说明

And

keyword1 AND keyword2

返回包含所有指定关键字或 property:value 表达式的项目。例如,from:"Ann Beebe" AND subject:northwind 将返回由 Ann Beebe 发送的、主题行中包含 northwind 一词的所有邮件。2

+

keyword1 + keyword2

AND 运算符作用相同。

OR

keyword1 OR keyword2

返回包含一个或多个指定关键字或 property:value 表达式的项目。2

NOT

keyword1 NOT keyword2

NOT from:"Ann Beebe"

排除关键字或 property:value 表达式指定的邮件。例如,NOT from:"Ann Beebe" 排除 Ann Beebe 发送的邮件。2

-

keyword1 -keyword2

NOT 运算符作用相同。

NEAR

keyword1 NEAR(n) keyword2

返回包含邻近字词的项目,其中 n 表示间隔的字词数量。例如,best NEAR(5) worst 返回单词&quot;worst&quot;与&quot;best&quot;之间的距离不超过五个单词的所有项目。如果你没有指定数目,则默认距离是 8 个单词。2

ONEAR

keyword1 ONEAR(n) keyword2

与 NEAR 类似,但是按指定的顺序返回包含邻近字词的项目。例如,best ONEAR(5) worst 返回单词&quot;best&quot;在单词&quot;word&quot;前出现的所有项目以及两个单词之间的距离不超过五个单词的所有项目。如果你没有指定数目,则默认距离是 8 个单词。2

=

property=value

返回与指定值完全匹配的项目。

:

property:value

property:value 语法中的冒号 (:) 指定要搜索的属性值包含指定值。例如,recipients:garthf@contoso.com 返回发送至 garthf@contoso.com 的所有邮件。

<

property<value

表示正在搜索的属性小于指定的值。1

>

property>value

表示正在搜索的属性大于指定的值。1

<=

property<=value

表示正在搜索的属性小于等于指定的值。1

>=

property>=value

表示正在搜索的属性大于等于指定的值。1

..

property:value1..value2

表示正在搜索的属性大于等于 value1,小于等于 value2。1

" "

"fair value"

subject:"Quarterly Financials"

使用双引号 (" ") 搜索关键字和 property:value 搜索查询中的确切短语或单词。

*

cat*

subject:set*

前缀通配符(其中星号放在单词的末尾)用于在关键字或 property:value 查询中搜索零个或多个匹配字符。例如,title:set* 返回文档标题中包含单词 set、setup、setting(以及其他以&quot;set&quot;开头的单词)的文档。

( )

(fair OR free) AND (from:contoso.com)

(IPO OR initial) AND (stock OR shares)

(quarterly financials)

括号将布尔短语、property:value 项目和关键字结合到一起。例如,(quarterly financials) 返回包含单词&quot;quarterly&quot;和&quot;financials&quot;的项目。

注意注意:
1   为含有日期或数值的属性使用此运算符。
2   布尔搜索运算符必须为大写;例如,AND。在搜索查询中使用小写的运算符将返回错误。

返回顶部

可以对搜索查询使用条件来缩小搜索范围,使返回结果更精确。每个条件将子句添加到开始搜索时创建和运行的 KQL 搜索查询。

重要说明重要说明:
文档属性条件显示在 EAC 中的&quot;新搜索&quot;页上,即使 SharePoint 站点上的文档搜索不受 Office 365 Dedicated 的支持。

创建搜索邮箱时使用邮件属性的条件。下表列出了可以用于条件的电子邮件属性。请注意,这些属性是先前描述的电子邮件属性的子集;为了方便您使用,这里将重复这些说明。

 

属性 属性描述

Participants

电子邮件中的所有人员字段;这些字段分别为:发件人、收件人、抄送和密件抄送。

Sender

电子邮件的发件人。

Recipient

电子邮件的收件人。此属性与&quot;To&quot;电子邮件属性相同。

Subject

电子邮件主题行中的文本。

Received date

收件人接收电子邮件的日期。此属性与&quot;Received&quot;电子邮件属性相同。

Sent date

发件人发送电子邮件的日期。此属性与&quot;Sent&quot;电子邮件属性相同。

消息类型

要搜索的邮件类型。此属性与&quot;Kind&quot;电子邮件属性相同。

要搜索的邮件类型。可能的值:

  • 联系人

  • 文档

  • 电子邮件

  • 传真

  • 即时消息

  • 日志

  • 会议

  • 注释

  • 公告

  • RSS 源

  • 任务

  • 语音邮件

返回顶部

通用属性设计为在 Office 365 的其他版本中通过相同搜索来搜索邮箱和网站时使用的。但您仍可以在搜索邮箱时在 Office 365 Dedicated 中使用它们。或者,可以只使用上一节中所述的邮箱属性邮件的条件。下表列出了可在添加条件时使用的可用属性。

 

属性 属性描述

Date

对于电子邮件而言,是指收件人收到邮件的日期,或发件人发送邮件的日期。

Size

对于电子邮件而言,是指邮件的大小(以字节为单位)。

Sender/Author

对于电子邮件而言,是指发送邮件的人。

Subject/Title

对电子邮件而言,是指邮件的主题行中的文本。

返回顶部

当您添加一个条件时,您可以选择与该条件的属性类型相关的运算符。下表描述了与条件一起使用的运算符,并列出了在搜索查询中使用的等效项。

 

运算符 查询等效项 说明

之后

property>date

使用日期条件。返回在指定日期后发送、接收或修改的项。

之前

property<date

使用日期条件。返回在指定日期前发送、接收或修改的项。

介于

date..date

使用日期和大小条件。当使用日期条件时,返回在指定的日期范围内发送、接收或修改的项。当使用大小条件时,返回大小在指定范围内的项。

包含任意

(property:value) OR (property:value)

与指定字符串值的属性条件一起使用。返回包含一个或多个指定字符串值任何部分的项目。

不包含任何

-property:value

NOT property:value

与指定字符串值的属性条件一起使用。返回不包含指定字符串值任何部分的项目。

不等于任何

-property=value

NOT property=value

与指定字符串值的属性条件一起使用。返回不包含特定字符串的项目。

等于

Size=value

返回与指定大小相等的项目。1

等于任何

(property=value) OR (property=value)

与指定字符串值的属性条件一起使用。返回完全匹配一个或多个指定字符串值的项目。

大于

Size>value

返回指定属性大于指定值的项。1

大于或等于

Size>=value

返回指定属性大于或等于指定值的项。1

小于

Size<value

返回大于或等于指定值的项。1

小于或等于

Size<=value

返回大于或等于指定值的项。1

不等于

Size<>value

返回与指定大小不相等的项目。1

注意注意:
1   此运算符仅适用于使用 Size 属性的条件。

返回顶部

在使用搜索条件时,请牢记以下几点。

  • 可通过使用 AND 运算符在逻辑上将条件连接至关键字查询(在关键字框中指定)。这意味着,项目必须满足关键字查询和要在结果中包括的条件。这就是条件如何帮助缩小结果范围的原理。

  • 如果将两个或多个唯一性条件(指定不同属性的条件)添加到搜索查询中,这些条件将在逻辑上使用 AND 运算符来连接。这意味着仅返回满足所有条件(除了任何关键字查询以外)的项目。

  • 如果您对相同属性添加多个条件,则使用 OR 运算符在逻辑上对这些条件进行连接。这意味着将返回满足关键字查询以及任何一个条件的项。因此,相同条件的组通过 OR 运算符彼此相连,然后唯一性条件集通过 AND 运算符彼此相连。

  • 如果向单个条件中添加多个值(用逗号或分号分隔),这些值将通过 OR 运算符来连接。这意味着如果这些项包含条件中指定的任何属性值,则返回这些项。

  • 通过使用关键字框和条件所创建的搜索查询会显示在搜索页上,在为选定的搜索提供的详细信息窗格中进行显示。在查询中,表示法 (c:c) 右边的所有内容指示已添加到查询中的条件。

  • 条件只将属性添加到搜索查询中,而不会添加运算符。 这就是为什么在详细信息窗格中显示的查询不会在表示法 (c:c) 右边显示运算符的原因。执行查询时,KQL 会添加逻辑运算符(根据前面所述的规则)。

  • 您可以使用拖放控件对条件重新排序。只要单击条件控件,将其向上或向下移动即可。

  • 同前面所述一样,某些条件属性允许您输入多个值。 各个值在逻辑上使用 OR 运算符相连。 这会导致出现使用相同逻辑表示有相同条件的多个实例,而每个实例都有一个值。下面的插图显示一个包含多个值的单个条件的示例,以及一个包含单个值的多个条件(用于相同属性)的示例。这两个示例产生相同的查询:(kind="email") OR (kind="contacts") OR (kind="meetings")

    一个条件具有多个值

    同一属性的多个搜索条件
提示提示:
如果条件接受多个值,则建议您使用一个条件,并指定多个值(用逗号或分号分隔)。这有助于确保所应用的查询逻辑就是您想要的。

返回顶部

下面的示例显示使用条件的基于 GUI 的搜索查询版本、显示在所选搜索的详细信息窗格中的搜索查询语法(也由 Get-ComplianceSearch cmdlet 返回),以及相应的 KQL 查询逻辑。

本示例返回于 2015 年 4 月 1 日之前发送的、包含关键字&quot;report&quot;的电子邮件项目以及在主题字段中包含&quot;northwind&quot;一词的电子邮件项目。

GUI

第一个搜索条件示例

搜索查询语法

report‎(c:c)‎‎(date<2015-04-01)‎‎(subject:"northwind")‎

搜索查询逻辑

report AND (date<2015-04-01) AND (subject:"northwind")

返回顶部

本示例返回在 12/1/2014 和 11/30/2015 之间发送的、包含以&quot;phone&quot;或&quot;smartphone&quot;单词开头的电子邮件或日历会议。

GUI

第二个搜索条件示例

搜索查询语法

phone* OR smartphone*‎(c:c)‎‎(sent=2014-12-01..2015-11-30)‎‎(kind="email")‎‎(kind="meetings")‎

搜索查询逻辑

phone* OR smartphone*‎ AND ‎‎(sent=2014-12-01..2015-11-30)‎ AND (‎‎(kind="email") OR ‎‎(kind="meetings"))

返回顶部

  • 关键字搜索不区分大小写。例如,catCAT 将返回相同的结果。

  • 布尔运算符 ANDORNOTNEARONEAR 必须大写。

  • 两个关键字或两个 property:value 表达式之间的空格与使用 AND 相同。例如,from:"Sara Davis" subject:reorganization 返回 Sara Davis 发送的所有邮件,其中的主题行包含单词 reorganization

  • 使用与 property:value 格式相匹配的语法。值不区分大小写,并且它们不可以在运算符后留有空格。如果有空格,您的预期值将只会全文搜索。例如,to:pilarp 搜索&quot;pilarp&quot;作为关键字,而非发送至 pilarp 的邮件。

  • 在搜索收件人属性(如 To、From、Cc 或 Recipients)时,您可以使用 SMTP 地址、别名或显示名来表示收件人。例如,您可以使用 pilarp@contoso.com、pilarp 或&quot;Pilar Pinilla&quot;。

  • 您可以仅使用前缀通配符搜索,如 cat*set*。不支持后缀通配符搜索 (*cat) 或子字符串通配符搜索 (*cat*)。

  • 在搜索属性时,如果搜索值包含多个单词,则使用双引号 (" ")。例如,subject:budget Q1 返回主题行中包含 budget 以及邮件中任意位置或任意邮件属性包含 Q1 的邮件。使用 subject:"budget Q1" 返回主题行中包含 budget Q1 的所有邮件。

  • 若要将使用某个属性值标记的内容从搜索结果中排除,请在属性名称前放置减号 (-)。例如,-from:"Sara Davis&quot; 将排除由 Sara Davis 发送的任何邮件。

返回顶部

 
显示: