Exchange Server 2010 –單一項目復原

企業內部儲存在Exchange資料庫上的郵件，除了需要有備份、容錯、稽核等重要規劃考量以外，在企業資安的重大前提之下，還需要有防止使用者惡意刪除郵件，或惡意湮滅郵件證據行為的具體做法；但有關於使用者刪除郵件這件事，對於Exchange來說，是無法以人工智慧的方法判定刪除的當下是否為惡意行為，亦或是正常的郵件刪除動作，因此Exchange Server 2010提供了在郵件被執行永久刪除後，額外在背景執行儲存的功能，這個功能即稱為單一項目復原（Single Item Recovery）。而這儲存下來的郵件是無法於用戶端的Outlook或OWA當中被檢視或存取的，只允許由Exchange管理者以多信箱搜尋（Multi-Mailbox Search）功能，將這些刪除的郵件從系統中複製出來，然後視需求再執行其它的動作，例如：作為呈堂證供，或將郵件還原回用戶端信箱等。

單一項目復原顧名思義，它的特點是不需要先擁有Exchange已備份好的媒體資料，也就是單一項目復原它並不需備份，因為它所還原的資料並非來自備份媒體，而是Exchange系統對使用者在Outlook裡誤刪，或是刻意湮滅證據的郵件；故單一項目復原功能不須要花時間執行備份，也不是從備份媒體上復原信箱，或信箱資料庫。

單一項目復原這個功能屬於Exchange的郵件保全領域，而不完全是為了要救回或還原使用者的某一封郵件為目的而設計；當使用者被啟用了單一項目復原功能後（預設未啟用），若該使用者在Outlook的「刪除的郵件」資料夾中，執行了刪除郵件程序後，若是該使用者屬進階使用者，可能還懂得在Outlook上開啟「復原刪除的郵件」容器，將Exchange系統預設為使用者保留14天的刪除郵件，執行永久刪除動作。假設使用者執行上述動作的動機，是來自於湮滅證據的前題下...，無論使用者是為了湮滅證據，亦或是真的誤刪了某封郵件，這些情境，都可以應用的單一項目復原技術來還原該郵件。

Outlook郵件永久刪除流程
當用戶端在Outlook上刪除郵件，郵件的刪除流程，對用戶端來說它們分別會階段性的被放置於Outlook「刪除的郵件」®Outlook「復原刪除的郵件」容器。對進階使用者來說，都會認為在Outlook操作介面中，只要將「復原刪除的郵件」資料裡在郵件，再進行一次刪除，便無法再救回（便可以湮滅證據）。而在Exchange Server 2010的版本，當使用者於Outlook開啟了，經由Exchange資料庫屬性設定「保留已刪除郵件的天數」項目，預設14天的「復原刪除的郵件」容器內刪除的郵件，是可以經由管理者使用單一項目復原功能，將這些郵件保留下來，以便於使用者在誤刪後還原，或應用於法律保留。

下圖為管理者使用多信箱搜尋功能後，於搜尋結果信箱中的「Purges」資料夾裏，找到用戶端從Outlook的「復原已刪除郵件」容器中，執行永久刪除的郵件，使用者無法顯示及再度刪除這個資料夾的內容，藉此提供郵件誤刪後的回復能力。

可在課程中了解更多的Exchange Server 2010…

相關學習資源︰

10135：Exchange Server 2010的管理與組態及疑難排除