คำตอบสั้น ๆ: วาง Litigation Hold บนกล่องจดหมาย Exchange Online เก็บอีเมลที่ถูกลบไว้เป็นหลักฐาน ตรวจไลเซนส์ที่ต้องใช้ ยืนยันผล ดูแลพื้นที่ และเก็บกล่องของคนลาออก
คู่มือนี้อธิบาย Litigation Hold ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย
Litigation Hold คือการล็อกกล่องจดหมายใน Exchange Online ให้เก็บอีเมลทุกฉบับไว้ รวมถึงฉบับที่ผู้ใช้ลบทิ้งและต้นฉบับของรายการที่ถูกแก้ไข เมื่อวาง Litigation Hold แล้ว ผู้ใช้ยังใช้อีเมลได้ตามปกติ ลบอีเมลออกจากมุมมองของตัวเองได้ แต่ระบบจะเก็บสำเนาไว้ในโฟลเดอร์ Recoverable Items ที่ผู้ใช้เข้าไม่ถึง จนกว่าจะครบระยะเวลาที่กำหนดหรือผู้ดูแลถอด Hold ออก กล่อง Archive ของผู้ใช้ก็ถูกล็อกไปพร้อมกัน
คู่มือนี้เหมาะกับผู้ดูแลระบบที่ได้รับคำสั่งจากฝ่ายกฎหมายหรือผู้บริหารให้ "เก็บอีเมลของคนนี้ไว้เป็นหลักฐาน" เช่น มีข้อพิพาทกับคู่ค้า มีการสอบสวนภายใน หรือพนักงานคนสำคัญกำลังจะลาออก เมื่อทำครบ คุณจะตรวจได้ว่ากล่องนั้นมีไลเซนส์ที่วาง Hold ได้ วาง Litigation Hold แบบมีกำหนดหรือไม่มีกำหนด ยืนยันว่ามีผลจริง ดูแลพื้นที่จัดเก็บ และเก็บกล่องของคนที่ลาออกไว้เป็น Inactive mailbox
สิ่งที่ต้องเตรียม
- ไลเซนส์ของกล่องที่จะวาง Hold: ต้องเป็น Exchange Online Plan 2 หรือ Exchange Online Plan 1 ที่ซื้อ Exchange Online Archiving เพิ่ม ในทางปฏิบัติคือ Microsoft 365 Business Premium, Microsoft 365 E3/E5 หรือ Office 365 E3/E5 ส่วน Business Basic, Business Standard และ Office 365 E1 วาง Litigation Hold ไม่ได้จนกว่าจะเพิ่ม Exchange Online Archiving
- สิทธิ์: บทบาท Exchange Administrator หรือ Global Administrator
- คำสั่งเป็นลายลักษณ์อักษร จากฝ่ายกฎหมายหรือผู้มีอำนาจ ระบุชื่อกล่อง เหตุผล และระยะเวลา เก็บไว้เป็นหลักฐานว่าไอทีทำตามคำสั่ง
- Shared mailbox ก็วาง Hold ได้ แต่ต้องกำหนดไลเซนส์ Exchange Online Plan 2 หรือ Plan 1 กับ Exchange Online Archiving ให้กล่องนั้นด้วย
อย่ารอจนพนักงานลาออกแล้วค่อยวาง Hold ถ้าถอดไลเซนส์หรือลบบัญชีไปก่อน จะเหลือเวลากู้คืนจำกัด และอีเมลที่ถูกล้างไปก่อนวาง Hold จะไม่กลับมา
ขั้นตอนที่ 1: ตรวจไลเซนส์ของกล่องจดหมาย
ใน Microsoft 365 admin center ไปที่ Users > Active users คลิกชื่อผู้ใช้ แล้วเปิดแท็บ Licenses and apps ดูว่ามีแผนที่รวม Exchange Online Plan 2 หรือ Exchange Online Archiving อยู่ ถ้าไม่มี ให้จัดซื้อและกำหนดไลเซนส์ก่อน การวาง Litigation Hold บนกล่องที่ไลเซนส์ไม่ถึงจะทำไม่ได้ และเมนู Manage litigation hold มักไม่ปรากฏเลย
ถ้าต้องวาง Hold หลายกล่องพร้อมกัน ให้ทำรายชื่อใน Excel ก่อน พร้อมคอลัมน์ไลเซนส์ เพราะการวาง Hold ด้วย PowerShell กับกล่องที่ไม่มีไลเซนส์จะได้ข้อผิดพลาดทีละกล่อง
ขั้นตอนที่ 2: วาง Litigation Hold จาก Microsoft 365 admin center
- ไปที่ Users > Active users แล้วคลิกผู้ใช้ที่ต้องการ
- ใน flyout ที่เปิดขึ้น เลือกแท็บ Mail แล้วใต้ More actions คลิก Manage litigation hold
- ติ๊ก Turn on litigation hold
- ช่อง Hold duration (days): ใส่จำนวนวัน เช่น 2555 วัน (ประมาณ 7 ปี) ถ้าคำสั่งระบุระยะเวลา หรือเว้นว่างเพื่อเก็บไม่มีกำหนดจนกว่าจะถอด Hold ระยะเวลานับจากวันที่อีเมลแต่ละฉบับถูกรับหรือสร้าง ไม่ใช่นับจากวันที่วาง Hold
- ช่อง Note visible to the user และ Web page with more information for the user: ข้อความและลิงก์ที่ผู้ใช้จะเห็นในหน้า Account Information ของ Outlook (เมนู File) ถ้าเว้นว่างทั้งสองช่อง ผู้ใช้จะไม่ได้รับแจ้ง ในงานสอบสวนภายในส่วนใหญ่จึงเว้นว่างไว้
- คลิก Save changes
ระบบจะแสดงแบนเนอร์ว่าการเปลี่ยนแปลงอาจใช้เวลาถึง 240 นาที ระหว่างนี้อย่าเพิ่งถอดไลเซนส์หรือลบบัญชี และอย่าบอกผู้ใช้ให้ทำอะไรกับกล่องของตัวเอง
ขั้นตอนที่ 3: วาง Litigation Hold หลายกล่องด้วย PowerShell
ถ้าต้องวาง Hold ทั้งแผนกหรือทั้งบริษัท ใช้ Exchange Online PowerShell เร็วกว่าและมีหลักฐานว่าใช้คำสั่งอะไร
Connect-ExchangeOnline -UserPrincipalName [email protected]
# กล่องเดียว เก็บ 2555 วัน
Set-Mailbox -Identity [email protected] -LitigationHoldEnabled $true -LitigationHoldDuration 2555
# กล่องเดียว เก็บไม่มีกำหนด
Set-Mailbox -Identity [email protected] -LitigationHoldEnabled $true
# ทุกกล่องของผู้ใช้ในแผนกบัญชี (ต้องกรอก Department ไว้ครบ)
Get-Recipient -RecipientTypeDetails UserMailbox -ResultSize Unlimited -Filter "Department -eq 'Accounting'" |
ForEach-Object { Set-Mailbox -Identity $_.PrimarySmtpAddress -LitigationHoldEnabled $true }คำสั่งแบบกรองนี้มีผลกับกล่องที่มีอยู่ ณ เวลาที่รันเท่านั้น กล่องที่สร้างใหม่ภายหลังจะไม่ได้ Hold อัตโนมัติ ถ้าต้องการให้ครอบคลุมพนักงานใหม่ด้วย ให้รันซ้ำตามรอบ หรือใช้ Retention Policy แบบ All mailboxes แทน ซึ่งจะครอบกล่องใหม่ให้เอง
ขั้นตอนที่ 4: ยืนยันว่า Litigation Hold มีผลแล้ว
หลังรอประมาณ 4 ชั่วโมง ตรวจด้วยคำสั่ง
Get-Mailbox -Identity [email protected] | Format-List LitigationHold*ค่า LitigationHoldEnabled ต้องเป็น True ค่า LitigationHoldDate และ LitigationHoldOwner บอกว่าใครวาง Hold เมื่อไร ใช้เป็นหลักฐานได้ ส่วน LitigationHoldDuration จะเป็นจำนวนวัน หรือ Unlimited ถ้าไม่ได้กำหนด ถ้าต้องการพิสูจน์ให้ฝ่ายกฎหมายเห็น ให้ลองกับกล่องทดสอบที่วาง Hold แบบเดียวกัน ลบอีเมลหนึ่งฉบับแล้วล้างให้หมด จากนั้นค้นด้วย Content Search ต้องยังเจออีเมลฉบับนั้น
