M365 콘텐츠 검색으로 임직원의 Teams 채팅 기록 추출하기

안녕하세요.

M365 Purview 에 있는 콘텐츠 검색을 활용하여 Teams 채팅 기록을 추출해보고자 합니다.

추출 시, pst 파일로 추출이 되기 때문에 outlook client 에서 import 해야 볼 수 있으며, 메시지 하나 당 메일 하나로 볼 수 밖에 없다는 단점이 있습니다.

 

그럼 진행해 보겠습니다.

 

우선 데이터를 추출하기 위해서는 eDiscovery 관리자 권한이 따로 필요합니다.

Microsoft 365 Defender 포탈(https://security.microsoft.com/) 에 관리자 계정으로 접근 > 사용 권한 > 전자 메일 및 공동 작업 역할 – 역할 클릭

 

eDiscovery Manager 선택 > 편집

 

eDiscovery 관리자 관리에서 관리자를 선택해준 후, 다음을 클릭합니다.

약 1시간이 지나면 정상적으로 eDiscovery 관리자 역할이 부여가 되게 됩니다.

 

만약에 위의 작업을 하지 않는 경우는 아래와 같은 오류를 출력하면서 검색 결과를 추출할 수 없습니다.

 

 

 

역할을 부여한 후, 아래의 링크, Microsoft Purview 에 관리자 계정으로 접근합니다.

https://compliance.microsoft.com/

 

콘텐츠 검색 > 새 검색을 클릭합니다.

 

 

이름을 정하고 위치로 와서 > Exchange 사서함 부분의 토글을 켜기로 바꿔주고 다음을 클릭합니다.

 

인스턴트 메시지만 체크를 하고 다음을 클릭합니다.

 

확인을 하고 제출을 클릭합니다.

 

검색이 완료가 되면 Teams 채팅 Export 를 클릭 > 조치 > 결과 내보내기를 클릭합니다.

 

처음에 설정된 값으로 두고 내보내기를 클릭합니다.

 

이후, 검색 우측의 내보내기 클릭 > Teams 채팅 Export_Export 클릭 > 상태 부분을 확인합니다. 새로 고침을 어느정도 시간이 되었다 싶으면 한 번 씩 클릭해줍니다.

 

 

내보내기 키를 복사하고 결과 다운로드를 클릭합니다.

 

 

다운로드 받은 파일을 실행합니다.

(Chrome 브라우저에서 다운받고 파일을 실행하니, 아래 링크와 같은 오류가 발생했었습니다. Edge 브라우저에서 다운받고 실행하니 정상적으로 작동했습니다.)

https://answers.microsoft.com/en-us/msoffice/forum/all/you-cannot-start-application-microsoft-office-365/78d01a51-11c2-47d8-9839-4f92e781c523

 

방금 복사했던 내보내기 키를 입력하고 위치를 선택하 시작을 클릭합니다.

 

그러면 사용자 별로 이렇게 pst 파일이 생성이 된 것을 확인할 수 있습니다.

 

Outlook Client 를 켜고 Outlook 데이터 파일 열기를 클릭합니다. 

 

pst 파일을 열어주고 아래와 같은 경로로 들어오면 메시지가 확인이 가능합니다. 

(채팅 안에 공유된 파일 및 문서는 보통 각 개인의 onedrive 에 저장이 되어있기 때문에 접근을 할 수 없고 메시지만 확인이 가능합니다.) 

 

pst 파일로 추출이 되어서 볼 수 밖에 없어 불편하지만 방법은 이것 뿐으로 알고 있습니다.

도움이 되셨으면 좋겠습니다.

감사합니다.