Restricción del acceso al contenido de OneDrive de un usuario a personas de un grupo
Algunas características de este artículo requieren Microsoft SharePoint Premium: Administración avanzada de SharePoint
Puede restringir el acceso al contenido de OneDrive de un usuario individual a los usuarios de un grupo de seguridad mediante una directiva de restricción de acceso de OneDrive. Los usuarios que no están en el grupo especificado no pueden acceder al contenido, incluso si tenían permisos anteriores o un vínculo compartido.
La directiva se aplica mediante Microsoft Entra grupos de seguridad que contienen las personas que deben poder acceder a los archivos de ese OneDrive.
Cuando se aplica la directiva, a las personas del grupo de seguridad no se les conceden permisos a ningún archivo directamente. El propietario de OneDrive debe compartir el contenido como lo haría normalmente. La directiva de restricción de acceso de OneDrive impide que cualquier persona que no esté en el grupo de seguridad acceda al contenido de OneDrive incluso si se comparte con ellos.
Las directivas de restricción de acceso se aplican cuando un usuario intenta acceder a un archivo. Los usuarios todavía pueden ver archivos en los resultados de la búsqueda si tienen permisos directos para el archivo, pero no podrán acceder al archivo si no forman parte del grupo de seguridad especificado.
También puede restringir el acceso al propio servicio OneDrive a los usuarios de un grupo de seguridad. Para obtener más información, vea Restringir el acceso de OneDrive por grupo de seguridad.
Requisitos
La directiva de restricción de acceso de OneDrive requiere Microsoft SharePoint Premium: Administración avanzada de SharePoint.
Habilitación de la restricción de acceso al sitio para su organización
Debe habilitar la restricción de acceso al sitio para su organización para poder configurarla para OneDrive de un usuario.
Para habilitar la restricción de acceso al sitio para su organización en el Centro de administración de SharePoint:
Expanda Directivas y seleccione Control de acceso.
Seleccione Restricción de acceso al sitio.
Seleccione Permitir restricción de acceso y, a continuación, seleccione Guardar.
Para habilitar la restricción de acceso al sitio para su organización mediante PowerShell, ejecute el siguiente comando:
Set-SPOTenant -EnableRestrictedAccessControl $true
El comando puede tardar hasta una hora en surtir efecto.
Nota:
Para los usuarios de Microsoft 365 Multi-Geo, ejecute este comando por separado para cada ubicación geográfica deseada.
Restricción del acceso al contenido de OneDrive de un usuario
Cada OneDrive se puede asignar hasta 10 Microsoft Entra grupos de seguridad. Una vez que se agrega un grupo de seguridad, solo los usuarios de los grupos tienen acceso al contenido de ese OneDrive que se ha compartido con ellos. Puede usar grupos de seguridad dinámicos si desea basar la pertenencia a grupos en las propiedades de usuario.
Importante
El propietario de OneDrive debe estar incluido en uno de los grupos de seguridad que especifique o perderán el acceso a su OneDrive y a su contenido.
Para administrar la restricción de acceso para OneDrive, use los siguientes comandos:
| Acción | Comando de PowerShell |
|---|---|
| Habilitar la restricción de acceso para un OneDrive determinado. (Ejecute este comando antes de agregar grupos de seguridad). | Set-SPOSite -Identity <siteurl> -RestrictedAccessControl $true |
| Agregar grupo de seguridad | Set-SPOSite -Identity <siteurl> -AddRestrictedAccessControlGroups <comma separated group GUIDS> |
| Editar grupo de seguridad | Set-SPOSite -Identity <siteurl> -RestrictedAccessControlGroups <comma separated group GUIDS> |
| Ver grupo de seguridad | Get-SPOSite -Identity <siteurl> Select RestrictedAccessControl, RestrictedAccessControlGroups |
| Quitar grupo de seguridad | Set-SPOSite -Identity <siteurl> -RemoveRestrictedAccessControlGroups <comma separated group GUIDS> |
| Restablecer la restricción de acceso al sitio | Set-SPOSite -Identity <siteurl> -ClearRestrictedAccessControl |
Uso compartido de sitios con directiva de acceso a sitios restringidos
El uso compartido de sitios de SharePoint y su contenido se puede bloquear con usuarios y grupos que no se permiten según la directiva de control de acceso restringido.
La funcionalidad de control de uso compartido está deshabilitada de forma predeterminada. Para habilitarlo, ejecute el siguiente comando de PowerShell en Shell de administración de SharePoint Online como administrador:
Set-SPOTenant -AllowSharingOutsideRestrictedAccessControlGroups $false
Uso compartido con usuarios
El uso compartido solo se permite con los usuarios que forman parte de grupos de control de acceso restringido. El uso compartido se bloqueará con cualquier persona fuera de los grupos de control de acceso restringido, como se muestra a continuación:
Uso compartido con grupos
El uso compartido se permite con Microsoft Entra security o grupos de Microsoft 365 que forman parte de la lista de grupos de control de acceso restringido. Por lo tanto, no se permitirá el uso compartido con todos los demás grupos, incluidos Todos, excepto usuarios externos o grupos de SharePoint.
Nota:
En la actualidad, el uso compartido de un sitio y su contenido no se permitirá para los grupos de seguridad anidados que forman parte de los grupos de control de acceso restringido. Esta compatibilidad se agregará en la siguiente iteración de la versión.
Configurar más vínculo para la página de error de denegación de acceso
Configure el vínculo más información para informar a los usuarios a los que se denegó el acceso a un sitio de SharePoint debido a la directiva de control de acceso restringido al sitio. Con este vínculo de error personalizable, puede proporcionar más información e instrucciones a los usuarios.
Nota:
El vínculo más información es una configuración de nivel de inquilino que se aplica a todos los sitios que tienen habilitada la directiva de control de acceso restringido.
Para configurar el vínculo, ejecute el siguiente comando en SharePoint PowerShell:
Set-SPOTenant -RestrictedAccessControlForSitesErrorHelpLink “<Learn more URL>”
Para capturar el valor del vínculo, ejecute el siguiente comando:
Get-SPOTenant | select RestrictedAccessControlForSitesErrorHelpLink
El vínculo más información configurado se inicia cuando el usuario selecciona el vínculo Más información sobre las directivas de su organización aquí .
Información de directivas de acceso a sitios restringidos
Como administrador de TI, puede ver los informes siguientes para obtener más información sobre los sitios de SharePoint protegidos con la directiva de acceso a sitios restringidos:
- Sitios protegidos por la directiva de acceso a sitios restringidos (RACProtectedSites)
- Detalles de denegaciones de acceso debido al acceso restringido al sitio (ActionsBlockedByPolicy)
Nota:
Cada informe puede tardar unas horas en generarse.
Sitios protegidos por un informe de directiva de acceso a sitios restringidos
Puede ejecutar los siguientes comandos en SharePoint PowerShell para generar, ver y descargar los informes:
| Acción | Comando de PowerShell | Descripción |
|---|---|---|
| Generar informe | Start-SPORestrictedAccessForSitesInsights -RACProtectedSites |
Genera una lista de sitios protegidos por la directiva de acceso a sitios restringidos |
| Ver informe | Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> |
El informe muestra los 100 sitios principales con las vistas de página más altas protegidas por la directiva. |
| Descargar informe | Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -Action Download |
Este comando debe ejecutarse como administrador. El informe descargado se encuentra en la ruta de acceso donde se ejecutó el comando. |
| Porcentaje de sitio protegido con un informe de acceso restringido al sitio | Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -InsightsSummary |
Este informe muestra el porcentaje de sitios protegidos por la directiva del número total de sitios |
Denegaciones de acceso debido a la directiva de acceso restringido al sitio
Puede ejecutar los siguientes comandos para crear, capturar y ver el informe de denegaciones de acceso debido a informes de acceso restringido al sitio:
| Acción | Comando de PowerShell | Descripción |
|---|---|---|
| Creación de un informe de denegación de acceso | Start-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy |
Crea un nuevo informe para capturar detalles de denegación de acceso |
| Captura del estado del informe de denegaciones de acceso | Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy |
Captura el estado del informe generado. |
| Denegaciones de acceso más recientes en los últimos 28 días | Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content AllDenials |
Obtiene una lista de las 100 denegaciones de acceso más recientes que se han producido en los últimos 28 días. |
| Visualización de la lista de usuarios principales a los que se denegó el acceso | Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopUsers |
Obtiene una lista de los 100 usuarios principales que recibieron más denegaciones de acceso. |
| Visualización de la lista de sitios principales que recibieron la mayoría de las denegaciones de acceso | Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopSites |
Obtiene una lista de los 100 sitios principales que tenían más denegaciones de acceso. |
| Distribución de denegaciones de acceso entre diferentes tipos de sitios | Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content SiteDistribution |
Muestra la distribución de denegaciones de acceso entre diferentes tipos de sitios. |
Nota:
Para ver hasta 10 000 denegaciones, debe descargar los informes. Ejecute el comando de descarga como administrador y los informes descargados se encuentran en la ruta de acceso desde donde se ejecutó el comando.
Auditoría
Los eventos de auditoría están disponibles en el portal de cumplimiento Microsoft Purview para ayudarle a supervisar las actividades de restricción de acceso al sitio. Los eventos de auditoría se registran para las actividades siguientes:
- Aplicación de la restricción de acceso al sitio para el sitio
- Eliminación de la restricción de acceso al sitio para el sitio
- Cambio de los grupos de restricción de acceso al sitio para el sitio
Artículos relacionados
Restricción del acceso del sitio de SharePoint a los miembros de un grupo
Información de gobernanza del acceso a datos para sitios de SharePoint