Microsoft 365 Guest Users and External Access: La guía completa

Con su principal suite de productividad Microsoft 365 (anteriormente conocida como Office 365), Microsoft busca romper los silos empresariales tradicionales que inhiben la compartición de contenido y la colaboración. Las capacidades entrelazadas de SharePoint Online y OneDrive for Business permiten a los usuarios colaborar con una amplia gama de colegas tanto dentro como fuera de su organización.

A pesar de sus beneficios, compartir archivos plantea varios riesgos. ¿Qué pasa si tus archivos se comparten inadvertida o deliberadamente con los usuarios incorrectos? ¿Qué pasa si los usuarios manejan mal la información sensible? ¿Cómo puedes mantener el control de tus usuarios invitados?

Para mitigar las preocupaciones de seguridad en torno al uso compartido, es importante entender cómo configurar los dos mecanismos de uso compartido en Microsoft 365:

• Acceso de invitado: Compartir contenido con miembros invitados en grupos de Microsoft 365 o Microsoft Teams
• Compartir externamente: Enlaces de compartición para activos específicos de SharePoint y OneDrive con partes externas

Este artículo explica cómo gestionar usuarios invitados y el acceso externo en Microsoft 365 para garantizar la continuidad del negocio sin comprometer la seguridad de sus datos críticos:

• Acceso de invitado en Microsoft 365
  • Cómo habilitar o restringir la función de acceso de invitado
  • Cómo agregar un usuario invitado a un grupo
  • ¿Qué nivel de acceso tiene un usuario invitado?
• Compartir externamente en Microsoft 365: SharePoint Online
  • Cómo gestionar el uso compartido a nivel de inquilino
    • Usando el SharePoint Admin Center
    • Usando el Microsoft 365 Admin Center
    • Usando Azure AD
  • Cómo gestionar el acceso a nivel de sitio en SharePoint Online por usuarios externos
    • Cómo cambiar la configuración de compartición externa para un sitio
    • Cómo restringir el acceso a un sitio basado en el dominio del usuario
• Compartir externamente en OneDrive for Business
  • Cómo gestionar la compartición a nivel de inquilino para OneDrive
    • Cómo configurar el uso compartido de OneDrive a través del SharePoint Admin Center
    • Cómo configurar el uso compartido de OneDrive a través del OneDrive Admin Center
  • Cómo gestionar la compartición externa para un OneDrive individual
• Cómo mitigar el riesgo de compartir datos críticos de forma no autorizada con externos
• FAQ

Acceso de invitado en Microsoft 365

En el back end, los grupos de Microsoft 365 son objetos en Azure Active Directory (Azure AD). Cada objeto de grupo en Azure AD contiene información única de identificación como:

• Información sobre el propietario del grupo
• URLs para recursos asociados
• Lista de membresía de grupo, incluyendo cualquier cuenta de invitado

Cómo habilitar o restringir la función de acceso de invitado

De forma predeterminada, la función de acceso de invitado está habilitada para un inquilino de Microsoft 365, lo que significa que el propietario de un grupo de Microsoft 365 puede invitar a cualquier persona que tenga una cuenta de correo electrónico empresarial o de consumidor a convertirse en miembros invitados del grupo.

Como administrador de Microsoft 365, puede establecer el nivel de acceso externo para el inquilino accediendo a la página de Microsoft 365 Groups en el centro de administración de Microsoft 365. Bajo Services and Add-ins, puede controlar si desactivar completamente el acceso de invitados y si se permite a los propietarios de grupos invitar a usuarios invitados.

También puedes usar PowerShell para limitar la política sobre el acceso de invitados. Por ejemplo, puedes:

• Evite que los usuarios invitados accedan a un grupo específico.
• Bloquee a los invitados externos de un dominio específico.

Cómo agregar un usuario invitado a un grupo

Cualquier miembro del grupo puede nominar a un usuario externo de Office 365 group para acceso de invitado, pero solo el propietario del grupo puede otorgar acceso de invitado. El proceso para agregar un usuario invitado a un grupo es el siguiente:

1. El propietario del grupo o un miembro del grupo utiliza el comando Groups > Add Members para nominar al usuario externo para la membresía ingresando la dirección de correo electrónico del usuario.
2. El propietario del grupo revisa los permisos de acceso que el invitado recibiría al unirse y aprueba la nominación.
3. El invitado recibe un correo electrónico de bienvenida y puede comenzar a participar en las actividades del grupo.

¿Qué nivel de acceso tiene un usuario invitado?

Miembros invitados de un grupo de Microsoft 365:

• No tenga acceso directo a ninguno de los sitios del grupo, como un sitio de equipo en SharePoint
• Puede participar en actividades grupales a través de conversaciones e invitaciones de calendario de grupo enviadas a su bandeja de entrada de correo electrónico
• Puede acceder a archivos compartidos incluidos en mensajes de correo electrónico, como adjuntos o enlaces, siempre que el administrador haya habilitado los permisos de compartición de archivos necesarios

Compartir externamente en Microsoft 365: SharePoint Online

Las capacidades de compartir externamente de SharePoint Online se pueden gestionar en dos niveles:

• A través de todo el inquilino de Microsoft 365, ya sea mediante el SharePoint Admin Center, el Microsoft 365 admin center o Azure AD
• A nivel del sitio

Cómo gestionar la compartición a nivel de inquilino

Usando el SharePoint Admin Center

Para configurar los ajustes de compartición externa para todo el inquilino, vaya a la página de Sharing del centro de administración de SharePoint. La sección de External sharing en esta página contiene opciones que le permiten controlar el nivel de compartición en todo el inquilino en SharePoint:

• Solo las personas de su organización: Desactive el uso compartido externo y limite el uso compartido solo a usuarios internos. Esta es la configuración predeterminada para los sitios de comunicación y los sitios clásicos en SharePoint. Como mejor práctica de seguridad, se recomienda que desactive el uso compartido externo en todo el inquilino seleccionando esta opción.
• Usuarios invitados existentes: Permitir el uso compartido con usuarios externos que ya han sido agregados a su Azure AD. Los usuarios invitados existentes pueden haberse unido a su Azure AD al aceptar una invitación de uso compartido en el pasado o al ser agregados como usuarios invitados por un administrador en el portal de Azure. Esta opción requiere que los invitados se autentiquen en Microsoft 365 con credenciales válidas antes de que puedan acceder a los recursos compartidos.
• Nuevos e invitados existentes: Otorgue a los propietarios de sitios y usuarios permiso de control total para compartir sitios con usuarios externos. Los usuarios del sitio también pueden compartir archivos y carpetas para colaborar con usuarios externos.
• Cualquiera: Permita que cualquier persona con el enlace del recurso acceda al recurso y reenvíe el enlace a otros. Esta opción está seleccionada por defecto, pero se recomienda que cambie la configuración de compartición externa a Solo personas en su organización. Tenga cuidado de no dejar seleccionada la opción de Cualquiera, ya que abre la puerta a compartir de manera incontrolada con usuarios anónimos y no autenticados, y puede poner datos sensibles en riesgo.

Si decide permitir compartir con Anyone, puede mejorar la gestión de documentos y la seguridad configurando estos ajustes avanzados recomendados:

• Configure Anyone los enlaces para que expiren después de un cierto período de tiempo.
• Restrinja los enlaces de invitado para permitir solo el acceso de visualización a archivos y carpetas.
• Restrinja los enlaces predeterminados para que sean accesibles solo a Personas de su organización.
• Habilite la función de adjuntos seguros ATP.
• Restrinja el uso compartido externo con usuarios de blocked domains.

Usando el Microsoft 365 Admin Center

También puede configurar el uso compartido a nivel de inquilino para SharePoint accediendo al centro de administración de Microsoft 365 y seleccionando Settings > Services & add-ins > Sites. Esta página le permite configurar las mismas opciones de uso compartido externo que el centro de administración de SharePoint.

Usando Azure AD

Para el mayor nivel de control sobre el acceso externo a SharePoint, configure los ajustes de compartición en Azure AD. Puede abordar la configuración de compartición de Azure AD de dos maneras distintas:

• Haga que SharePoint utilice su propia lista de compartición externa, independiente de Azure B2B, y configure los ajustes de relaciones organizacionales en Azure AD. Inicie sesión en el Azure Portal y seleccione Azure Active Directory > Overview > Organizational relationships. Vaya a la página de Settings y defina los ajustes de compartición externa de SharePoint online que desea utilizar para su organización.
• Haga que SharePoint utilice la configuración de uso compartido externo definida en Azure B2B y configure la colaboración B2B en Azure AD.

Consejo: Las configuraciones de compartición configuradas en Azure AD anulan las configuraciones de compartición configuradas en el centro de administración de Microsoft 365 o en el centro de administración de SharePoint. Por ejemplo, si permite la compartición externa a través del centro de administración de Microsoft 365 pero deshabilita la compartición externa a través de Azure AD, la configuración de Azure AD tiene prioridad y la compartición externa se desactivará para su organización.

Cómo gestionar el acceso a nivel de sitio en SharePoint Online por usuarios externos

Además de configurar políticas de compartición para todo el inquilino, puede restringir aún más la compartición externa para un sitio específico de SharePoint. Para hacer esto, debe tener privilegios de administrador global o de administrador de SharePoint. Los propietarios del sitio no pueden cambiar la configuración de compartición externa para los sitios.

Cómo cambiar la configuración de compartición externa para un sitio

1. En el centro de administración de SharePoint, vaya a Sites > Active Sites.
2. Seleccione la casilla junto al nombre del sitio.
3. Haga clic en el icono “i” en la esquina superior derecha de la página.
4. Seleccione el nivel de compartición deseado de la lista de opciones de compartición. Estas son las mismas cuatro opciones de compartición que están disponibles para la configuración a nivel de inquilino.

Consejo: La configuración de compartición externa para un sitio específico debe ser igual o más restrictiva que la configuración a nivel de inquilino. Por ejemplo, si la compartición a nivel de inquilino está limitada a Existing guests, la configuración de compartición para un sitio específico puede cambiarse a Solo personas de tu organización, pero no se puede cambiar a una opción más permisiva como Cualquiera.

En otro caso de uso típico, un administrador global o de SharePoint necesita restringir a los usuarios externos de un cierto dominio de red para que no accedan a un sitio específico. Por ejemplo, los usuarios del dominio de Cliente A no deberían poder acceder a un sitio diseñado específicamente para compartir colaborativamente con el Cliente B.

Cómo restringir el acceso a un sitio basado en el dominio del usuario

1. En el centro de administración de SharePoint, vaya a Sites > Active Sites.
2. Seleccione la casilla junto al nombre del sitio.
3. Vaya a la pestaña de Policies.
4. Bajo External sharing, haga clic en Editar.
5. Bajo Advanced settings for external sharing, seleccione la casilla junto a Limit external sharing by domain.
6. Haga clic en Add domains.
7. Seleccione Allow only specific domains.
8. Ingrese el nombre de dominio completo (FQDN) de cada dominio que desee agregar a la lista de permitidos. Solo los usuarios de los dominios listados serán elegibles para recibir invitaciones al sitio.

Compartir externamente en OneDrive for Business

OneDrive for Business es un repositorio personal que las personas pueden usar para almacenar y sincronizar archivos en múltiples dispositivos. En este sentido, OneDrive funciona como un directorio personal o una unidad mapeada personal que permite a los usuarios guardar archivos en almacenamiento en la nube y recuperarlos desde cualquier dispositivo.

Muchos clientes también utilizan OneDrive para compartir elementos con otros usuarios, aunque OneDrive no fue diseñado realmente para este propósito. Como administrador, puede decidir el nivel de acceso que los usuarios externos tienen a los archivos de OneDrive en su organización.

Cómo gestionar la compartición a nivel de inquilino para OneDrive

La configuración de compartición para todo el inquilino se aplica a todas las instancias de OneDrive para usuarios en su cuenta de Microsoft 365. Hay dos portales a través de los cuales puede configurar estos ajustes de compartición para OneDrive:

• La página de Sharing en el centro de administración de SharePoint (Microsoft recomienda usar esta página para configurar las opciones de compartición de OneDrive)
• La página de Sharing en el centro de administración de OneDrive

Cómo configurar el uso compartido de OneDrive a través del SharePoint Admin Center

Siga las instrucciones y pautas descritas anteriormente en “How to Manage Tenant-Wide Sharing Through SharePoint Admin Center.” OneDrive ofrece las mismas cuatro opciones de compartición que SharePoint.

Consejo: El nivel de compartición para OneDrive debe ser igual o más restrictivo que el nivel de compartición para SharePoint. Por ejemplo, si la compartición a nivel de inquilino en SharePoint está configurada para Existing guests, solo puede configurar OneDrive para usar la misma configuración o la opción más restrictiva Only people in your organization.

Cómo configurar el uso compartido de OneDrive a través del OneDrive Admin Center

1. Inicie sesión en el centro de administración de OneDrive.
2. Navegue hasta la sección de Sharing

Aquí, puede establecer el nivel de compartición externa para OneDrive y configurar controles de compartición más detallados como:

• El tipo de enlace generado por defecto cuando un usuario comparte un archivo
• El período de caducidad para los enlaces
• Si se deben permitir los privilegios de edición y carga para enlaces que comparten archivos o carpetas de OneDrive externamente
• Dominios específicos para permitir o bloquear a los usuarios de recibir invitaciones para compartir
• Si los usuarios externos deben usar la misma cuenta para recibir y aceptar invitaciones de compartición
• Si los usuarios externos pueden compartir contenido que no poseen
• Si los propietarios del contenido pueden auditar la lista de usuarios que han visto su contenido

Cómo gestionar la compartición externa para un OneDrive individual

Para personalizar el nivel de compartición para el OneDrive de un usuario específico, utilice el centro de administración de Microsoft 365:

1. Inicie sesión en el centro de administración de Microsoft 365 con privilegios de administrador global o de administrador de SharePoint.
2. Vaya a Usuarios > Usuarios activos.
3. Seleccione el usuario de OneDrive para el cual desea cambiar el nivel de compartición.
4. Ve a la pestaña de OneDrive.
5. Seleccione Manage sharing en la sección de Sharing.
6. Configure el nivel de compartición externa y guarde sus cambios.

Consejo: El nivel de compartición externa para un OneDrive individual debe ser igual o más restrictivo que el nivel de compartición configurado para OneDrive en todo el tenant.

Cómo mitigar el riesgo de compartir externamente datos críticos sin autorización

Clasificar sus datos le ayudará a comprender dónde reside su información crítica, incluyendo si un sitio de SharePoint Online o una colección de sitios o una carpeta de OneDrive for Business compartida con usuarios externos contiene datos sensibles. Esta perspectiva le permitirá configurar el uso compartido externo de acuerdo con la sensibilidad y el valor de los datos almacenados allí.

Para garantizar un descubrimiento y clasificación de datos exhaustivos y precisos, elija una solución avanzada como Netwrix Data Classification. Su etiquetado de datos automatizado y de alta precisión le permite seleccionar configuraciones de compartición adecuadas y también permite a los usuarios encontrar fácilmente los datos que necesitan. El etiquetado también mejorará la efectividad de la prevención de pérdida de datos (DLP), gestión de derechos de información, gestión de registros y otras soluciones de gobernanza de datos que su organización ya está utilizando o planea implementar. También puede configurar flujos de trabajo que moverán automáticamente datos sobreexpuestos de los repositorios de SharePoint Online y OneDrive for Business a un área de cuarentena designada.

FAQ

¿Quiénes son los usuarios invitados en Microsoft 365?

Un invitado es cualquier usuario externo al que el propietario de un grupo de Microsoft 365 le ha otorgado permiso para participar en conversaciones de grupo, invitaciones de calendario, compartir archivos y actividades de cuaderno. Los usuarios invitados de Microsoft 365 son los mismos que los usuarios invitados de Office 365.

¿Qué es la compartición externa en Microsoft 365?

La compartición externa se refiere a la capacidad de los usuarios de SharePoint Online y OneDrive para compartir enlaces de acceso a archivos y carpetas con usuarios externos. Los propietarios de sitios de SharePoint también pueden compartir el acceso al sitio con usuarios externos.

¿Cómo obtengo una lista de usuarios invitados en mi inquilino de Microsoft 365?

Puedes hacer una de las siguientes cosas:

• Visitar la página Invitados en el Centro de administración de Microsoft 365.
• Usar PowerShell para Azure AD y ejecutar un script que utilice sistemáticamente el cmdlet Get-AzureADUser y exporte la lista de usuarios invitados a un archivo CSV.

¿Cómo puedo saber qué usuarios externos tienen acceso a SharePoint Online?

Descarga la SharePoint Search Query Tool y sigue el proceso descrito en este artículo de soporte de Microsoft para obtener una lista de todos los recursos a los que los usuarios externos tienen acceso.

¿Puedo limitar el uso compartido externo de archivos en Microsoft 365?

Sí, puedes desactivar completamente el uso compartido externo para tu organización.
También hay formas de limitarlo, por ejemplo:

• Compartir solo con invitados de Azure AD que proporcionen credenciales de autenticación válidas.
• Configurar los enlaces de uso compartido con permisos solo de visualización.
• Bloquear a los usuarios de dominios de red específicos para que no reciban invitaciones de uso compartido.

¿Cómo gestiono el uso compartido externo en Microsoft 365?

Como administrador global o administrador de SharePoint, puedes gestionar el uso compartido externo mediante PowerShell o a través de cualquiera de los siguientes portales:

• Centro de administración de SharePoint
• Centro de administración de Microsoft 365
• Centro de administración de OneDrive
• Portal de Azure