Come configurare e gestire i gruppi di autorizzazioni di SharePoint

Comprendere i gruppi SharePoint

I gruppi Microsoft SharePoint consentono di gestire insiemi di utenti anziché utenti singoli. Un gruppo può includere utenti SharePoint individuali, così come utenti o gruppi da qualsiasi sistema di Identity Management o servizi di dominio, come Active Directory Domain Services (AD DS), directory basate su LDAPv3, database specifici per applicazioni e modelli di identità come Windows Live ID.

Puoi organizzare i tuoi utenti in un qualsiasi numero di gruppi, a seconda delle dimensioni e della complessità della tua organizzazione o sito. Tuttavia, i gruppi SharePoint non possono contenere altri gruppi SharePoint (cioè, non possono essere nidificati).

Ci sono due modi per assegnare i permissions a un sito SharePoint tramite gruppi: Il primo è aggiungere un utente a un gruppo SharePoint, e il secondo è dare accesso diretto al sito a un gruppo di sicurezza AD security o inserirlo in un gruppo SharePoint che dispone di permessi sul sito.

Gruppi SharePoint integrati

SharePoint include diversi gruppi predefiniti. Esistono a livello di sito in SharePoint e possono avere permessi assegnati all'interno della raccolta di siti di appartenenza. L'insieme di gruppi predefiniti dipende dal modello di sito che si sta utilizzando. Ad esempio, ecco i gruppi predefiniti per un sito di team e i loro permessi predefiniti per il sito SharePoint:

• I visitatori — Hanno i permessi di Lettura
• I membri — Hanno i permessi di modifica
• I proprietari — Hanno i permessi di Controllo completo
• Visualizzatori — Hanno permessi di sola visualizzazione

Ecco i gruppi predefiniti per il template del sito newsfeed e i loro permessi di default:

• Lettori aziendali — Hanno permessi di lettura e possono visualizzare pagine e documenti e anche scaricare documenti
• Membri dell'impresa — Hanno permessi di contribuzione e possono visualizzare, aprire, aggiungere, aggiornare ed eliminare elementi delle liste e documenti
• I designer — Possono visualizzare, aggiungere, aggiornare, eliminare, approvare e personalizzare il layout delle pagine del sito utilizzando un browser o SharePoint Designer
• Editori — Possono aggiungere, modificare ed eliminare elenchi, e possono visualizzare, aggiungere, aggiornare ed eliminare elementi delle liste e documenti di SharePoint
• I proprietari dell'impresa — Hanno il permesso di Controllo totale sul sito

Si noti che tutti questi gruppi predefiniti possono essere modificati assegnando diversi livelli di autorizzazione.

Migliori pratiche

Una prassi ottimale per la gestione dei permessi consiste nell'aggiungere gli utenti regolari che necessitano solo di leggere le informazioni al gruppo dei Visitatori e di aggiungere gli utenti che devono creare o modificare documenti al gruppo dei Membri. Ciò è dovuto al fatto che gli utenti nel gruppo dei Membri possono aggiungere, modificare o rimuovere elementi o documenti, ma non possono cambiare la struttura del sito, le impostazioni o l'aspetto. Allo stesso modo, gli utenti nel gruppo dei Visitatori possono vedere pagine, documenti ed elementi ma non possono eseguire operazioni di aggiunta o rimozione.

Creazione di un gruppo SharePoint

Per creare un gruppo SharePoint, vai su Autorizzazioni sito nelle Impostazioni sito e clicca sul pulsante “Crea Gruppo”. Inserisci un nome e una descrizione per il gruppo. Poi specifica il proprietario del gruppo; gli utenti che possono visualizzare e modificare l'appartenenza al gruppo; se permettere agli utenti di richiedere l'appartenenza o di chiedere di lasciare il gruppo; e i permessi del gruppo per il sito. Poi clicca su “Crea” per creare il gruppo.

Eliminazione di un gruppo SharePoint

Per eliminare un gruppo, utilizza il menu “People and Groups” nelle Impostazioni del sito. Scegli il gruppo, clicca sul pulsante “Modifica” e poi clicca sul pulsante “Elimina”.

Modifica dell'appartenenza al gruppo

Per aggiungere membri a un gruppo SharePoint, dal menu “Persone e Gruppi”, clicca sul nome del gruppo nel riquadro di sinistra e poi clicca su “Nuovo” e “Aggiungi Utenti”, come mostrato di seguito. Inserisci uno o più nomi utente che vuoi aggiungere al gruppo e poi clicca su “Condividi”.

Per rimuovere un utente da un gruppo, seleziona l'utente che vuoi eliminare, clicca su “Azioni” e poi su “Rimuovi utenti dal gruppo”.

Conclusione

Utilizzare i gruppi SharePoint è un metodo molto più semplice e sicuro per controllare l'accesso rispetto all'assegnazione di permessi unici a livello di elemento agli account utente. Configurando correttamente i tuoi gruppi e monitorando tutte le modifiche ai permessi e all'appartenenza ai gruppi, puoi contribuire a mantenere i tuoi dati al sicuro.

FAQ

Come risolvere gli errori di accesso negato di SharePoint?

Gli errori di accesso negato a SharePoint derivano tipicamente da problemi di ereditarietà dei permessi, appartenenza a gruppi o fallimenti nell'autenticazione. Inizia la risoluzione dei problemi utilizzando la funzione Verifica Permessi nelle Impostazioni del Sito per verificare quali permessi l'utente ha effettivamente rispetto a quelli che dovrebbe avere. Cause comuni includono l'interruzione dell'ereditarietà dei permessi (dove permessi unici bloccano l'accesso) o utenti rimossi dai gruppi di sicurezza senza la conoscenza dell'amministratore. Svuota la cache del browser e prova ad accedere da una finestra in incognito per eliminare i problemi relativi al token di autenticazione. Controlla se l'utente esiste nella sezione Persone e Gruppi del sito e verifica che la sua appartenenza ai gruppi sia corretta. Per problemi persistenti, esamina i log di SharePoint per informazioni dettagliate sugli errori e verifica lo stato della licenza dell'utente in Microsoft 365. Ricorda che le modifiche ai permessi possono richiedere tempo per propagarsi, specialmente in ambienti di grandi dimensioni. Quando riscontri problemi di accesso, inizia sempre con la verifica dell'identità prima di esaminare i permessi dei gruppi e le impostazioni di ereditarietà.

Come creare e gestire efficacemente i gruppi SharePoint?

La creazione di gruppi SharePoint richiede una pianificazione attenta per evitare la proliferazione dei permessi e le lacune di sicurezza. Accedi alle Impostazioni del Sito e clicca su Persone e Gruppi per creare nuovi gruppi, definendo convenzioni di denominazione chiare che riflettano le funzioni aziendali piuttosto che i nomi individuali. Assegna livelli di permesso appropriati (Controllo Completo, Contribuire, Leggere) basati sui principi del privilegio minimo, assicurando che gli utenti abbiano solo l'accesso minimo necessario per i loro ruoli. Evita di creare troppi gruppi, poiché ciò porta a complessità nella gestione e rischi per la sicurezza. Invece, utilizza Active Directory security groups sincronizzati con SharePoint quando possibile per una gestione centralizzata. Documenta gli scopi dei gruppi e le responsabilità di proprietà per mantenere la responsabilità. Effettua regolarmente audit dei membri dei gruppi per identificare account inutilizzati o permessi eccessivi. Per ambienti di grandi dimensioni, implementa processi automatizzati di provisioning e deprovisioning per garantire che le appartenenze ai gruppi rimangano aggiornate. Ricorda che una gestione efficace dei gruppi SharePoint inizia con la comprensione di chi necessita accesso a quali dati e perché.

Come modificare in sicurezza i permessi di SharePoint?

Modificare le SharePoint permissions richiede un approccio sistematico per evitare di interrompere l'accesso o creare vulnerabilità di sicurezza. Prima di apportare modifiche, documentare i permessi attuali utilizzando strumenti come il report dei permessi o script PowerShell. Testare sempre le modifiche ai permessi in un ambiente di sviluppo prima, specialmente quando si interrompe l'ereditarietà o si modificano i livelli di permesso. Quando si interrompe l'ereditarietà, esaminare attentamente quali permessi andranno persi e pianificare come ripristinare l'accesso necessario. Utilizzare i gruppi di SharePoint piuttosto che i permessi individuali degli utenti quando possibile per una gestione più semplice e una maggiore sicurezza. Effettuare modifiche durante le ore di minor affluenza per minimizzare l'impatto sugli utenti e comunicare le modifiche agli utenti interessati in anticipo. Dopo aver modificato i permessi, verificare che gli utenti possano ancora accedere alle risorse richieste e che i requisiti di sicurezza siano soddisfatti. Monitorare i log di SharePoint per errori di accesso negato che potrebbero indicare problemi di permessi. Implementare un processo di approvazione delle modifiche per le modifiche ai permessi per mantenere la governance della sicurezza e i requisiti di conformità.

Come eseguire l'audit dei permessi di SharePoint per la conformità?

L'audit dei permessi di SharePoint richiede sia strumenti integrati che soluzioni di terze parti per ottenere una visibilità completa sui diritti di accesso. Utilizza la reportistica nativa dei permessi di SharePoint tramite le Impostazioni del Sito per generare report di base sui permessi per i singoli siti. Per ambienti enterprise, implementa script PowerShell o strumenti specializzati che possono eseguire l'audit dei permessi su più raccolte di siti contemporaneamente. Concentrati sull'identificazione di utenti con permessi eccessivi, account orfani e siti con ereditarietà interrotta che potrebbero avere diritti di accesso non intenzionali. Documenta chi ha accesso a dati sensibili e verifica che l'accesso sia in linea con i requisiti aziendali e gli obblighi di conformità. Stabilisci programmi di audit regolari, tipicamente trimestrali per ambienti ad alto rischio e annuali per siti aziendali standard. Cerca anomalie nei permessi come permessi utente individuali che eludono i controlli di gruppo o utenti esterni con livelli di accesso inappropriati. Crea procedure di rimedio per affrontare le violazioni dei permessi e mantieni tracce di audit per la rendicontazione della conformità. Ricorda che un efficace SharePoint auditing va oltre il semplice controllo dei permessi per comprendere i modelli di accesso ai dati e i potenziali rischi per la sicurezza.

Quali sono le migliori pratiche per l'ereditarietà dei permessi di SharePoint?

È necessario mantenere l'ereditarietà dei permessi di SharePoint ogni volta che è possibile per semplificare la gestione e ridurre i rischi per la sicurezza. Interrompere l'ereditarietà solo quando le esigenze aziendali richiedono assolutamente permessi unici, poiché ciò crea un sovraccarico di gestione aggiuntivo e potenziali lacune di sicurezza. Quando è necessario interrompere l'ereditarietà, documentare la giustificazione aziendale e stabilire una chiara proprietà per la gestione continua dei permessi. Evitare interruzioni dei permessi a cascata in tutta la gerarchia dei siti, poiché ciò crea strutture di permessi complesse che sono difficili da verificare e mantenere. Utilizzare in modo coerente i gruppi di SharePoint piuttosto che assegnare permessi individuali, anche sui siti con ereditarietà interrotta. Implementare revisioni regolari dei siti con permessi unici per assicurarsi che soddisfino ancora i requisiti aziendali e gli standard di sicurezza. Considerare l'uso di sottositi o librerie con requisiti di permesso diversi invece di interrompere l'ereditarietà a livelli superiori. Formare i proprietari dei siti sulle implicazioni per la sicurezza dell'interruzione dell'ereditarietà e richiedere processi di approvazione per le modifiche dei permessi. Ricordare che le strutture di permessi più semplici sono più sicure e più facili da gestire rispetto a gerarchie complesse con molteplici interruzioni dell'ereditarietà.

Per i permessi di gruppo di SharePoint in particolare, questo divario diventa più difficile da colmare man mano che gli ambienti crescono da un singolo sito di team a centinaia di siti, librerie, sottositi e cartelle condivise.

La maggior parte delle organizzazioni non rimuove automaticamente e immediatamente l'accesso ai dati sensibili una volta che non è più necessario. Il Netwrix 2026 Data and Identity Security Report indica una percentuale del 76%.

I gruppi sono la leva principale per governare questa crescita. I siti del team di SharePoint creati dal modello di sito del team includono automaticamente tre gruppi predefiniti: Owners, Members e Visitors.

Quella struttura riduce le singole voci di autorizzazione, ma si discosta comunque quando i proprietari aggiungono persone senza documentare il motivo o concedono accesso elevato per un compito temporaneo. Un gruppo di Owners non revisionato è il modo in cui un appaltatore uscito mantiene i diritti di amministratore per mesi dopo la fine del progetto.

Come funzionano i gruppi di autorizzazioni di SharePoint

Gli amministratori possono anche creare gruppi personalizzati per soddisfare le esigenze di minimo privilegio, gestendoli dall'icona dell'ingranaggio → Autorizzazioni sito, utilizzando la pagina completa delle impostazioni delle autorizzazioni per gruppi personalizzati e livelli di autorizzazione.

Un gruppo trasforma un livello di autorizzazione in accesso condiviso

Un gruppo di SharePoint applica un livello di autorizzazione a tutti i suoi membri. Assegna il livello una volta e ogni membro attuale e futuro avrà esattamente quell'accesso finché qualcuno non li rimuove o cambia il livello.

L'accesso è valido solo quanto chi è nel gruppo

Quell’eredità separa anche due cose correlate ma diverse: il set di permessi del sito, che elenca ogni gruppo e le eventuali concessioni individuali, e il set di permessi di ciascun gruppo, che deriva dai livelli assegnati a quel gruppo.

Un limite strutturale determina come viene organizzata quella membership: i gruppi SharePoint non possono contenere altri gruppi SharePoint, quindi gli amministratori devono configurare qualsiasi annidamento a monte, nei gruppi di sicurezza di Active Directory (AD) o Entra ID, prima di aggiungere quei gruppi a SharePoint.

Quel limite è ciò che produce due modi per concedere l'accesso

Un gruppo di SharePoint è un insieme di utenti che condividono tutti i permission level assegnati su un sito. Ogni permission level raggruppa i permessi correlati e assegnare quel livello a un gruppo lo estende a ogni membro. Quando gli amministratori aggiungono utenti al gruppo, quegli utenti ereditano ciò che il gruppo può fare, e rimuoverli toglie quell'accesso in un solo passaggio.

L'appartenenza a un gruppo può provenire da diverse fonti di identità: singoli utenti SharePoint, oltre a utenti o gruppi di sicurezza di Active Directory Domain Services (AD DS), Microsoft Entra ID, directory basate su Lightweight Directory Access Protocol versione 3 (LDAPv3), database specifici per applicazioni e modelli di identità come Microsoft account. Puoi organizzare gli utenti in qualsiasi numero di gruppi a seconda delle dimensioni e della complessità della tua organizzazione o sito.

Tipi di gruppo predefiniti

• Visitatori: Solo lettura

Il secondo approccio centralizza la gestione delle iscrizioni nella directory, il che è vantaggioso quando le stesse persone devono accedere a più di un sito.

Questo limite di annidamento lascia agli amministratori due modi per concedere autorizzazioni a un sito tramite gruppi. Il primo è aggiungere un utente direttamente a un gruppo SharePoint. Il secondo è concedere l'accesso al sito a un gruppo di Active Directory security, sia assegnandogli direttamente un livello di autorizzazione sia inserendolo in un gruppo SharePoint che ne possiede già uno.

I modelli di sito possono includere gruppi predefiniti a livello di sito e gli amministratori possono assegnare loro permessi all'interno della raccolta siti. A seconda del modello di sito del team moderno e della configurazione, i gruppi e i loro livelli di autorizzazione possono includere:

• Membri: Modifica
• Proprietari: Controllo completo
• Spettatori: Solo visualizzazione

Come i livelli di autorizzazione si associano ai gruppi

Il gruppo Owners può modificare le impostazioni del sito, gestire i membri e cambiare i permessi. I membri possono visualizzare, aggiungere, aggiornare ed eliminare elementi delle liste e documenti. I visitatori possono aprire le pagine e scaricare documenti senza modificare nulla.

• Solo visualizzazione: Visualizza pagine, elementi e documenti, anche se il download è limitato. Gruppo predefinito: Viewers.

I modelli più vecchi di SharePoint Server possono includere gruppi legacy come Enterprise Readers, Enterprise Members, Designers, Editors e Enterprise Owners, con capacità di Read, Contribute, Page Design, List Editing e Full Control. Gli amministratori delle farm classiche on-premises possono incontrare questi gruppi e possono modificare qualsiasi gruppo integrato assegnandogli un livello di autorizzazione diverso.

• Leggi: Visualizza pagine e elementi, e apri e scarica documenti. Gruppo predefinito: Visitatori.
• Contribuire: Visualizza, aggiungi, aggiorna ed elimina elementi di elenco e documenti. Gruppo predefinito: Membri (in alcuni modelli).

I livelli di autorizzazione sono i mattoni fondamentali di ogni gruppo. Ogni livello è un insieme nominato di autorizzazioni individuali e gli amministratori possono assegnare uno o più livelli a un gruppo a livello di sito, elenco o raccolta. I livelli predefiniti nella documentazione Microsoft sono:

• Modifica: Tutto ciò che consente Contribute, più aggiungere, modificare ed eliminare liste. Gruppo predefinito: Members.
• Design: Visualizza, aggiungi, aggiorna, elimina, approva e personalizza le pagine del sito. Gruppo predefinito: Designers, sui modelli legacy.

Gruppi di SharePoint vs. gruppi di Microsoft 365

• Controllo completo: Gestisci ogni autorizzazione, comprese le impostazioni del sito, gli utenti e i permessi. Gruppo predefinito: Owners.

I siti del team collegati a Microsoft Teams o Outlook hanno due sistemi di appartenenza affiancati. Il sito mantiene i suoi classici gruppi SharePoint (Owners, Members, Visitors) e ha anche un gruppo Microsoft 365 che controlla l’accesso su più app.

I gruppi moderni (Microsoft 365) e i gruppi SharePoint concedono accessi diversi al sito. Aggiungere qualcuno al team in Teams lo aggiunge al gruppo Microsoft 365, che a sua volta lo inserisce nel gruppo Membri del sito. Aggiungere qualcuno solo a un gruppo SharePoint gli concede l'accesso al sito senza l'appartenenza a Teams.

Dove visualizzare i gruppi di SharePoint

Questa distinzione controlla l'accesso ai file o alle cartelle caricati da Teams. Teams memorizza i file del canale standard nel sito SharePoint collegato, dove i membri del team vi accedono tramite il gruppo Members.

Lavora con i livelli predefiniti quando possibile e pianifica una strategia di autorizzazioni prima di crearne di personalizzate, tenendo conto delle autorizzazioni dipendenti e della modalità blocco se la strategia copre molti siti. L’ereditarietà delle autorizzazioni determina come i siti figli, le liste e gli elementi ricevono le autorizzazioni dal loro genitore fino a quando un amministratore interrompe tale ereditarietà.

I gruppi del sito si trovano in un unico posto. Da qualsiasi pagina del sito, fai clic sull'icona dell'ingranaggio in alto a destra e seleziona Site permissions. Il pannello che si apre elenca i gruppi Owners, Members e Visitors e i loro membri attuali.

Come creare un gruppo di SharePoint

Crea un gruppo personalizzato quando i tre predefiniti non possono esprimere un vero confine di accesso, ad esempio un team di revisione limitato all'accesso Contribute su una libreria.

Per limitare una cartella a un sottoinsieme del team, lavora direttamente nel sito SharePoint. Apri le impostazioni delle autorizzazioni della libreria o della cartella, interrompi l’eredità delle autorizzazioni dal genitore e concedi a un gruppo SharePoint personalizzato il livello desiderato. Applica autorizzazioni uniche nell’ambito più ristretto che soddisfi il requisito di accesso documentato e annota quali cartelle hanno autorizzazioni uniche.

1. Apri la pagina di creazione del gruppo

Lo stesso posto mostra il tuo livello attuale. Con Read, puoi vedere il contenuto, ma non puoi modificare nulla; con Contribute, puoi aggiungere e modificare elementi, ma le impostazioni del sito non sono disponibili. Con Full Control, vedi il menu completo di Site settings. Se il sito si rifiuta di aprirsi, non hai alcun livello di autorizzazione e la access-denied page ti consente di richiedere l'accesso al proprietario del sito.

Fai clic sull'icona dell'ingranaggio, seleziona Permessi sito, quindi apri la pagina completa delle impostazioni dei permessi. Nella barra multifunzione, scegli Crea gruppo.

Per una visione completa, inclusi i gruppi personalizzati e qualsiasi gruppo di sicurezza di Active Directory con concessioni dirette, apri la pagina completa delle impostazioni dei permessi. La pagina Persone e Gruppi in quella vista elenca ogni gruppo del sito nel pannello a sinistra, e selezionando un gruppo vengono mostrati i suoi membri e le impostazioni. Un report dei permessi di SharePoint Online trasforma questa vista live in un record completo ed esportabile.

2. Assegna un nome al gruppo e imposta il suo proprietario

3. Decidi chi può vedere e modificare l'appartenenza

4. Assegna un livello di autorizzazione e crea il gruppo

Inserisci un nome e una descrizione. Usa un nome che rifletta la funzione aziendale ("Finance-Contracts-Reviewers") invece di una persona o un codice progetto che non avrà senso tra un anno. Imposta il proprietario del gruppo. Questo account può gestire i membri in seguito, quindi assegna la proprietà a un account di ruolo o a un proprietario dati nominato.

Come modificare l'appartenenza a un gruppo SharePoint

Scegli se solo il proprietario o tutti i membri del gruppo possono visualizzare e modificare l'appartenenza al gruppo. Quindi decidi se gli utenti possono richiedere di unirsi o lasciare il gruppo e se il proprietario deve approvare tali richieste. Lascia disattivata l'accettazione automatica per qualsiasi livello superiore a Lettura.

Nella sezione dei permessi del sito, seleziona il livello di permesso che il gruppo deve avere. Clicca su Crea. Il nuovo gruppo appare immediatamente in People and Groups e ogni utente aggiunto dal proprietario riceve il livello assegnato sul sito.

1. Aggiungi utenti a un gruppo

Le modifiche alle iscrizioni sono il compito di gruppo più frequente e sono anche il punto in cui inizia la deriva. Aggiungere e rimuovere utenti, concedere l'accesso al sito a un gruppo, assegnare un nuovo livello di autorizzazione e gestire gli amministratori del sito sono gestiti ciascuno come azioni separate di seguito.

2. Rimuovere gli utenti da un gruppo

Da Persone e Gruppi, fai clic sul nome del gruppo nel riquadro a sinistra, quindi clicca su Nuovo e Aggiungi utenti. Inserisci uno o più nomi utente o nomi di gruppi di sicurezza AD e clicca su Share. SharePoint invia un'email di invito per impostazione predefinita; disattivala se l'aggiunta è di routine.

3. Modificare il livello di autorizzazione assegnato a un gruppo

Apri il gruppo, seleziona la casella accanto a ogni utente che vuoi rimuovere, clicca su Azioni e poi su Rimuovi utenti dal gruppo. La rimozione revoca l'accesso concesso tramite quel gruppo.

4. Concedi l’accesso a un sito a un gruppo esistente

6. Lasciare un gruppo

5. Aggiungi, modifica o rimuovi un amministratore del sito

Nella pagina delle impostazioni complete dei permessi, seleziona la casella accanto al gruppo e clicca su Modifica permessi utente. Seleziona il nuovo livello di permesso e clicca OK. Ogni membro del gruppo ora ha il nuovo livello. Poiché questo cambia l'accesso per tutti i membri del gruppo contemporaneamente, trattalo come una modifica regolamentata e preferisci creare un secondo gruppo piuttosto che promuovere uno esistente quando solo alcuni membri necessitano di più accesso.

Gli amministratori possono concedere a un gruppo SharePoint esistente l'accesso alle liste e alle librerie di quel sito. Possono anche concedere a un gruppo di sicurezza AD o Entra ID l'accesso a qualsiasi sito. Nella pagina completa delle impostazioni dei permessi, fare clic su Concedi permessi, inserire il nome del gruppo, espandere Mostra opzioni e scegliere il livello di permesso. Deselezionare l'opzione di invito per i gruppi di sicurezza.

Gli amministratori della raccolta siti hanno Controllo completo su ogni sito della raccolta, oltre all'accesso fornito dal gruppo Owners. Dalla pagina delle impostazioni dei Permessi completi, cliccare su Site Collection Administrators, aggiungere o rimuovere account, quindi cliccare OK. Mantieni questa lista a due o tre account nominativi e rivedila ogni volta che un amministratore lascia l'organizzazione.

Come eliminare un gruppo di SharePoint

Best practice per gestire i gruppi di autorizzazioni di SharePoint

L'accesso basato sui gruppi rimane difendibile solo quando gli amministratori applicano queste pratiche in modo coerente, non solo quando un gruppo viene creato per la prima volta:

Se il proprietario del gruppo ha abilitato le richieste di uscita durante la creazione del gruppo, un utente può aprire Persone e Gruppi, selezionare il gruppo e scegliere Esci dal gruppo dal menu Impostazioni. Altrimenti, il proprietario li rimuove seguendo i passaggi sopra indicati. Uscire da un gruppo rimuove solo l'accesso concesso dal gruppo; qualsiasi concessione diretta all'utente sul sito o su singoli elementi rimane in vigore.

Prima di confermare, controlla due cose. Primo, verifica che il gruppo non sia l’unica via che un dipendente attuale usa per accedere ai contenuti di cui ha ancora bisogno. Secondo, esporta o fai uno screenshot della lista dei membri per conservare un registro di chi ne faceva parte prima della rimozione.

Elimina un gruppo quando il suo scopo è terminato, ad esempio un gruppo di progetto il cui sito è stato archiviato. Da Autorizzazioni sito, apri la pagina completa delle impostazioni delle autorizzazioni e poi Persone e gruppi. Seleziona il gruppo, apri Impostazioni, scegli Impostazioni gruppo e clicca su Elimina.

• Fidati delle impostazioni predefinite: I Visitors sono per i lettori, i Members per gli utenti che creano o modificano contenuti, e gli Owners sono le due o tre persone responsabili del sito. Questo modello limita i percorsi di autorizzazione personalizzati e mantiene la responsabilità delle impostazioni del sito, degli utenti e delle autorizzazioni nel gruppo Owners.
• Pianifica la revoca prima di condividere: Le condivisioni ad hoc possono creare lavoro aggiuntivo per gli Owners, quindi stabilisci chi è responsabile della revoca dell'accesso. Limita chi può condividere usando le impostazioni dei permessi del sito e forma i Members a indirizzare le richieste di accesso tramite il group owner.
• Concedi l'accesso tramite gruppi, non singoli elementi: Un gruppo assegna ai collaboratori un unico set di autorizzazioni sul sito invece di assegnare autorizzazioni individualmente al contenuto, secondo la SharePoint group management guidance; l'uso di concessioni individuali complica anche le revisioni dei membri.
• Nomina i gruppi in base alle funzioni aziendali e rivedi la membership a intervalli fissi: Rivedi più spesso i siti che contengono dati regolamentati. Se una revisione trova un membro inatteso in Owners, chiedi chi lo ha aggiunto e quando. L’audit delle modifiche fornisce questa risposta; la pagina attuale della membership mostra solo chi è presente ora.
• Origine dell'appartenenza da gruppi di sicurezza AD o Entra ID dove puoi: Un gruppo di sicurezza sincronizzato inserito in un gruppo SharePoint significa joiner, mover, and leaver le modifiche fluiscono dalla directory e una revisione dell'appartenenza copre ogni sito toccato dal gruppo.

Come Netwrix aiuta a gestire i gruppi di autorizzazioni di SharePoint

• Mantieni intatta l'ereditarietà a livello di sito: Interrompere l'ereditarietà su un sito o sottosito crea un secondo albero di autorizzazioni che gli amministratori devono esaminare separatamente dal principale e che smette di ricevere modifiche fatte sopra. Se un sottoinsieme di contenuti necessita di accesso diverso, interrompi l'ereditarietà sulla libreria o cartella specifica, registra il motivo e decidi quella struttura in anticipo anziché dopo che il contenuto è già presente.

Tracciamento di chi ha modificato l'appartenenza al gruppo e quando

Avvisi sui cambiamenti di gruppi ad alto rischio

Questo integra la visualizzazione dello stato attuale nella pagina Persone e Gruppi. Un proprietario del sito che trova un account sconosciuto tra i Membri può cercare le modifiche registrate invece di chiedere in giro.

Netwrix Auditor registra le aggiunte e le rimozioni dai gruppi SharePoint, inclusi l’utente interessato, il gruppo, il timestamp e l’account che ha effettuato la modifica. Audita anche le riassegnazioni dei livelli di autorizzazione e le interruzioni di ereditarietà.

Tutto quanto sopra regola l'appartenenza ai gruppi in un momento specifico; non mostra chi ha cambiato cosa o quando.Netwrix Auditor è una piattaforma on-premises per l’audit delle modifiche che colma questa lacuna, fornendo audit continuo dell’appartenenza e dei permessi dei gruppi SharePoint insieme a ricerca interattiva e report di conformità. Si installa in 30 minuti, con i primi report in poche ore.

Esaminare la cronologia dell'appartenenza ai gruppi per periodi più lunghi

Gli avvisi configurati possono notificare ai team i cambiamenti ad alto rischio controllati, come l’aggiunta di un utente a un gruppo privilegiato, l’aumento del livello di autorizzazione di un gruppo o l’aggiunta di un amministratore della raccolta siti. Questa visibilità aiuta il team di sicurezza a esaminare una possibile escalation prima della successiva revisione programmata dei membri. Gli amministratori possono concentrare la revisione sui siti che contengono dati regolamentati, mantenendo l’attenzione sui cambiamenti importanti.

Tracciare come un account ha ottenuto accesso non autorizzato dopo un incidente

Quando i vincoli nativi di conservazione o ricerca delle audit limitano l'accesso a una modifica di gruppo precedente, la cronologia delle modifiche registrata di Netwrix Auditor può supportare l'indagine. Un auditor può cercare nei record conservati disponibili per vedere chi aveva i diritti di Owner su un sito diciotto mesi fa.

I report storici dei membri rendono anche le access reviews trimestrali più veloci perché i revisori possono confrontare la composizione attuale con le modifiche registrate dall’ultima revisione.

Dopo una compromissione o un sospetto evento interno, gli investigatori devono determinare come l'account ha raggiunto i dati. Il registro delle modifiche di membership di Netwrix Auditor registra gli aggiornamenti di membership, come quando qualcuno ha aggiunto l'account a un gruppo, quale gruppo è stato coinvolto e chi ha effettuato la modifica.

CoastHills Credit Union, la cui implementazione completa di Netwrix Auditor includeva SharePoint, ha risparmiato 10 ore al mese nelle procedure di audit. Recuperare quel tempo riduce i costi del lavoro di audit e libera il team IT per priorità di sicurezza di maggior valore.

Il punto essenziale sulla gestione dei gruppi di autorizzazioni di SharePoint

Netwrix esegue anche audit separati per le modifiche ai livelli di autorizzazione di SharePoint. L’attività auditata può anche mostrare cosa è successo dopo la modifica dell’accesso. Gli investigatori possono cercare l’attività registrata di SharePoint e le modifiche rilevanti in Active Directory o Entra ID invece di esaminare ogni log separatamente.

Un modello sostenibile di autorizzazioni SharePoint richiede una proprietà chiara, accesso basato su gruppi, limitate interruzioni di ereditarietà, revisioni programmate e registri modifiche ricercabili. Inizia inventariando gruppi personalizzati e autorizzazioni uniche, assegnando un proprietario a ogni eccezione e decidendo per quanto tempo l'organizzazione deve conservare le prove delle modifiche di accesso.

Richiedi una demo per vedere come Netwrix può collegare le tue attuali autorizzazioni SharePoint con la cronologia delle modifiche conservata e aiutarti a correggere le discrepanze prima che diventino un rilievo di audit.