Como propietario de un sitio de SharePoint, comparte contenido con invitados externos y necesita confirmar que solo puedan acceder a los archivos y carpetas que usted desea. Sin una comprobación directa, un invitado podría ver contenido de un sitio principal o de un grupo de Microsoft 365 conectado que usted no compartió explícitamente. Este artículo explica cómo usar la característica Permisos efectivos en SharePoint para verificar los derechos de acceso exactos de un usuario invitado. Aprenderá una lista de comprobación paso a paso para realizar esta verificación, comprenderá los errores comunes de permisos y verá una comparación de los tipos de permisos que afectan el acceso de invitados.
Puntos clave: Verificar los permisos efectivos de invitados en SharePoint
- Configuración del sitio > Permisos del sitio > Comprobar permisos: Ejecute la herramienta Permisos efectivos para cualquier usuario invitado ingresando su dirección de correo electrónico.
- Pertenencia a grupos de Microsoft 365: Los invitados agregados al grupo conectado heredan los permisos a nivel de grupo en el sitio, que pueden ser más amplios de lo previsto.
- Permisos únicos en elementos: Interrumpa la herencia en subcarpetas o documentos para limitar el acceso de invitados sin afectar el resto del sitio.
Por qué son importantes los permisos efectivos para los invitados externos
SharePoint utiliza un modelo de herencia de permisos de forma predeterminada. Cuando agrega un invitado externo a un sitio, ese invitado recibe el nivel de permiso asignado al grupo al que se une, normalmente Miembros, Visitantes o Propietarios. Si el sitio usa permisos únicos en elementos específicos, el acceso efectivo del invitado puede ser una combinación de derechos heredados y asignados directamente. La herramienta Comprobar permisos calcula el conjunto final de permisos de un usuario evaluando todos los grupos de seguridad, vínculos para compartir y asignaciones directas. Este cálculo es fundamental para los invitados externos porque pueden pertenecer a un grupo de invitados de Azure AD o a un grupo de Microsoft 365 que otorga acceso a varios sitios, listas o bibliotecas de SharePoint sin su conocimiento directo.
La causa raíz del acceso inesperado de invitados suele ser la herencia de permisos de un objeto principal o la pertenencia a un grupo que otorga un nivel de permiso superior al que el invitado necesita. Por ejemplo, agregar un invitado al grupo Miembros le otorga derechos de Edición en todo el sitio, incluidas todas las bibliotecas de documentos y listas que heredan permisos. Si posteriormente interrumpe la herencia en una carpeta confidencial y deniega el grupo Miembros, el invitado aún podría conservar el acceso a través de un vínculo para compartir directo o un grupo diferente. La herramienta Permisos efectivos resuelve esta incertidumbre mostrando los permisos exactos que tiene el invitado en el elemento específico que seleccione.
Qué no muestran los permisos efectivos
La herramienta Comprobar permisos evalúa únicamente los permisos de SharePoint. No comprueba los vínculos para compartir de OneDrive, las directivas de Acceso condicional de Azure AD ni las etiquetas de confidencialidad. Estos controles externos pueden restringir o permitir el acceso adicionalmente después de que SharePoint otorgue el permiso. Para una revisión de seguridad completa, debe combinar el resultado de Permisos efectivos con las directivas de identidad y cumplimiento de su organización.
Lista de comprobación paso a paso para verificar los permisos efectivos de un invitado
Siga estos pasos en un sitio de SharePoint Online del que sea propietario. Debe tener el permiso Control total o Administrar permisos en el sitio.
- Vaya a Configuración del sitio
Abra su sitio de SharePoint en un navegador. Seleccione el icono de engranaje en la esquina superior derecha y elija Configuración del sitio. Si no ve Configuración del sitio, seleccione Información del sitio y luego Ver toda la configuración del sitio. - Abra Permisos del sitio
En Usuarios y permisos, seleccione Permisos del sitio. Esta página muestra todos los grupos y usuarios que tienen acceso directo al sitio. - Inicie la herramienta Comprobar permisos
En la cinta de opciones, seleccione Comprobar permisos. Aparece un cuadro de diálogo con un único campo de texto etiquetado Usuario o grupo. - Ingrese la dirección de correo electrónico del invitado
Escriba la dirección de correo electrónico completa del invitado externo. Seleccione Comprobar ahora. SharePoint resuelve el usuario y muestra una lista de todos los niveles de permiso que el invitado tiene en el sitio actual. - Revise el resumen de permisos
Los resultados muestran cada nivel de permiso (Lectura, Colaboración, Edición, Control total, etc.) y el origen de ese permiso, por ejemplo, a través de un grupo de SharePoint, una asignación directa o un vínculo para compartir. Si el invitado tiene varios orígenes, se aplica el nivel de permiso más alto. - Compruebe un elemento o carpeta específicos
Para verificar el acceso a un documento o carpeta en particular, navegue primero a ese elemento. Abra el menú contextual del elemento, seleccione Administrar acceso y luego elija Configuración de permisos avanzados. En la pestaña Permisos, seleccione Comprobar permisos en la cinta de opciones e ingrese nuevamente el correo electrónico del invitado. Este método muestra los permisos solo para ese elemento específico, no para todo el sitio. - Documente el resultado
Registre el nivel de permiso efectivo y su origen. Si el invitado tiene más acceso del previsto, continúe con el paso 8. - Elimine o modifique el acceso no deseado
Vuelva a la página Permisos del sitio. Seleccione el grupo o usuario que otorga el permiso excesivo. Elimine al invitado de ese grupo o cambie el nivel de permiso del grupo. Como alternativa, interrumpa la herencia de permisos en el elemento específico y asigne directamente un nivel de permiso más restrictivo.
Problemas comunes al comprobar los permisos de invitados
El correo electrónico del invitado no se resuelve en Comprobar permisos
Si el correo electrónico del invitado no devuelve resultados, el usuario no se ha agregado al sitio de SharePoint ni al grupo de Microsoft 365 conectado al sitio. Primero se debe invitar al invitado y este debe aceptar la invitación. Después de la aceptación, el usuario aparece en el Selector de personas del sitio. Puede verificar la presencia del invitado yendo a Permisos del sitio y buscando en el grupo Miembros o Visitantes. Si el invitado no aparece en la lista, envíe una nueva invitación para compartir desde el sitio.
Los permisos efectivos muestran Lectura pero el invitado puede editar
Esta discrepancia suele ocurrir porque el invitado pertenece a un grupo de Microsoft 365 que otorga permisos de Edición en un sitio diferente o en un sitio concentrador del que hereda el sitio actual. Compruebe la pertenencia del invitado en el centro de administración de Microsoft 365 en Grupos > Grupos activos. Si el invitado es miembro del grupo conectado, hereda el nivel de permiso del grupo en todos los sitios asociados con ese grupo. Elimine al invitado del grupo o cambie el nivel de permiso de SharePoint del grupo en la configuración del sitio.
El invitado tiene acceso a una carpeta que no se compartió
La carpeta puede heredar permisos de la biblioteca o del sitio principal. Aunque no haya compartido la carpeta directamente, el invitado puede haber recibido un vínculo para compartir de otro usuario con derechos de Edición o Colaboración. Use la herramienta Comprobar permisos en la carpeta específica como se describe en el paso 6. Si el origen es un vínculo para compartir, vaya a la configuración de la biblioteca y seleccione Administrar acceso para revocar el vínculo. Si el origen es la pertenencia a un grupo, elimine al invitado de ese grupo.
Permiso de sitio vs permiso de elemento vs pertenencia a grupo: Diferencias clave
| Elemento | Permiso de sitio | Permiso de elemento | Pertenencia a grupo |
|---|---|---|---|
| Ámbito | Todo el sitio, todas las listas y bibliotecas | Un solo archivo, carpeta o elemento de lista | Todos los sitios y recursos conectados al grupo de Microsoft 365 |
| Método de asignación | Agregar usuario o grupo a Visitantes/Miembros/Propietarios del sitio | Interrumpir la herencia en el elemento y asignar directamente | Agregar invitado al grupo en Outlook o Teams |
| Niveles de permiso | Lectura, Edición, Colaboración, Control total | Los mismos niveles pero pueden ser más restrictivos | Los mismos niveles que el permiso de sitio para el grupo |
| Herencia | Los elementos secundarios heredan de forma predeterminada | No afecta a los elementos principales ni secundarios | Se aplica a todos los sitios de SharePoint conectados al grupo |
| Ubicación de administración | Configuración del sitio > Permisos del sitio | Menú contextual del elemento > Administrar acceso > Permisos avanzados | Centro de administración de Microsoft 365 > Grupos > Grupos activos |
| Impacto en el invitado | El invitado ve todo en el sitio | El invitado ve solo el elemento específico | El invitado puede ver varios sitios sin invitaciones separadas |
Comprender estos tres ámbitos de permisos le ayuda a predecir lo que mostrará la herramienta Permisos efectivos. Si un invitado tiene permiso de Edición a nivel de sitio, puede leer y editar todos los documentos a menos que un permiso de elemento lo deniegue explícitamente. La pertenencia a un grupo puede otorgar acceso a sitios que no compartió directamente, por lo que siempre debe comprobar las pertenencias a grupos del invitado en Azure AD cuando el resultado de Permisos efectivos parezca incorrecto.
Ahora tiene una lista de comprobación repetible para verificar los permisos efectivos de un invitado externo en cualquier sitio o elemento de SharePoint. Ejecute la herramienta Comprobar permisos después de cada invitación de invitado y después de cualquier cambio de permisos en un sitio o biblioteca. Para auditorías continuas, use las Revisiones de acceso de SharePoint en el centro de cumplimiento para revisar y eliminar automáticamente el acceso de invitados obsoleto.