Cuando configura la política de uso compartido para permitir compartir solo con invitados existentes, espera que los nuevos usuarios externos no puedan agregarse a sus sitios de SharePoint ni a los grupos de Microsoft 365. Sin embargo, muchos administradores descubren que esta configuración no funciona como se espera. La causa principal suele ser un malentendido sobre cómo interactúa la política con otros controles de uso compartido en el centro de administración. Este artículo explica los errores más comunes que cometen los administradores al configurar esta política y cómo corregirlos.
Puntos clave: Configurar solo invitados existentes sin errores
- Centro de administración de SharePoint > Políticas > Uso compartido: La política global de uso compartido debe establecerse en “Solo invitados existentes” para todos los sitios o colecciones de sitios específicas.
- Azure AD > Identidades externas > Configuración de colaboración externa: La configuración de invitación de invitados debe establecerse en “Solo los usuarios de esta organización pueden invitar a invitados” o se omitirá la política.
- Configuración de uso compartido a nivel de sitio: Los propietarios de sitios individuales pueden anular la política global si la configuración a nivel de sitio es más permisiva que “Solo invitados existentes”.
Por qué puede fallar la política de solo invitados existentes
La configuración “Solo invitados existentes” es una restricción de uso compartido que impide que se agreguen nuevos usuarios externos a su inquilino a través de SharePoint, OneDrive o grupos de Microsoft 365. Cuando esta política está activa, los usuarios solo pueden compartir contenido con usuarios externos que ya tengan una cuenta de invitado en su Azure Active Directory. La política se configura en el centro de administración de SharePoint, en la sección de uso compartido, pero su eficacia depende de varias capas de configuración.
La razón más común por la que la política parece no funcionar es que la política global de uso compartido no es el único control. La configuración de colaboración externa de Azure AD, los permisos de uso compartido a nivel de sitio y la configuración de pertenencia a grupos pueden anular la política global. Si cualquiera de estas otras configuraciones permite nuevas invitaciones de invitados, se omite la restricción “Solo invitados existentes”.
Otra causa frecuente es que la política no elimina retroactivamente a los invitados que se agregaron antes de habilitarla. Los invitados existentes permanecen en el directorio y los usuarios pueden seguir compartiendo con ellos. La política solo bloquea la creación de nuevas cuentas de invitado.
Pasos para configurar correctamente solo invitados existentes
Para asegurarse de que la política “Solo invitados existentes” funcione en todo el inquilino, debe configurar tres ajustes distintos en el orden correcto. Siga estos pasos exactamente.
- Establecer la política global de uso compartido en el centro de administración de SharePoint
Vaya al centro de administración de SharePoint. Seleccione Políticas en la navegación izquierda y luego elija Uso compartido. En Uso compartido externo, seleccione Solo invitados existentes en la lista desplegable. Esta configuración se aplica a todos los sitios de SharePoint y cuentas de OneDrive nuevos. Haga clic en Guardar. Si tiene sitios existentes que necesitan esta restricción, debe aplicar la política a cada sitio individualmente mediante PowerShell o la configuración de uso compartido a nivel de sitio. - Restringir las invitaciones de invitados en Azure AD
Abra el centro de administración de Azure Active Directory. Vaya a Identidades externas y seleccione Configuración de colaboración externa. En Configuración de invitación de invitados, elija Solo los usuarios de esta organización pueden invitar a invitados. Esto impide que los usuarios envíen nuevas invitaciones de invitados a través de Azure AD, lo que omitiría la política de SharePoint. Haga clic en Guardar. - Bloquear la configuración de uso compartido a nivel de sitio
Para cada sitio de SharePoint que deba aplicar la política, vaya a Configuración > Permisos del sitio > Configuración de uso compartido. Seleccione Solo invitados existentes y desmarque la casilla que dice Permitir que los propietarios del sitio cambien la configuración de uso compartido. Esto impide que los propietarios del sitio hagan la política más permisiva.
Errores comunes al configurar solo invitados existentes
Error 1: No revisar la configuración de invitación de invitados de Azure AD
La configuración más pasada por alto es el permiso de invitación de invitados de Azure AD. Aunque SharePoint esté configurado en “Solo invitados existentes”, los usuarios aún pueden invitar a nuevos invitados a través de Microsoft Teams, los grupos de Microsoft 365 o Azure AD directamente. Para corregirlo, vaya a Azure AD > Identidades externas > Configuración de colaboración externa y establezca la configuración de invitación de invitados en Solo los usuarios de esta organización pueden invitar a invitados. Esto bloquea todas las nuevas invitaciones de invitados de cualquier servicio de Microsoft.
Error 2: Propietarios del sitio que anulan la política global
Cuando los propietarios del sitio tienen permiso para cambiar la configuración de uso compartido, pueden cambiar un sitio a “Cualquier persona” o “Invitados nuevos y existentes”. Esto omite la política global “Solo invitados existentes”. Para evitarlo, navegue a la configuración de uso compartido de cada sitio y desmarque Permitir que los propietarios del sitio cambien la configuración de uso compartido. También puede usar PowerShell para aplicar esta restricción a todos los sitios a la vez.
Error 3: No aplicar la política a los sitios existentes
La política global de uso compartido solo se aplica a los sitios nuevos creados después de establecerla. Los sitios existentes conservan su configuración de uso compartido anterior. Para aplicar la política a todos los sitios existentes, use el Shell de administración de SharePoint Online. Ejecute el comando Set-SPOSite -Identity <SiteURL> -SharingCapability ExistingExternalUserSharingOnly para cada sitio. Para actualizar todos los sitios, recorra su colección de sitios.
Error 4: Suponer que la política bloquea todo el acceso externo
La política “Solo invitados existentes” no elimina las cuentas de invitado existentes ni revoca el acceso que ya tienen. Solo impide que se creen nuevas cuentas de invitado. Los invitados existentes aún pueden acceder al contenido al que fueron invitados previamente. Para eliminar a los invitados existentes, debe eliminar sus cuentas de Azure AD o revocar su acceso desde sitios individuales.
Error 5: Olvidarse de los grupos de Microsoft 365 y Teams
Los grupos de Microsoft 365 y Teams tienen su propia configuración de acceso de invitados que es independiente de SharePoint. Aunque SharePoint esté bloqueado, un propietario de Team puede agregar un nuevo invitado al grupo, lo que crea una cuenta de invitado en Azure AD. Para bloquear esto, vaya al centro de administración de Microsoft 365 > Configuración > Configuración de la organización > Grupos de Microsoft 365 y desmarque Permitir que los propietarios del grupo agreguen personas ajenas a la organización a los grupos de Microsoft 365.
| Configuración | Ubicación | Efecto en solo invitados existentes |
|---|---|---|
| Política global de uso compartido de SharePoint | Centro de administración de SharePoint > Políticas > Uso compartido | Controla el uso compartido externo para SharePoint y OneDrive |
| Configuración de invitación de invitados de Azure AD | Azure AD > Identidades externas > Configuración de colaboración externa | Bloquea nuevas invitaciones de invitados de todos los servicios de Microsoft |
| Configuración de uso compartido a nivel de sitio | Configuración del sitio > Permisos del sitio > Configuración de uso compartido | Puede anular la política global si no está bloqueada |
| Configuración de invitados de los grupos de Microsoft 365 | Centro de administración de Microsoft 365 > Configuración de la organización > Grupos de Microsoft 365 | Impide que los propietarios de grupos agreguen nuevos invitados |
Después de configurar todos estos ajustes, pruebe la política pidiendo a un usuario que comparta un documento con una nueva dirección de correo electrónico externa. El usuario debería recibir un mensaje de error que indique que no se permite compartir con nuevos usuarios externos. Si el usuario aún puede compartir, revise cada configuración de nuevo. El culpable más común es que la configuración de invitación de invitados de Azure AD se deje en su valor predeterminado “Cualquier persona de la organización puede invitar a invitados”.
Para una auditoría completa, ejecute un informe de uso compartido desde el centro de administración de SharePoint. Vaya a Políticas > Uso compartido y seleccione Ver informes de uso compartido. Este informe muestra toda la actividad de uso compartido externo y ayuda a identificar los sitios que aún permiten nuevos invitados.