Cuando administra OneDrive para la Empresa para su organización, controlar qué dispositivos pueden sincronizar archivos es una medida de seguridad fundamental. Sin restricciones de sincronización, los usuarios pueden sincronizar datos corporativos en equipos no administrados o personales, lo que aumenta el riesgo de fuga de datos. Este artículo explica cómo configurar las restricciones de sincronización del inquilino mediante el centro de administración de Microsoft 365 y PowerShell. Aprenderá a bloquear la sincronización en dispositivos no administrados, restringir la sincronización a rangos de IP específicos y aplicar reglas de cumplimiento de dispositivos.
Puntos clave: Configuración de las restricciones de sincronización del inquilino de OneDrive
- Centro de administración de Microsoft 365 > Configuración > OneDrive > Sincronización: Controla las restricciones de sincronización para todo el inquilino, el bloqueo de tipos de archivo y el comportamiento de Known Folder Move.
- Cmdlet Set-SPOTenantSyncClientRestriction de PowerShell: Habilita o deshabilita la sincronización en dispositivos no administrados y establece los rangos de IP permitidos.
- Directiva de acceso condicional en Azure AD: Requiere dispositivos compatibles o unidos al dominio antes de permitir la sincronización de OneDrive.
Descripción de las restricciones de sincronización del inquilino en OneDrive para la Empresa
Las restricciones de sincronización del inquilino son directivas que controlan dónde y cómo los usuarios pueden sincronizar archivos de OneDrive. El objetivo principal es evitar que los datos se sincronicen en dispositivos que no están administrados por su organización. Estas restricciones funcionan a nivel del inquilino y se aplican a todos los usuarios, a menos que cree excepciones.
Existen tres capas principales de restricciones de sincronización:
1. Restricción de plataforma de dispositivo
Puede bloquear la sincronización por completo en dispositivos Windows, macOS, Android o iOS. Esto resulta útil si su organización solo admite un sistema operativo específico.
2. Restricción de dispositivos no administrados
Esta configuración bloquea la sincronización en dispositivos que no están unidos a Azure AD o que no están marcados como compatibles en Intune. Cuando se habilita, los usuarios ven un mensaje de error en OneDrive y no pueden sincronizar ningún archivo.
3. Restricción de rango de IP
Puede definir una lista de direcciones IP públicas permitidas. La sincronización solo funciona cuando el dispositivo se conecta desde uno de esos rangos de IP. Esto se usa comúnmente para restringir la sincronización a las ubicaciones de las oficinas corporativas.
Antes de configurar cualquiera de estas restricciones, debe tener el rol de administrador de SharePoint o el rol de administrador global en Microsoft 365. También necesita una licencia que incluya Azure AD Premium P1 para las directivas de acceso condicional.
Pasos para configurar las restricciones de sincronización mediante el centro de administración de Microsoft 365
El método más sencillo para la mayoría de los administradores es usar la configuración de sincronización integrada en el centro de administración.
- Abra el centro de administración de Microsoft 365
Vaya a admin.microsoft.com e inicie sesión con su cuenta de administrador global o administrador de SharePoint. - Vaya a la configuración de OneDrive
En la navegación izquierda, expanda Configuración y seleccione Configuración de la organización. Desplácese hacia abajo hasta OneDrive y haga clic en ella. - Abra la pestaña Sincronización
En el panel de configuración de OneDrive, haga clic en la pestaña Sincronización en la parte superior. - Habilite las restricciones de sincronización
En Restricciones de sincronización, marque la casilla Bloquear la sincronización en dispositivos no administrados. Opcionalmente, marque Bloquear la sincronización en plataformas de dispositivos específicas y seleccione las plataformas que desea bloquear. - Establezca las restricciones de rango de IP
Si desea restringir la sincronización a rangos de IP específicos, marque Permitir la sincronización solo en dispositivos que se conecten desde rangos de IP específicos. Escriba las direcciones IP en notación CIDR, una por línea. Por ejemplo, 203.0.113.0/24. - Guarde la configuración
Haga clic en Guardar en la parte inferior del panel. Los cambios se aplican a todos los usuarios en un plazo de 15 minutos.
Pasos para configurar las restricciones de sincronización mediante PowerShell
PowerShell le ofrece más control, especialmente si necesita aplicar configuraciones en varios inquilinos o automatizar el proceso.
- Instale el Shell de administración de SharePoint Online
Abra Windows PowerShell como administrador y ejecute Install-Module -Name Microsoft.Online.SharePoint.PowerShell. Presione Y para confirmar. - Conéctese a SharePoint Online
Ejecute Connect-SPOService -Url https://yourtenant-admin.sharepoint.com. Reemplace yourtenant por el nombre real de su inquilino. Inicie sesión con sus credenciales de administrador. - Bloquee la sincronización en dispositivos no administrados
Ejecute Set-SPOTenantSyncClientRestriction -BlockSyncOnUnmanagedDevices $true. Esto aplica la restricción en todo el inquilino. - Establezca los rangos de IP permitidos
Ejecute Set-SPOTenantSyncClientRestriction -ExcludedIPRanges @(“203.0.113.0/24″,”198.51.100.0/24”). Reemplace los rangos de IP por los suyos. Use el parámetro ExcludedIPRanges: define los rangos de IP permitidos. - Verifique la configuración
Ejecute Get-SPOTenantSyncClientRestriction para confirmar que BlockSyncOnUnmanagedDevices es True y que ExcludedIPRanges contiene sus rangos de IP.
Uso del acceso condicional para un control granular de dispositivos
Para escenarios más avanzados, como exigir una versión específica del sistema operativo o un dispositivo compatible, use el acceso condicional de Azure AD.
- Abra el acceso condicional de Azure AD
Vaya a portal.azure.com, navegue a Azure Active Directory > Seguridad > Acceso condicional. - Cree una nueva directiva
Haga clic en + Nueva directiva. Asígnele un nombre, como Sincronización de OneDrive – Requerir dispositivo compatible. - Asigne la directiva a OneDrive
En Asignaciones > Aplicaciones o acciones en la nube, haga clic en Seleccionar aplicaciones. Busque Office 365 SharePoint Online y selecciónelo. Esto abarca la sincronización de OneDrive. - Establezca las condiciones
En Condiciones > Plataformas de dispositivo, elija las plataformas que desea incluir. En Aplicaciones cliente, marque Aplicaciones móviles y clientes de escritorio. - Requerir dispositivo compatible
En Conceder, seleccione Conceder acceso. Marque Requerir que el dispositivo esté marcado como compatible. Opcionalmente, marque Requerir dispositivo unido a Azure AD híbrido. - Habilite la directiva
Establezca Habilitar directiva en Activado y haga clic en Crear.
Problemas y excepciones comunes
Los usuarios ven el error “La sincronización está bloqueada por su administrador de TI”
Este error aparece cuando el dispositivo no es compatible o no está unido a Azure AD. Compruebe el estado de cumplimiento del dispositivo en Intune o Azure AD. Si el dispositivo está administrado pero sigue bloqueado, verifique que la directiva de acceso condicional incluya la condición correcta de aplicación cliente.
La restricción de rangos de IP bloquea a usuarios legítimos
Si los usuarios informan de fallos de sincronización cuando trabajan desde casa, es probable que la dirección IP doméstica no esté en su rango de IP permitidas. Agregue el rango de IP doméstico al parámetro ExcludedIPRanges en PowerShell. Como alternativa, use Acceso condicional con una ubicación de red de confianza en lugar de rangos de IP codificados de forma rígida.
Las restricciones de sincronización no se aplican a todos los usuarios
Compruebe si ha creado algún grupo de excepciones. En la configuración de sincronización del centro de administración, puede agregar usuarios o grupos específicos que estén exentos de las restricciones. Elimine esas excepciones si desea que la directiva se aplique a todos.
Métodos de restricción de sincronización de OneDrive: Centro de administración frente a PowerShell frente a Acceso condicional
| Elemento | Centro de administración de Microsoft 365 | PowerShell | Acceso condicional de Azure AD |
|---|---|---|---|
| Facilidad de uso | Muy fácil, basado en GUI | Moderada, requiere conocimientos de scripting | Moderada, requiere licencia de Azure AD P1 |
| Control de plataforma de dispositivo | Sí, bloquear Windows/macOS/Android/iOS | Sin parámetro directo, use Acceso condicional | Sí, seleccione plataformas específicas |
| Restricción de rango de IP | Sí, introduzca rangos CIDR | Sí, mediante el parámetro ExcludedIPRanges | Sí, mediante ubicaciones con nombre |
| Requerir dispositivo compatible | No | No | Sí |
| Aplicar a grupos específicos | Sí, mediante lista de exclusión | No | Sí, mediante asignaciones de directivas |
Use el centro de administración para restricciones rápidas en todo el inquilino. Use PowerShell para configuraciones automatizadas o masivas. Use Acceso condicional cuando necesite requisitos granulares de cumplimiento de dispositivos o control de acceso basado en ubicación.
Ahora puede configurar restricciones de sincronización del inquilino en OneDrive para la Empresa mediante tres métodos diferentes. Empiece por bloquear la sincronización en dispositivos no administrados en el centro de administración para reducir los riesgos de fuga de datos. Si necesita aplicar el cumplimiento de dispositivos, cree una directiva de Acceso condicional que requiera dispositivos compatibles o unidos a Azure AD híbrido. Para la automatización avanzada, use el cmdlet de PowerShell Set-SPOTenantSyncClientRestriction para administrar rangos de IP y bloqueos de sincronización en varios inquilinos.