Cómo encontrar archivos de OneDrive compartidos con un grupo de seguridad

Cuando comparte archivos de OneDrive con un grupo de seguridad de Microsoft 365, esos archivos no aparecen en la lista Compartido de la interfaz web de OneDrive. La vista Compartido estándar solo muestra archivos compartidos con personas individuales o grupos de Microsoft 365, no con grupos de seguridad habilitados para correo ni grupos de distribución. Este artículo explica cómo localizar estos archivos mediante los registros de auditoría de Microsoft 365 y la API de Microsoft Graph. Aprenderá dos métodos para encontrar archivos compartidos con un grupo de seguridad y comprenderá las limitaciones de cada enfoque.

Por qué los archivos de OneDrive compartidos con grupos de seguridad están ocultos en la lista Compartido

OneDrive para la Empresa usa dos tipos distintos de permisos de uso compartido: el uso compartido individual y el uso compartido con grupos. Cuando comparte un archivo con un grupo de seguridad, OneDrive registra el permiso como un uso compartido con grupo, pero no lo muestra en la pestaña Compartido de la interfaz web. La pestaña Compartido solo muestra archivos compartidos con usuarios individuales o grupos de Microsoft 365 que tienen una representación en la interfaz del selector de uso compartido.

Los grupos de seguridad, incluidos los grupos de seguridad habilitados para correo y los grupos de distribución, no se muestran en el selector de uso compartido de OneDrive de forma predeterminada. La aplicación web de OneDrive usa un punto de conexión de API diferente para la lista Compartido que filtra los permisos en los que el destinatario es un grupo de seguridad. Esto es por diseño para reducir el desorden en la vista Compartido, que está pensada para archivos compartidos con personas que conoce individualmente.

El permiso subyacente sigue siendo válido. Los miembros del grupo de seguridad pueden acceder al archivo mediante el vínculo directo o a través de la vista Compartido conmigo si han iniciado sesión. Sin embargo, el propietario del archivo no puede verlo en su lista Compartido. Para encontrar estos archivos, debe usar el registro de auditoría o la API de Microsoft Graph.

Método 1: usar el registro de auditoría de Microsoft 365 para encontrar archivos compartidos con un grupo de seguridad

El registro de auditoría de Microsoft 365 registra cada evento de uso compartido, incluido cuando se comparte un archivo con un grupo de seguridad. Puede buscar en el registro de auditoría para encontrar todos los archivos compartidos con un grupo de seguridad específico. Este método requiere el rol Búsqueda en el registro de auditoría, que se asigna de forma predeterminada a los administradores de Exchange, los administradores de SharePoint y los administradores globales.

1. Abra el portal de Microsoft 365 Defender
   Vaya a https://security.microsoft.com e inicie sesión con una cuenta que tenga el rol Búsqueda en el registro de auditoría.
2. Vaya a Auditoría
   En la navegación izquierda, seleccione Auditoría en la sección Soluciones. Si no ve Auditoría, haga clic primero en Mostrar todo.
3. Configure la búsqueda de auditoría
   Establezca el Intervalo de fechas en el período en que se compartió el archivo. En Actividades, seleccione SharingPermissionAddedBySecurityGroup. Este nombre de actividad captura específicamente los eventos de uso compartido en los que el destinatario es un grupo de seguridad.
4. Ejecute la búsqueda
   Haga clic en Buscar. Los resultados se mostrarán en la tabla siguiente. Cada resultado muestra el usuario que compartió el archivo, la dirección URL del archivo y el nombre del grupo de seguridad.
5. Exporte los resultados
   Haga clic en Exportar y seleccione Descargar todos los resultados para guardar el registro de auditoría como un archivo CSV. Abra el CSV en Excel para filtrar por el nombre del grupo de seguridad o el usuario.

El archivo CSV incluye columnas para CreationTime, User, Operation, ObjectId (la dirección URL del archivo) y TargetGroupName (el nombre del grupo de seguridad). Use la columna TargetGroupName para encontrar todos los archivos compartidos con un grupo de seguridad específico.

Método 2: usar la API de Microsoft Graph para enumerar archivos de OneDrive compartidos con un grupo de seguridad

Para los administradores de TI que necesitan automatizar la detección de archivos compartidos con grupos de seguridad, la API de Microsoft Graph ofrece un enfoque programático. Este método usa el punto de conexión /sites/{site-id}/drive/items con un filtro en la propiedad sharedWith. Necesita el ID de objeto del grupo de seguridad, que puede obtener del centro de administración de Microsoft Entra.

1. Obtenga el ID de objeto del grupo de seguridad
   Vaya a https://entra.microsoft.com e inicie sesión como administrador global. Seleccione Grupos > Todos los grupos, busque el grupo de seguridad y copie el valor de Id. de objeto.
2. Obtenga el ID del sitio de OneDrive
   Use el punto de conexión de Graph API https://graph.microsoft.com/v1.0/users/{user-principal-name}/drive para obtener el ID de unidad del OneDrive del usuario. Reemplace {user-principal-name} con la dirección de correo electrónico del usuario. La respuesta incluye el campo id, que es el ID de unidad.
3. Enumere los elementos con permisos de grupo de seguridad
   Llame al punto de conexión de Graph API: GET /drives/{drive-id}/items?$expand=permissions&$filter=permissions/any(p:p/grantedToV2/group/id eq '{security-group-object-id}'). Reemplace {drive-id} con el ID de unidad del paso 2 y {security-group-object-id} con el ID de objeto del paso 1.
4. Analice la respuesta
   La API devuelve un objeto JSON con una matriz de elementos value. Cada elemento tiene un campo name (el nombre del archivo) y un campo webUrl (el vínculo directo al archivo). La matriz de permisos confirma que el grupo tiene acceso.

Puede ejecutar esta llamada a la API con una herramienta como Graph Explorer, Postman o un script de PowerShell. El filtro solo funciona si se han concedido permisos explícitos al grupo de seguridad en el archivo. Si el archivo se comparte con un grupo que está anidado dentro de otro grupo, el filtro puede no devolver el archivo a menos que el permiso explícito esté en el grupo anidado.

Limitaciones y aspectos que debe comprobar

El archivo se compartió con un grupo de distribución, no con un grupo de seguridad

Los grupos de distribución tampoco se muestran en la lista Compartido de OneDrive. Sin embargo, la actividad del registro de auditoría SharingPermissionAddedBySecurityGroup no captura los usos compartidos con grupos de distribución. Para los grupos de distribución, use la actividad SharingPermissionAdded y filtre el CSV por el nombre del grupo en la columna TargetGroupName.

La búsqueda en el registro de auditoría no devuelve resultados

La auditoría debe estar habilitada en su inquilino. Vaya al portal de Microsoft 365 Defender > Auditoría > Activar auditoría si aún no está habilitada. También verifique que el archivo se compartió después de activar la auditoría. Los registros de auditoría se conservan durante 90 días para los usuarios con una licencia Office 365 E3 y hasta un año para las licencias E5.

La API de Graph devuelve una respuesta vacía

El filtro en grantedToV2/group/id solo coincide con los permisos en los que se concede acceso explícitamente al grupo. Si el grupo de seguridad es miembro de otro grupo que tiene acceso, el archivo no aparecerá en los resultados del filtro. Use el método del registro de auditoría en su lugar para los escenarios de grupos anidados.

El archivo se compartió con un grupo de Microsoft 365, no con un grupo de seguridad

Los grupos de Microsoft 365 sí aparecen en la lista Compartido de OneDrive. Si busca archivos compartidos con un grupo de Microsoft 365, use la vista Compartido de OneDrive web y filtre por Personas para ver el nombre del grupo. Los métodos del registro de auditoría y de la API de Graph descritos anteriormente solo son necesarios para los grupos de seguridad.

Búsqueda en el registro de auditoría frente a la API de Microsoft Graph: diferencias clave

Elemento	Búsqueda en el registro de auditoría	API de Microsoft Graph
Acceso necesario	Rol Búsqueda en el registro de auditoría	Permisos de aplicación o permisos delegados con Sites.Read.All
Retención de datos	De 90 días a 1 año según la licencia	Sin límite de retención, devuelve los permisos actuales
Compatible con grupos anidados	Sí, captura el evento de uso compartido explícito	No, solo coincide con permisos de grupo explícitos
Automatización	Búsqueda manual o exportación a CSV	Totalmente automatizable con PowerShell o llamadas REST
Nivel de detalle	Muestra quién compartió el archivo y cuándo	Muestra los permisos actuales, pero no el historial de uso compartido

La búsqueda en el registro de auditoría es el método más sencillo para una investigación puntual. La API de Graph es mejor para análisis recurrentes o para la integración con las herramientas de administración existentes.

Ahora puede encontrar archivos de OneDrive compartidos con un grupo de seguridad mediante el registro de auditoría de Microsoft 365 o la API de Microsoft Graph. Comience con la búsqueda en el registro de auditoría si necesita una respuesta rápida para un único grupo de seguridad. Para la supervisión continua, configure un script de PowerShell que llame a la API de Graph y escriba los resultados en un informe. Recuerde que la vista Compartido de OneDrive nunca mostrará estos archivos, por lo que debe confiar en estos dos métodos para auditar el uso compartido con grupos de seguridad.