Cómo documentar los permisos de OneDrive para el cumplimiento normativo en OneDrive para la empresa

Las auditorías de cumplimiento requieren un registro claro de quién tiene acceso a qué archivos y carpetas en OneDrive para la Empresa. Sin la documentación adecuada, no puede demostrar que el uso compartido externo está controlado o que los datos confidenciales están restringidos a usuarios autorizados. Muchos administradores de TI dependen de comprobaciones manuales, que consumen mucho tiempo y son propensas a errores. Este artículo explica cómo generar informes de permisos utilizando las herramientas integradas de Microsoft 365 y scripts de PowerShell. Aprenderá los pasos exactos para producir documentación lista para cumplimiento para cualquier sitio de OneDrive.

Descripción general de la documentación de permisos de OneDrive para cumplimiento

OneDrive para la Empresa almacena archivos en una colección de sitios de SharePoint dedicada para cada usuario. Los permisos se gestionan a nivel de sitio y a nivel de elemento. La documentación de cumplimiento debe capturar tres capas: administradores del sitio, configuración de uso compartido externo y concesiones de acceso directo a archivos o carpetas. Microsoft 365 proporciona dos métodos principales para recopilar estos datos. El registro de auditoría en el portal de cumplimiento de Purview registra los cambios de permisos a lo largo del tiempo. SharePoint Online Management Shell exporta instantáneas de permisos actuales. Un informe de cumplimiento completo combina ambas fuentes para mostrar quién tuvo acceso en cualquier momento durante el período de auditoría.

Antes de comenzar, confirme que tiene los roles necesarios. Necesita el rol de Administrador de SharePoint o el rol de Administrador global en Microsoft 365. Para acceder al registro de auditoría, se requiere el rol de Registros de auditoría en Purview. Estos roles están disponibles en el centro de administración de Microsoft 365 en Usuarios activos. Asigne los roles a una cuenta de administrador de cumplimiento dedicada en lugar de usar su cuenta de usuario diaria.

Pasos para documentar permisos de OneDrive usando el registro de auditoría de Purview

1. Abra el portal de cumplimiento de Microsoft 365 Purview
   Inicie sesión en https://compliance.microsoft.com con una cuenta de administrador de cumplimiento o administrador global. Seleccione Auditoría en el menú de navegación izquierdo.
2. Busque eventos relacionados con permisos
   Establezca el rango de fechas para cubrir su período de auditoría. En Actividades, seleccione Solicitudes de uso compartido y acceso. Elija Added member to SharePoint site, Changed sharing settings on site y Shared link created. Haga clic en Buscar.
3. Exporte los resultados del registro de auditoría
   Una vez completada la búsqueda, haga clic en Exportar y seleccione Exportar todos los resultados. El archivo se descarga como CSV. Ábralo en Excel para filtrar por la URL del sitio de OneDrive, que normalmente comienza con https://yourtenant-my.sharepoint.com/personal/.
4. Filtre los eventos de uso compartido externo
   En el CSV, filtre la columna Item por “external” o “guest” para identificar los usos compartidos con personas ajenas a su organización. Registre el usuario que inició el uso compartido, el usuario de destino y la marca de tiempo.

El registro de auditoría captura eventos durante un máximo de 90 días en las licencias Microsoft 365 E3 y E5. Para una retención más prolongada, habilite Auditoría (Premium) en el portal de Purview en Auditoría > Políticas de retención de auditoría.

Pasos para documentar permisos de OneDrive usando PowerShell

1. Instale SharePoint Online Management Shell
   Abra Windows PowerShell como administrador. Ejecute Install-Module -Name Microsoft.Online.SharePoint.PowerShell. Si se le solicita, confirme la instalación desde PSGallery.
2. Conéctese a SharePoint Online
   Ejecute Connect-SPOService -Url https://yourtenant-admin.sharepoint.com. Introduzca sus credenciales de administrador de SharePoint cuando se le solicite.
3. Obtenga todas las colecciones de sitios de OneDrive
   Ejecute Get-SPOSite -IncludePersonalSite $true -Limit all | Where-Object {$_.Url -like "/personal/"} | Select-Object Url, Owner, SharingCapability. Esto enumera cada URL de sitio de OneDrive, su propietario y la configuración de uso compartido externo.
4. Exporte los permisos del sitio a un archivo CSV
   Ejecute el siguiente script para recopilar todos los miembros del grupo de sitio para cada sitio de OneDrive:
   Get-SPOSite -IncludePersonalSite $true -Limit all | Where-Object {$_.Url -like "/personal/"} | ForEach-Object { $site = $_.Url; Get-SPOSiteGroup -Site $site | Select-Object @{Name="SiteUrl";Expression={$site}}, Title, Users } | Export-Csv -Path "OneDrivePermissions.csv" -NoTypeInformation
5. Revise el CSV exportado
   Abra el archivo en Excel. La columna Users contiene direcciones de correo electrónico delimitadas por punto y coma. Utilice la función Texto en columnas de Excel para dividirlas en filas individuales para facilitar la auditoría. Guarde una copia con un sello de fecha para sus registros.

PowerShell exporta solo una instantánea de los permisos actuales. Combine esto con las exportaciones del registro de auditoría para mostrar los cambios históricos.

Problemas comunes al documentar permisos de OneDrive

El registro de auditoría no devuelve resultados para un usuario específico

La búsqueda puede devolver vacío si el rango de fechas es demasiado estrecho o si el usuario no realizó ninguna actividad de uso compartido. Amplíe el rango hasta el período máximo de retención. También verifique que el registro de auditoría esté habilitado en el portal de Purview en Auditoría > Búsqueda en el registro de auditoría.

El script de PowerShell falla con acceso denegado

La cuenta utilizada para conectarse debe tener el rol de Administrador de SharePoint. Si utiliza una cuenta de administrador global, asegúrese de que la cuenta no esté bloqueada por políticas de acceso condicional. Ejecute Connect-SPOService nuevamente con el parámetro -Credential para forzar la reautenticación.

Faltan las URL de los sitios de OneDrive en la exportación CSV

El parámetro -IncludePersonalSite $true es obligatorio. Sin él, Get-SPOSite devuelve solo sitios de equipo. Si aún faltan sitios, confirme que el usuario tiene una licencia de OneDrive asignada en el centro de administración de Microsoft 365.

Registro de auditoría vs instantánea de PowerShell: mejores métodos para cumplimiento

Elemento	Registro de auditoría de Purview	Instantánea de PowerShell
Tipo de datos	Eventos históricos de cambios de permisos	Estado actual de los permisos
Retención	90 días por defecto, hasta 10 años con Auditoría (Premium)	Solo el momento de la exportación
Detección de uso compartido externo	Registra cada evento de uso compartido con el correo electrónico de destino	Muestra la configuración actual de capacidad de uso compartido pero no los usos compartidos anteriores
Detalle a nivel de usuario	Muestra quién realizó la acción y quién recibió acceso	Muestra la pertenencia a grupos pero no los permisos directos a nivel de elemento
Idoneidad para automatización	Requiere exportación manual a CSV o llamadas a Graph API	Totalmente automatizable con tareas programadas

Para un registro de cumplimiento completo, ejecute la instantánea de PowerShell semanalmente y exporte el registro de auditoría mensualmente. Almacene ambos archivos en una biblioteca de documentos de SharePoint segura con el historial de versiones habilitado.

Ahora puede generar documentación de permisos para cualquier sitio de OneDrive utilizando el registro de auditoría de Purview y PowerShell. Ejecute la instantánea de PowerShell semanalmente para mantener un inventario de acceso actualizado. Para cambios históricos, exporte el registro de auditoría mensualmente con el filtro “Added member to SharePoint site”. Como consejo avanzado, programe el script de PowerShell usando el Programador de tareas de Windows con una cuenta de servicio que tenga el rol de Administrador de SharePoint y una contraseña de aplicación para la autenticación desatendida.