Si administra OneDrive para una empresa, es posible que necesite bloquear el acceso para ciertos equipos mientras lo mantiene activo para otros. Por ejemplo, un grupo que maneja datos confidenciales puede no tener permitido sincronizar archivos con el almacenamiento en la nube personal. Este artículo explica cómo deshabilitar OneDrive para un grupo de usuarios específico usando Directiva de grupo, la configuración del centro de administración de Microsoft 365 y PowerShell. Aprenderá los pasos exactos para dirigirse solo a un grupo sin afectar al resto de la organización.
Puntos clave: Deshabilitar OneDrive para un grupo específico
- Directiva de grupo > Configuración del equipo > Plantillas administrativas > OneDrive: Use la directiva “Impedir el uso de OneDrive para el almacenamiento de archivos” para deshabilitar la aplicación de sincronización en los equipos objetivo.
- Centro de administración de Microsoft 365 > Configuración > Configuración de la organización > OneDrive > Sincronización: Bloquee la sincronización para un grupo de seguridad ingresando su alias de correo electrónico en el campo “Bloquear la sincronización en dispositivos que ejecutan Windows”.
- SharePoint Online Management Shell > Set-SPOTenantSyncClientRestriction: Cmdlet de PowerShell para aplicar restricciones de sincronización a nivel de inquilino para grupos específicos.
Por qué necesita deshabilitar OneDrive para un grupo específico
OneDrive está habilitado de forma predeterminada para todos los usuarios en un inquilino de Microsoft 365. Cuando necesita restringir el acceso para un grupo específico, no puede simplemente desactivar el servicio para usuarios individuales en el centro de administración. La aplicación de sincronización se puede bloquear mediante Directiva de grupo en dispositivos Windows unidos al dominio, o puede restringir la sincronización a nivel de inquilino usando el centro de administración de Microsoft 365 o PowerShell. Cada método se dirige a una capa diferente: Directiva de grupo controla la instalación local y el comportamiento del cliente de sincronización, mientras que la configuración del centro de administración bloquea la capacidad de sincronización para usuarios específicos en todos los dispositivos. Elija el método que se adapte a su entorno y al nivel de control que necesite.
Método 1: Usar Directiva de grupo para deshabilitar OneDrive para un grupo específico
Directiva de grupo aplica configuraciones a equipos en un dominio de Active Directory. Para dirigirse a un grupo de usuarios específico, cree un objeto de Directiva de grupo, vincúlelo a una unidad organizativa que contenga esos usuarios y configure la directiva de OneDrive. Este método impide que la aplicación de sincronización de OneDrive se ejecute en los equipos objetivo.
- Descargar las plantillas administrativas de Directiva de grupo de OneDrive
Vaya al Centro de descargas de Microsoft y busque “OneDrive Group Policy Administrative Templates”. Descargue los archivos OneDrive.admx y OneDrive.adml. Cópielos al almacén central en su controlador de dominio o a la carpeta PolicyDefinitions en el equipo local. - Abrir la Consola de administración de directivas de grupo
En un controlador de dominio o en un equipo con las herramientas RSAT instaladas, presione Windows + R, escriba gpmc.msc y presione Entrar. - Crear un nuevo GPO
Haga clic con el botón derecho en la unidad organizativa que contiene los usuarios que desea bloquear. Seleccione Crear un GPO en este dominio y vincularlo aquí. Asigne un nombre al GPO, por ejemplo, “Bloquear OneDrive para el grupo de Finanzas”. - Editar el GPO
Haga clic con el botón derecho en el nuevo GPO y seleccione Editar. Navegue a Configuración del equipo > Plantillas administrativas > OneDrive. - Habilitar la directiva
Haga doble clic en Impedir el uso de OneDrive para el almacenamiento de archivos. Seleccione Habilitada y luego haga clic en Aceptar. - Aplicar filtrado de seguridad
En la GPMC, seleccione el GPO. En el panel derecho, haga clic en la pestaña Delegación y luego en Avanzado. Elimine Usuarios autenticados de la lista Filtrado de seguridad. Agregue el grupo de seguridad que no debe usar OneDrive, por ejemplo, “Usuarios de Finanzas”. Asegúrese de que el grupo tenga los permisos Leer y Aplicar directiva de grupo establecidos en Permitir. - Forzar una actualización de directiva
En los equipos de destino, ejecute gpupdate /force en un Símbolo del sistema con privilegios elevados. La aplicación de sincronización de OneDrive dejará de funcionar y no se reiniciará.
Método 2: Usar el centro de administración de Microsoft 365 para bloquear la sincronización para un grupo
Este método bloquea que el cliente de sincronización sincronice archivos para usuarios específicos, pero no desinstala la aplicación. Los usuarios del grupo bloqueado verán una X roja en su icono de OneDrive y recibirán un mensaje de error al intentar sincronizar.
- Iniciar sesión en el centro de administración de Microsoft 365
Vaya a admin.microsoft.com e inicie sesión con una cuenta de administrador global o administrador de SharePoint. - Ir a Configuración de la organización
En la navegación izquierda, seleccione Configuración y luego Configuración de la organización. - Abrir la configuración de OneDrive
Desplácese hacia abajo y haga clic en OneDrive. - Configurar restricciones de sincronización
En la pestaña Sincronización, busque Bloquear la sincronización en dispositivos que ejecutan Windows. Ingrese el alias de correo electrónico del grupo de seguridad que desea bloquear, por ejemplo, “finance@contoso.com”. Haga clic en Guardar. - Esperar la propagación
Los cambios surten efecto en unos minutos. Los usuarios del grupo especificado verán el mensaje de sincronización bloqueada la próxima vez que inicien sesión en OneDrive.
Método 3: Usar PowerShell para deshabilitar la sincronización de OneDrive para un grupo específico
PowerShell le brinda un control más granular y es útil para scripting en múltiples inquilinos o grupos. Use SharePoint Online Management Shell para establecer la restricción del cliente de sincronización.
- Instalar SharePoint Online Management Shell
Abra una ventana de PowerShell con privilegios elevados y ejecute Install-Module -Name Microsoft.Online.SharePoint.PowerShell. Si se le solicita, confirme la instalación. - Conectar a SharePoint Online
Ejecute Connect-SPOService -Url https://contoso-admin.sharepoint.com. Inicie sesión con una cuenta de administrador de SharePoint o administrador global. - Obtener la configuración actual de restricción de sincronización
Ejecute Get-SPOTenantSyncClientRestriction. Anote el estado actual de ExcludedFileExtensions, BlockMacSync y DomainGuids. - Establecer la restricción para el grupo
Ejecute Set-SPOTenantSyncClientRestriction -BlockSyncOnWindows $true -DomainGuids @(“your-group-guid”). Reemplace your-group-guid con el GUID del grupo de seguridad. Para encontrar el GUID, ejecute Get-AzureADGroup -SearchString “Finance Users” | Select-Object ObjectId en el módulo de Azure AD. - Verificar la restricción
Ejecute Get-SPOTenantSyncClientRestriction nuevamente para confirmar la configuración. Los usuarios del grupo especificado tendrán bloqueada la sincronización.
Errores y problemas comunes al deshabilitar OneDrive para un grupo
La Directiva de grupo no se aplica a los usuarios objetivo
Si el GPO usa filtrado de seguridad pero el grupo está anidado, es posible que la directiva no se aplique. Asegúrese de que el grupo de seguridad sea miembro directo de la unidad organizativa donde está vinculado el GPO. También verifique que el GPO tenga los permisos Leer y Aplicar directiva de grupo para el grupo.
Los usuarios aún pueden sincronizar a través del navegador web o la aplicación móvil
Los métodos descritos anteriormente bloquean el cliente de sincronización solo en Windows. Los usuarios aún pueden acceder a los archivos de OneDrive a través de un navegador web o la aplicación móvil. Para bloquear todo el acceso, necesitaría quitar la licencia de SharePoint Online o usar directivas de acceso condicional en Azure AD.
La restricción de sincronización del centro de administración no muestra el grupo en la lista desplegable
El campo del centro de administración espera el alias de correo electrónico de un grupo de seguridad habilitado para correo o un grupo de distribución. Si el grupo no está habilitado para correo, la configuración no lo aceptará. Cree un grupo de seguridad habilitado para correo en el centro de administración de Exchange o en Azure AD, y luego agregue los usuarios a ese grupo.
Directiva de grupo vs Centro de administración vs PowerShell: Comparación de métodos
| Elemento | Directiva de grupo | Centro de administración de Microsoft 365 | PowerShell |
|---|---|---|---|
| Destinatario | Equipos en una unidad organizativa | Usuarios en un grupo de seguridad habilitado para correo | Usuarios en un grupo de seguridad por GUID |
| Ámbito | Dispositivos Windows unidos al dominio local | Todos los dispositivos Windows, incluidos los que no están unidos al dominio | Todos los dispositivos Windows en el inquilino |
| Requiere Active Directory local | Sí | No | No |
| Desinstala la aplicación de sincronización | No, solo bloquea el uso | No, solo bloquea la sincronización | No, solo bloquea la sincronización |
| Tiempo de propagación | Después de gpupdate o reinicio | Unos minutos | Inmediato |
Elija Directiva de grupo si administra dispositivos en un dominio y necesita aplicar la configuración a nivel de equipo. Elija el centro de administración o PowerShell si administra usuarios directamente en Microsoft 365 y desea bloquear la sincronización en todos los dispositivos sin tocar la Directiva de grupo local.
Ahora puede deshabilitar OneDrive para un grupo de usuarios específico usando Directiva de grupo, el centro de administración de Microsoft 365 o PowerShell. Comience identificando el grupo que necesita acceso restringido. Luego aplique el método que se adapte a su infraestructura. Para una solución más permanente, considere usar directivas de acceso condicional para bloquear todo el acceso a OneDrive y SharePoint para ese grupo, dejando solo el acceso web si es necesario.