Cómo eliminar usuarios huérfanos de los permisos de OneDrive

Cuando un exempleado o colaborador externo deja su organización, su cuenta de usuario a menudo permanece en los permisos de uso compartido de OneDrive. Estas entradas residuales se denominan usuarios huérfanos. Aparecen como nombres sin direcciones de correo electrónico o con una imagen de perfil atenuada en el panel Administrar acceso. Los usuarios huérfanos crean un riesgo de seguridad porque los permisos siguen vigentes aunque la cuenta esté deshabilitada o eliminada. Este artículo explica cómo identificar usuarios huérfanos en OneDrive y eliminarlos usando el centro de administración de Microsoft 365, PowerShell y la interfaz web de OneDrive.

Qué son los usuarios huérfanos y por qué persisten

Un usuario huérfano en OneDrive es una entidad de seguridad cuya cuenta de Azure AD se ha eliminado de forma reversible o permanente. Cuando se elimina un usuario de Azure AD, las entradas de permisos en archivos y carpetas de OneDrive no se limpian automáticamente. OneDrive conserva el identificador de usuario como un identificador de seguridad, que se muestra como un nombre sin un vínculo de correo electrónico funcional. El permiso sigue activo hasta que se revoca explícitamente. Si un atacante o un actor malintencionado restaura la cuenta de usuario eliminada, recupera el acceso inmediato a todos los archivos para los que tenía permisos anteriormente. Por esta razón, la eliminación de usuarios huérfanos es una tarea crítica de higiene de seguridad para los administradores de TI.

Los usuarios huérfanos aparecen en los siguientes lugares: el panel Administrar acceso del cuadro de diálogo Compartir, los permisos de la colección de sitios en el centro de administración de SharePoint y la salida de los cmdlets de PowerShell que enumeran permisos. La causa más común es dar de baja a un usuario sin eliminar primero sus vínculos de uso compartido explícitos y permisos directos del contenido compartido de OneDrive. Otra causa son las cuentas de invitado externas que se eliminan de la colaboración B2B de Azure AD pero cuyos permisos permanecen en documentos compartidos.

Métodos para eliminar usuarios huérfanos

Existen tres métodos confiables para eliminar usuarios huérfanos de los permisos de OneDrive. Elija el método que se ajuste al número de usuarios huérfanos y a sus privilegios administrativos. La eliminación manual funciona para unos pocos archivos. La eliminación masiva con PowerShell es mejor para cientos de entradas huérfanas. El método del centro de administración es útil cuando necesita restaurar y volver a eliminar una cuenta para limpiar los permisos.

Método 1: Eliminación manual desde OneDrive web

1. Abra la aplicación web de OneDrive
   Vaya a onedrive.live.com e inicie sesión con su cuenta de administrador o propietario de Microsoft 365.
2. Navegue hasta el archivo o la carpeta afectados
   Vaya al elemento que muestra un usuario huérfano en la lista de uso compartido. Seleccione el elemento haciendo clic en la casilla de verificación circular que aparece al pasar el mouse sobre él.
3. Abra el cuadro de diálogo Compartir
   Haga clic en el botón Compartir en la parte superior de la página. Se abre un panel en el lado derecho de la pantalla.
4. Haga clic en Administrar acceso
   En la parte inferior del panel Compartir, haga clic en Administrar acceso. Aparece una lista de todos los usuarios con permisos.
5. Localice al usuario huérfano
   Busque la entrada que muestra un nombre sin dirección de correo electrónico o con un icono atenuado. La entrada puede mostrar el nombre para mostrar del usuario, pero el campo de correo electrónico está en blanco.
6. Elimine al usuario huérfano
   Haga clic en la flecha desplegable junto al nombre del usuario huérfano. Seleccione Quitar acceso directo. Confirme la eliminación en el cuadro de diálogo.

Método 2: Eliminación masiva con PowerShell

1. Instale SharePoint Online Management Shell
   Abra Windows PowerShell como administrador. Ejecute Install-Module -Name Microsoft.Online.SharePoint.PowerShell. Si se le solicita, confirme la instalación.
2. Conéctese a SharePoint Online
   Ejecute Connect-SPOService -Url https://[tenant]-admin.sharepoint.com. Reemplace [tenant] con el nombre de su inquilino de Microsoft 365. Inicie sesión con una cuenta de administrador de SharePoint o administrador global.
3. Obtenga la URL del sitio de OneDrive
   Ejecute Get-SPOSite -IncludePersonalSite $true -Filter "Url -like '-my.sharepoint.com/personal/'" para enumerar todas las colecciones de sitios de OneDrive. Identifique la URL del sitio que contiene los permisos huérfanos.
4. Enumere los usuarios del sitio
   Ejecute Get-SPOUser -Site https://[tenant]-my.sharepoint.com/personal/[user]_[tenant]_com. Revise la salida para buscar usuarios con un LoginName que muestre un GUID o un dominio que ya no existe en su inquilino.
5. Elimine al usuario huérfano
   Ejecute Remove-SPOUser -Site https://[tenant]-my.sharepoint.com/personal/[user]_[tenant]_com -LoginName "i:0#.f|membership|[orphanedUserGUID]". Reemplace el nombre de inicio de sesión con el valor exacto del paso anterior. Confirme la eliminación cuando se le solicite.
6. Repita para sitios adicionales
   Si existen usuarios huérfanos en varios sitios de OneDrive, repita los pasos 3 a 5 para cada colección de sitios.

Método 3: Método de restaurar y revocar

1. Restaure el usuario eliminado en el centro de administración
   Vaya a Centro de administración de Microsoft 365 > Usuarios > Usuarios eliminados. Busque la cuenta de usuario huérfana. Seleccione el usuario y haga clic en Restaurar. La cuenta de usuario se reactiva en Azure AD.
2. Inicie sesión como el usuario restaurado o use la toma de control de administrador
   Opción A: Restablezca la contraseña del usuario e inicie sesión en OneDrive. Revoke todos los vínculos de uso compartido y elimine los permisos de los archivos. Opción B: Use el centro de administración de SharePoint para eliminar los permisos del usuario directamente de la colección de sitios de OneDrive.
3. Elimine los permisos del sitio de OneDrive
   En el centro de administración de SharePoint, vaya a Sitios activos. Busque el sitio de OneDrive del usuario restaurado. Seleccione el sitio, haga clic en Permisos y elimine los usuarios que no deberían tener acceso.
4. Vuelva a eliminar la cuenta de usuario
   Regrese al centro de administración de Microsoft 365. Vaya a Usuarios > Usuarios activos. Seleccione el usuario restaurado y haga clic en Eliminar usuario. Confirme la eliminación. Los permisos ahora están limpios porque el usuario estaba presente durante el proceso de eliminación.

Si los usuarios huérfanos persisten después de la eliminación

El usuario huérfano sigue apareciendo en Administrar acceso

Si eliminó un usuario huérfano pero la entrada vuelve a aparecer después de actualizar la página, es posible que el usuario se haya vuelto a agregar mediante un vínculo de uso compartido que concede acceso a Todos o a un grupo de seguridad. Revise todos los vínculos de uso compartido en el archivo o la carpeta. En el panel Compartir, haga clic en Administrar acceso y revise la sección Vínculos. Si un vínculo está configurado como Personas de [Your Organization] o Cualquier persona, los permisos del usuario huérfano pueden heredarse de la pertenencia a un grupo. Cambie el tipo de vínculo a Personas específicas y elimine la entrada huérfana manualmente.

PowerShell devuelve el error Usuario no encontrado

El cmdlet Remove-SPOUser falla con un error de usuario no encontrado cuando el nombre de inicio de sesión del usuario huérfano tiene un formato incorrecto o el usuario se ha eliminado de forma permanente. En este caso, use el cmdlet Set-SPOUser -Site con el parámetro -IsSiteCollectionAdmin $false si el usuario es administrador de la colección de sitios. Si el usuario es un miembro normal, la única opción es eliminar la entrada huérfana mediante la API REST de SharePoint o usando la interfaz de usuario Administrar acceso en cada archivo. Para la limpieza masiva de cientos de archivos, considere usar una herramienta de gobernanza de terceros como ShareGate o AvePoint.

El usuario huérfano es un invitado externo

Las cuentas de invitado externas que se eliminan de Azure AD B2B dejan entradas huérfanas exactamente igual que los usuarios internos. Para eliminar un invitado externo huérfano, primero debe volver a invitar al invitado a su inquilino usando la misma dirección de correo electrónico. Vaya a Centro de administración de Microsoft 365 > Usuarios > Usuarios invitados. Haga clic en Agregar usuario invitado e introduzca la dirección de correo electrónico. Una vez que se vuelva a crear el invitado, elimine sus permisos de OneDrive usando el Método 1 o el Método 2. Luego, vuelva a eliminar la cuenta de invitado de Azure AD.

Eliminación manual vs. eliminación masiva con PowerShell: diferencias clave

Elemento	Eliminación manual (OneDrive web)	Eliminación masiva con PowerShell
Alcance	Un solo archivo o carpeta a la vez	Toda la colección de sitios de OneDrive
Privilegio requerido	Propietario o editor del archivo	Administrador de SharePoint o administrador global
Tiempo para completar	2-5 minutos por usuario huérfano	10-30 segundos por sitio después de la configuración
Riesgo de error	Bajo — el usuario confirma cada eliminación	Medio — eliminación accidental de un usuario activo
Registro de auditoría	Se muestra en el registro de auditoría de OneDrive	Se muestra en el registro de auditoría del administrador de SharePoint
Ideal para	Menos de 10 entradas huérfanas	Más de 10 entradas huérfanas

Después de eliminar los usuarios huérfanos, ha reducido la superficie de ataque de su entorno de OneDrive. El siguiente paso es configurar una auditoría recurrente usando el registro de Centro de cumplimiento de Microsoft 365 > Auditoría. Busque eventos Removed direct access para confirmar que la limpieza de usuarios huérfanos se realiza con regularidad. Un consejo avanzado es crear un script de PowerShell que se ejecute semanalmente mediante Azure Automation. El script enumera todas las colecciones de sitios de OneDrive, compara la lista de permisos con la lista actual de usuarios de Azure AD y elimina automáticamente las entradas de usuarios huérfanos. Esto elimina la necesidad de comprobaciones manuales y mantiene limpios los permisos de su inquilino.