Cuando un usuario accede a una carpeta de OneDrive que pertenece a un grupo de Microsoft 365, la cadena de permisos puede resultar difícil de seguir. El grupo es el propietario del almacenamiento y los miembros individuales heredan el acceso a través de su pertenencia al grupo. Este artículo explica cómo identificar qué grupo de Microsoft 365 es propietario de un sitio de OneDrive específico y cómo rastrear exactamente cómo un usuario obtuvo acceso a través de ese grupo.
Aprenderá a usar el centro de administración de Microsoft 365 y el centro de administración de SharePoint para encontrar el grupo detrás de una URL de OneDrive. Los pasos incluyen verificar la pertenencia al grupo, revisar los permisos del sitio y usar los registros de auditoría para confirmar las rutas de acceso. Al final, podrá determinar si el acceso de un usuario proviene de un uso compartido directo, de una pertenencia a un grupo o de un grupo de seguridad anidado.
Puntos clave: Rastrear el acceso a OneDrive mediante grupos de Microsoft 365
- Centro de administración de Microsoft 365 > Grupos > Grupos activos: Encuentre el grupo propietario de un sitio de OneDrive específico haciendo coincidir la URL del sitio con el sitio de SharePoint del grupo.
- Centro de administración de SharePoint > Sitios activos > Configuración de sitios conectados a grupos: Vea el grupo de Microsoft 365 conectado a un sitio y administre sus permisos.
- Centro de administración de Microsoft 365 > Registro de auditoría > Búsqueda: Use el registro de auditoría para ver cuándo un usuario accedió a un archivo de OneDrive y qué pertenencia al grupo otorgó el permiso.
Comprender el almacenamiento de OneDrive para grupos de Microsoft 365
Cada grupo de Microsoft 365, incluidos Teams, los grupos de Outlook y los sitios de equipo de SharePoint, tiene un sitio de SharePoint dedicado. Ese sitio incluye una biblioteca de documentos predeterminada que aparece como una ubicación de OneDrive para el grupo. Cuando los usuarios acceden a esta biblioteca a través de Teams, SharePoint o el cliente de sincronización de OneDrive, en realidad están accediendo a un sitio de SharePoint propiedad del grupo.
El grupo en sí es una entidad de seguridad en Azure Active Directory. La pertenencia al grupo puede ser directa, heredada de otro grupo o dinámica según los atributos del usuario. Cuando comparte una carpeta de OneDrive con un grupo de Microsoft 365, todos los miembros actuales y futuros de ese grupo obtienen acceso. Este modelo de permisos indirectos hace que el rastreo del acceso sea más complejo que el uso compartido directo con usuarios.
Para rastrear el acceso, debe identificar tres datos: el grupo propietario del sitio de OneDrive, la pertenencia del usuario a ese grupo y el nivel de permiso específico que tiene sobre los archivos. En las secciones siguientes se explica cómo encontrar cada dato mediante los portales de administración.
Encontrar el grupo de Microsoft 365 detrás de un sitio de OneDrive
El primer paso es determinar qué grupo de Microsoft 365 es propietario del sitio de OneDrive que está investigando. Cada sitio de SharePoint conectado a un grupo tiene una URL que incluye el nombre del grupo o un identificador único. Puede encontrar esta información en el centro de administración de SharePoint.
- Abra el centro de administración de SharePoint
Inicie sesión en el centro de administración de Microsoft 365 en admin.microsoft.com. En la navegación izquierda, expanda Centros de administración y seleccione SharePoint. Esto abre el centro de administración de SharePoint. - Vaya a Sitios activos
En el centro de administración de SharePoint, seleccione Sitios activos en el menú izquierdo. Esto muestra una lista de todos los sitios de SharePoint del inquilino, incluidos los sitios conectados a grupos. - Busque el sitio por URL
En el cuadro de búsqueda situado en la parte superior de la lista de sitios, pegue o escriba parte de la URL de OneDrive que está investigando. Por ejemplo, si la URL de OneDrive eshttps://contoso.sharepoint.com/sites/MarketingTeam, busque MarketingTeam. El sitio aparece en los resultados. - Compruebe la columna Grupo
En la lista de sitios, localice la columna Grupo. Si el sitio está conectado a un grupo de Microsoft 365, esta columna muestra el nombre del grupo. Haga clic en el nombre del grupo para abrir los detalles del grupo en el centro de administración de Microsoft 365.
Si la columna Grupo no está visible, haga clic en Columnas en la parte superior de la lista y seleccione Grupo para agregarla. Una vez que tenga el nombre del grupo, puede continuar para comprobar la pertenencia del usuario.
Comprobar la pertenencia del usuario al grupo de Microsoft 365
Después de identificar el grupo, verifique si el usuario es miembro. La pertenencia al grupo determina si el usuario tiene acceso heredado al sitio de OneDrive.
- Abra el centro de administración de Microsoft 365
Vaya a admin.microsoft.com y seleccione Grupos en la navegación izquierda; después, elija Grupos activos. - Busque el grupo
En el cuadro de búsqueda, escriba el nombre del grupo que encontró en la sección anterior. Haga clic en el nombre del grupo para abrir su panel de detalles. - Vea los miembros
En el panel de detalles del grupo, seleccione la pestaña Miembros. Esto muestra una lista de todos los miembros directos y propietarios. Si el usuario aparece aquí, tiene pertenencia directa. - Compruebe si hay grupos anidados
Si el usuario no está en la lista de miembros directos, puede pertenecer a un grupo anidado. Haga clic en Ver y administrar todos los miembros para ver la lista completa de miembros. Busque otros grupos que aparezcan como miembros. Es posible que deba comprobar la pertenencia de cada grupo anidado para encontrar al usuario.
Los grupos dinámicos no muestran miembros individuales en el centro de administración. Para los grupos dinámicos, use Azure Active Directory para revisar la consulta de pertenencia y confirmar si el usuario cumple los criterios.
Usar registros de auditoría para confirmar eventos de acceso
Los registros de auditoría proporcionan un registro de cuándo un usuario accedió a un archivo de OneDrive y el contexto de permisos en ese momento. Esta es la forma más confiable de rastrear la ruta de acceso.
- Abra el centro de administración de Microsoft 365
Vaya a admin.microsoft.com y seleccione Cumplimiento en la navegación izquierda. Esto abre el portal de cumplimiento de Microsoft Purview. - Vaya a Auditoría
En el portal de cumplimiento, seleccione Auditoría en la sección Soluciones. Si se le solicita habilitar el registro de auditoría, hágalo. - Busque eventos de acceso a archivos
En la pestaña Búsqueda, establezca el intervalo de fechas para abarcar la hora de acceso sospechada. En el campo Actividades, seleccione Actividades de archivos y páginas y elija Archivo al que se accedió. En el campo Usuario, escriba la dirección de correo electrónico del usuario. Haga clic en Buscar. - Revise los resultados de auditoría
Los resultados de la búsqueda muestran cada evento de acceso a archivos. Haga clic en un evento para abrir el panel de detalles. Busque el campo Pertenencia o Permiso. Este campo indica si el acceso se concedió mediante un uso compartido directo, un vínculo o una pertenencia a un grupo. Si dice Grupo, el acceso provino del grupo de Microsoft 365.
La retención del registro de auditoría depende de su licencia. Los suscriptores de E5 tienen 365 días de retención. Los suscriptores de E3 tienen 90 días. Para eventos más antiguos, es posible que deba usar la exportación del registro de auditoría unificado o una herramienta de terceros.
Problemas comunes al rastrear el acceso a OneDrive
El usuario no aparece como miembro directo pero sigue teniendo acceso
Esto suele ocurrir cuando el usuario pertenece a un grupo de seguridad anidado que a su vez es miembro del grupo de Microsoft 365. Compruebe la lista de miembros del grupo para ver si hay otros grupos. También puede usar Azure AD para expandir la pertenencia a grupos. En el centro de administración de Azure AD, vaya a Grupos, seleccione el grupo y use Miembros para ver todos los miembros anidados.
El registro de auditoría muestra acceso pero no el nombre del grupo
Algunos eventos de auditoría no capturan el grupo específico que concedió el acceso. En este caso, use el informe de permisos del sitio de SharePoint. En el centro de administración de SharePoint, abra el sitio y seleccione Configuración > Permisos del sitio. Revise los niveles de permiso de cada grupo. La cadena de herencia de permisos es visible en la columna Niveles de permiso.
La URL de OneDrive no coincide con ningún sitio activo
Esto puede ocurrir si el sitio se eliminó o si la URL pertenece a una biblioteca personal de OneDrive. Los sitios personales de OneDrive no son propiedad de grupos de Microsoft 365. Las URL personales de OneDrive contienen /personal/ en la ruta de acceso. Las URL de OneDrive propiedad de grupos contienen /sites/. Verifique el formato de la URL antes de continuar.
Acceso directo de usuarios frente a acceso basado en grupos: diferencias clave
| Elemento | Acceso directo de usuarios | Acceso basado en grupos |
|---|---|---|
| Origen del permiso | Uso compartido explícito con un usuario específico | Heredado mediante la pertenencia a un grupo de Microsoft 365 |
| Ubicación de administración | Configuración de uso compartido de OneDrive | Centro de administración de Microsoft 365 o configuración de grupos de Azure AD |
| Visibilidad del usuario en la auditoría | El registro de auditoría muestra al usuario directamente | El registro de auditoría puede mostrar el nombre del grupo o la pertenencia como contexto |
| Método de revocación | Quitar al usuario del uso compartido | Quitar al usuario del grupo o cambiar los permisos del grupo |
| Impacto del cambio en el grupo | Sin impacto en otros usuarios | Todos los miembros del grupo pierden o ganan acceso simultáneamente |
Comprender estas diferencias le ayuda a decidir qué método usar al conceder o revocar acceso. El acceso basado en grupos es más fácil de administrar para equipos grandes, pero requiere una supervisión cuidadosa de los cambios de pertenencia.
Ahora puede rastrear el acceso a OneDrive a través de grupos de Microsoft 365 identificando el propietario del grupo, comprobando la pertenencia y usando registros de auditoría para confirmar los eventos de acceso. Empiece por verificar la conexión del sitio de OneDrive con el grupo en el centro de administración de SharePoint. Para la supervisión continua, configure informes de pertenencia a grupos en Azure AD para detectar cambios que afecten al acceso a archivos. Sugerencia avanzada: use el comando de PowerShell Get-SPOSiteGroup para recuperar en bloque todos los permisos de grupo de un sitio, lo que es más rápido que comprobar cada usuario manualmente en el centro de administración.