Documentar permisos de SharePoint para una auditoría: guía para administradores de SharePoint

Cuando un auditor solicita un mapa completo de quién tiene acceso a qué en su entorno de SharePoint, verificar manualmente cada sitio es lento y propenso a errores. El desafío principal es que los permisos de SharePoint pueden ser heredados, únicos y superpuestos a través de grupos de Microsoft 365, grupos de seguridad y asignaciones directas de usuarios. Esta guía explica cómo usar las herramientas integradas de administración de SharePoint y PowerShell para generar un informe de permisos que cumpla con los requisitos de auditoría. Aprenderá los pasos exactos para exportar datos de permisos para todos los sitios, documentar la configuración de uso compartido externo y verificar los niveles de acceso para el cumplimiento normativo.

Por qué los permisos de SharePoint son difíciles de auditar

Los permisos de SharePoint no se almacenan en una única tabla plana. Un usuario podría tener acceso a través de un permiso directo en un sitio, la pertenencia a un grupo de Microsoft 365, la inclusión en un grupo de SharePoint o la herencia de un sitio principal. El modelo de permisos incluye tres capas: el nivel de sitio, el nivel de lista o biblioteca y el nivel de elemento. Los auditores necesitan ver todas las rutas de acceso, no solo las asignaciones directas.

Otra complicación es que la configuración de uso compartido externo difiere entre el nivel de organización y cada sitio. Un sitio puede permitir compartir con cualquier persona, mientras que el valor predeterminado del inquilino es más restrictivo. El informe de auditoría debe capturar tanto la política de uso compartido efectiva como los permisos reales otorgados a usuarios externos.

SharePoint no tiene un único informe integrado que combine todos estos datos. Debe usar el centro de administración de SharePoint para un inventario de sitios de alto nivel y PowerShell para volcados detallados de permisos. Esta guía cubre ambos métodos para que pueda producir un paquete de auditoría completo.

Pasos para exportar permisos de SharePoint para una auditoría

Método 1: Exportar el inventario de sitios desde el centro de administración de SharePoint

1. Abrir el centro de administración de SharePoint
   Inicie sesión en Microsoft 365 como administrador de SharePoint o administrador global. Vaya al centro de administración de Microsoft 365, seleccione Centros de administración y luego elija SharePoint. Alternativamente, navegue directamente a https://admin.microsoft.com/SharePoint.
2. Navegar a Sitios activos
   En el menú de navegación izquierdo, seleccione Sitios activos. Esta página enumera todos los sitios de SharePoint en su inquilino, incluidos sitios de equipo, sitios de comunicación y sitios concentradores.
3. Aplicar filtros para acotar el alcance
   Si el auditor solo necesita un subconjunto de sitios (por ejemplo, todos los sitios de un concentrador específico o con una plantilla determinada), use la barra de filtros en la parte superior. Puede filtrar por tipo de sitio, asociación de concentrador o URL.
4. Exportar la lista de sitios
   Haga clic en el botón Exportar en la barra de herramientas. La exportación genera un archivo CSV que contiene la URL del sitio, el título, la plantilla, el propietario, el almacenamiento utilizado y el estado de Uso compartido externo. La columna de estado de uso compartido muestra la configuración de uso compartido externo a nivel de sitio (Cualquier persona, Invitados nuevos y existentes, Invitados existentes o Solo personas de su organización).
5. Guardar y revisar el CSV
   Descargue el archivo CSV y ábralo en Excel. Verifique que la columna Uso compartido externo coincida con los requisitos del auditor. Este archivo sirve como la parte de inventario de sitios del informe de auditoría.

Método 2: Usar PowerShell para extraer permisos detallados

La exportación del centro de administración no incluye permisos de usuarios individuales ni pertenencias a grupos. Para eso, necesita el Shell de administración de SharePoint Online. Instale el módulo si aún no lo ha hecho:

Install-Module -Name Microsoft.Online.SharePoint.PowerShell

1. Conectar a SharePoint Online
   Ejecute Connect-SPOService -Url https://yourtenant-admin.sharepoint.com. Reemplace yourtenant con el nombre de su inquilino. Ingrese sus credenciales de administrador cuando se le solicite.
2. Obtener todas las colecciones de sitios
   Use Get-SPOSite -Limit All para recuperar cada colección de sitios. Almacene la salida en una variable, por ejemplo $sites = Get-SPOSite -Limit All. El parámetro -Limit All asegura que no se omita ningún sitio.
3. Exportar grupos de permisos a nivel de sitio
   Ejecute Get-SPOSiteGroup -Site $site.Url para cada sitio. Este cmdlet devuelve los grupos de SharePoint (Visitantes, Miembros, Propietarios) y sus miembros. Canalice la salida a Export-Csv para guardarla. Script de ejemplo:

   $sites | ForEach-Object {
       Get-SPOSiteGroup -Site $_.Url | 
       Select-Object Title, Users, Roles, @{N='SiteUrl';E={$_.Url}} | 
       Export-Csv -Path 'C:\audit\sitegroups.csv' -NoTypeInformation -Append
   }

4. Documentar usuarios externos y vínculos de uso compartido
   Use Get-SPOExternalUser para listar todos los usuarios externos en el inquilino. Para los vínculos de uso compartido, ejecute Get-SPOSite -IncludePersonalSite $false | Get-SPOSharingLink para recuperar todos los vínculos de uso compartido en los sitios. Estos datos son críticos para los auditores que necesitan ver quién tiene acceso anónimo.
5. Verificar permisos únicos en subsitios y listas
   Los permisos únicos rompen la herencia. Use Get-SPOSite -Detail para ver qué sitios tienen permisos únicos. Para una inspección más profunda, use scripts CSOM (Modelo de objetos del lado cliente) o herramientas de terceros, ya que los cmdlets integrados no enumeran permisos a nivel de elemento. Una verificación simple: Get-SPOSite -Limit All | Where-Object {$_.HasUniqueRoleAssignments -eq $true} enumera los sitios con herencia rota.

Método 3: Verificar la configuración de uso compartido externo

1. Verificar el uso compartido a nivel de organización
   En el centro de administración de SharePoint, seleccione Directivas en el menú izquierdo, luego elija Uso compartido. La sección Uso compartido externo muestra el valor predeterminado a nivel de inquilino. Anote la configuración y cualquier lista de dominios permitidos o bloqueados.
2. Comparar el uso compartido a nivel de sitio con el valor predeterminado del inquilino
   En la página Sitios activos, seleccione un sitio, luego haga clic en Configuración y busque la sección Uso compartido externo. Documente cualquier sitio donde el uso compartido a nivel de sitio sea más permisivo que el valor predeterminado del inquilino. Los auditores los marcan como posibles brechas de seguridad.
3. Exportar la configuración de uso compartido para todos los sitios
   Ejecute Get-SPOSite -Limit All | Select-Object Url, SharingCapability y exporte a CSV. La propiedad SharingCapability muestra el nivel exacto de uso compartido para cada sitio.

Brechas comunes en las auditorías de permisos de SharePoint

El script de PowerShell falla con acceso denegado

La cuenta que ejecuta el script debe tener el rol de administrador de SharePoint o administrador global. Si recibe un error de acceso denegado, confirme la asignación de rol en el centro de administración de Microsoft 365 en Roles > Asignaciones de roles. También verifique que el Shell de administración de SharePoint Online esté conectado a la URL del inquilino correcta.

El CSV exportado no incluye todos los usuarios

El cmdlet Get-SPOSiteGroup solo devuelve usuarios que son miembros directos de grupos de SharePoint. Los usuarios que obtienen acceso a través de la pertenencia a un grupo de Microsoft 365 no se listan. Para capturarlos, ejecute Get-UnifiedGroupLinks -Identity "GroupName" -LinkType Members desde PowerShell de Exchange Online. Luego, cruce los miembros del grupo con los permisos del sitio.

Faltan permisos únicos en subsitios o elementos

Los cmdlets integrados no profundizan en permisos de subsitios, listas o elementos. Si el auditor requiere esta profundidad, considere usar una herramienta de gobernanza de terceros o escribir un script CSOM que enumere todos los objetos protegibles. Una solución más simple es exportar una lista de sitios con permisos únicos y anotar que se necesita inspección manual.

Métodos de auditoría de permisos de SharePoint: Centro de administración vs PowerShell

Elemento	Exportación del centro de administración de SharePoint	PowerShell (Shell de administración de SPO)
Cobertura de datos	URL del sitio, propietario, plantilla, almacenamiento, estado de uso compartido externo	Todos los datos del centro de administración más miembros de grupos, roles, usuarios externos, vínculos de uso compartido
Nivel de detalle de permisos	Ninguno (sin permisos de usuario o grupo)	Grupos a nivel de sitio y sus miembros; no incluye pertenencias a grupos de Microsoft 365 ni permisos a nivel de elemento
Facilidad de uso	No requiere programación; exportación vía navegador	Requiere conocimientos de PowerShell e instalación de módulos
Automatización	Exportación manual cada vez	Se puede programar y automatizar
Detalle de uso compartido externo	Muestra solo la configuración de uso compartido a nivel de sitio	Muestra la configuración de uso compartido y puede listar usuarios externos y vínculos de uso compartido

Ahora puede generar un informe completo de permisos de SharePoint utilizando la exportación del centro de administración para el inventario de sitios y PowerShell para datos detallados de permisos. Comience ejecutando la exportación del centro de administración para obtener la vista de alto nivel, luego complemente con los scripts de PowerShell para capturar pertenencias a grupos y vínculos de uso compartido externo. Para una auditoría completa, documente también cualquier pertenencia a grupos de Microsoft 365 que otorgue acceso al sitio y marque los sitios con permisos únicos para revisión manual. Guarde todas las salidas CSV en una carpeta con fecha y etiquételas claramente para el auditor.