Las cuotas de almacenamiento de OneDrive for Business no se actualizan para las revisiones de seguridad: guía de solución

Cuando cambia la cuota de almacenamiento de OneDrive de un usuario en el centro de administración de Microsoft 365, el nuevo límite a menudo no aparece en las herramientas de revisión de seguridad de terceros ni en los informes de auditoría. Este problema se produce porque las plataformas de revisión de seguridad almacenan en caché los datos de usuario de Azure Active Directory, y los cambios en la cuota de OneDrive no se sincronizan inmediatamente con ese directorio. Esta guía explica la causa raíz del retraso y proporciona los pasos exactos para forzar una sincronización de modo que las cuotas de almacenamiento se reflejen correctamente en las revisiones de seguridad.

Por qué las cuotas de almacenamiento de OneDrive no se sincronizan con las herramientas de revisión de seguridad

Las plataformas de revisión de seguridad como Varonis, SailPoint o el portal de cumplimiento de Microsoft Purview extraen datos de usuario de Azure Active Directory. Cuando cambia una cuota de almacenamiento de OneDrive en el centro de administración de SharePoint o a través del panel de administración de OneDrive, la actualización se escribe en SharePoint Online pero no se replica inmediatamente en Azure AD. Azure AD actualiza su atributo de cuota de OneDrive solo durante el siguiente ciclo de sincronización de directorios, que puede tardar hasta 24 horas. Hasta que se produzca esa sincronización, las herramientas de revisión de seguridad ven el valor de cuota anterior y marcan la cuenta como no conforme.

El papel de la sincronización de directorios de Azure AD

Azure AD almacena los atributos StorageQuota y StorageQuotaWarningLevel de OneDrive de un usuario. Estos atributos se actualizan mediante un proceso en segundo plano que sondea SharePoint Online periódicamente. El intervalo de sondeo predeterminado es de entre 2 y 24 horas. Ninguna configuración orientada al usuario reduce este intervalo. Las herramientas de revisión de seguridad que consultan Azure AD a través de la API de Microsoft Graph reciben el valor en caché hasta que finaliza el siguiente sondeo.

Por qué la sincronización manual falla en algunos inquilinos

Algunos inquilinos tienen permisos personalizados de aplicaciones de Azure AD o directivas de acceso condicional que impiden que el servicio de sincronización lea los datos de SharePoint. En esos entornos, la cuota nunca se actualiza en Azure AD a menos que un administrador desencadene una sincronización manual a través del centro de administración. La sincronización manual fuerza un sondeo único e inmediato para el usuario seleccionado.

Pasos para forzar la actualización de las cuotas de almacenamiento de OneDrive para las revisiones de seguridad

Use los siguientes métodos para enviar la cuota actualizada a Azure AD inmediatamente. Realice primero el método 1 para usuarios individuales. Use el método 2 cuando necesite actualizar varios usuarios a la vez.

Método 1: Sincronización manual a través del centro de administración de Microsoft 365

1. Inicie sesión en el centro de administración de Microsoft 365
   Vaya a https://admin.microsoft.com e inicie sesión con una cuenta de administrador global o de administrador de SharePoint.
2. Vaya a Usuarios activos
   Seleccione Usuarios en el panel de navegación izquierdo y, a continuación, haga clic en Usuarios activos.
3. Abra la pestaña OneDrive del usuario
   Haga clic en el usuario cuya cuota cambió. En el panel de detalles del usuario, seleccione la pestaña OneDrive. Verá el valor de cuota actual y un botón Sincronizar.
4. Haga clic en Sincronizar
   Haga clic en el botón Sincronizar. Aparece un cuadro de diálogo de confirmación. Haga clic en Sincronizar de nuevo. El sistema sondea inmediatamente SharePoint Online y actualiza los atributos de Azure AD de ese usuario.
5. Verifique la actualización en Azure AD
   Abra https://portal.azure.com, vaya a Azure Active Directory > Usuarios, seleccione el mismo usuario y compruebe la sección OneDrive. La cuota ahora debería coincidir con el valor que estableció en el centro de administración de SharePoint.

Método 2: Forzar la sincronización con PowerShell

1. Instale y conéctese a PowerShell de SharePoint Online
   Abra Windows PowerShell como administrador. Ejecute Install-Module -Name Microsoft.Online.SharePoint.PowerShell si no está instalado. A continuación, ejecute Connect-SPOService -Url https://[tenant]-admin.sharepoint.com e inicie sesión con una cuenta de administrador de SharePoint.
2. Establezca la cuota de almacenamiento con el nivel de advertencia
   Ejecute el siguiente cmdlet para cada usuario:
   Set-SPOSite -Identity https://[tenant]-my.sharepoint.com/personal/[user]_[tenant]_com -StorageQuotaWarningLevel [value]
   Reemplace [value] por el nivel de advertencia en MB. Este cmdlet escribe el cambio de cuota directamente en SharePoint Online y desencadena una sincronización inmediata con Azure AD para ese sitio.
3. Verifique la sincronización
   Ejecute Get-SPOSite -Identity https://[tenant]-my.sharepoint.com/personal/[user]_[tenant]_com | Select StorageQuota, StorageQuotaWarningLevel para confirmar que los valores están establecidos. A continuación, compruebe Azure AD como se describe en el paso 5 del método 1.

Si la cuota de OneDrive sigue sin actualizarse en las revisiones de seguridad

La herramienta de revisión de seguridad almacena en caché los datos durante más de 24 horas

Algunas herramientas de terceros almacenan en caché los atributos de usuario durante 48 a 72 horas. Después de forzar la sincronización en Azure AD, espere 48 horas antes de abrir un vale de soporte con el proveedor de la herramienta. También puede pedir al administrador de la herramienta que actualice manualmente los datos de usuario desde Azure AD.

Los permisos de la aplicación de Azure AD bloquean la sincronización

Si el botón de sincronización manual está atenuado o no cambia el valor de Azure AD, es posible que una directiva de acceso condicional esté bloqueando el servicio de sincronización. Vaya a Azure AD > Acceso condicional > Directivas y revise cualquier directiva que tenga como destino la aplicación Office 365 SharePoint Online. Excluya temporalmente el principal de servicio Microsoft Office 365 Sync Service de la directiva y, a continuación, repita el método 1. Vuelva a habilitar la directiva una vez completada la sincronización.

El cambio de cuota se realizó con el centro de administración incorrecto

Si cambió la cuota en el centro de administración de SharePoint en Sitios activos en lugar de en el panel de administración de OneDrive, es posible que la sincronización no se desencadene. Cambie siempre las cuotas mediante Centro de administración de Microsoft 365 > Usuarios > Usuarios activos > usuario > pestaña OneDrive o a través del cmdlet Set-SPOSite. Los cambios realizados en la lista de colecciones de sitios del centro de administración de SharePoint no se sincronizan automáticamente con Azure AD.

Elemento	Sincronización manual del centro de administración de Microsoft 365	Cmdlet Set-SPOSite de PowerShell
Ámbito	Un solo usuario por clic	Un solo usuario o varios usuarios en un bucle
Tiempo para completar	2 minutos por usuario	30 segundos por usuario después de la conexión
Requiere rol de administrador	Administrador global o administrador de SharePoint	Administrador de SharePoint
Desencadena una sincronización inmediata con Azure AD	Sí	Sí
Funciona con el bloqueo de acceso condicional	No	No

Ahora puede forzar que los cambios en las cuotas de almacenamiento de OneDrive aparezcan en las herramientas de revisión de seguridad en cuestión de minutos en lugar de esperar hasta 24 horas. Use el botón de sincronización manual en el centro de administración de Microsoft 365 para usuarios individuales, o el cmdlet de PowerShell para actualizaciones masivas. En el caso de los inquilinos con restricciones de acceso condicional, excluya temporalmente el servicio de sincronización antes de intentar la sincronización manual. Una vez actualizadas las cuotas, verifique el cambio en Azure AD antes de confirmar el cumplimiento con su equipo de revisión de seguridad.