Intenta abrir el Centro de administración de SharePoint pero un error de inicio de sesión se lo impide. La página muestra un mensaje sobre una política que impide el acceso. Esto ocurre porque una política de acceso condicional en Microsoft Entra ID (anteriormente Azure AD) se aplica a SharePoint pero no incluye el Centro de administración como aplicación permitida. Este artículo explica por qué el acceso al Centro de administración de SharePoint se bloquea por el acceso condicional y cómo solucionarlo.
Puntos clave: Solución de problemas del acceso condicional que bloquea el Centro de administración de SharePoint
- Centro de administración de Microsoft Entra > Acceso condicional > Directivas: Enumera todas las políticas que pueden bloquear el acceso al Centro de administración de SharePoint
- Aplicaciones en la nube o acciones > Incluir > Seleccionar aplicaciones > Office 365 SharePoint Online: La aplicación que debe permitirse para el acceso al Centro de administración
- Sesión > Frecuencia de inicio de sesión: Controla con qué frecuencia los administradores deben volver a autenticarse, lo que puede provocar bloqueos inesperados
Por qué las políticas de acceso condicional bloquean el Centro de administración de SharePoint
El acceso condicional es una característica de Microsoft Entra ID que controla cómo los usuarios acceden a las aplicaciones en la nube. Una política puede bloquear o permitir el acceso según condiciones como la ubicación del usuario, el cumplimiento del dispositivo o el riesgo de inicio de sesión. Cuando una política se dirige a la aplicación Office 365 SharePoint Online, se aplica tanto a los sitios de SharePoint como al Centro de administración de SharePoint. Si la política no permite explícitamente el Centro de administración o si requiere una condición que el administrador no cumple, se bloquea el acceso.
La causa raíz es que la aplicación Office 365 SharePoint Online incluye el Centro de administración de SharePoint como punto de conexión de servicio. La política que creó para los usuarios finales también se aplica a los administradores. Las condiciones comunes que provocan bloqueos incluyen exigir un dispositivo compatible, exigir un rango de IP específico o exigir autenticación multifactor cuando el administrador no la tiene configurada. Otra causa común es que la política excluye la aplicación del Centro de administración pero el Centro de administración aún hereda la política de la aplicación principal.
Cómo se aplica el acceso condicional al Centro de administración de SharePoint
Cuando crea una política de acceso condicional, selecciona la aplicación o acción en la nube. Para SharePoint, elige Office 365 SharePoint Online. Esta selección abarca todos los puntos de conexión de SharePoint, incluidos el Centro de administración, los sitios de SharePoint y OneDrive para la Empresa. No hay una entrada de aplicación independiente para el Centro de administración en la lista de aplicaciones en la nube. Esto significa que cualquier política dirigida a SharePoint también se dirige al Centro de administración.
Condiciones comunes que bloquean el acceso
Estas condiciones suelen provocar bloqueos a los administradores:
- Cumplimiento del dispositivo: Requiere que el dispositivo esté inscrito en Intune y marcado como compatible. Los dispositivos personales de los administradores a menudo no superan esta comprobación.
- Ubicación: Restringe el acceso a rangos de IP de confianza. Los administradores que trabajan desde casa o en movimiento quedan bloqueados.
- Riesgo de inicio de sesión: Bloquea el acceso si el inicio de sesión se detecta como riesgoso. Los falsos positivos pueden bloquear a administradores legítimos.
- Controles de concesión: Requiere autenticación multifactor, cambio de contraseña o política de protección de aplicaciones. Si falta algún requisito, se bloquea el acceso.
Pasos para identificar y corregir la política de bloqueo
Siga estos pasos para encontrar qué política de acceso condicional está bloqueando el Centro de administración de SharePoint y ajústela.
- Inicie sesión en el Centro de administración de Microsoft Entra
Vaya a https://entra.microsoft.com e inicie sesión con una cuenta de Administrador global o Administrador de seguridad. Si está bloqueado, use otro navegador o una ventana privada e inicie sesión con una cuenta de emergencia que esté excluida de todas las políticas. - Abra las políticas de acceso condicional
En la navegación izquierda, seleccione Protección > Acceso condicional > Directivas. Aparece una lista de todas las políticas. Busque las políticas que tengan el estado establecido en Activada o Solo informe. - Encuentre la política que bloquea SharePoint
Haga clic en cada política y compruebe Aplicaciones en la nube o acciones. Si la lista Incluir contiene Office 365 SharePoint Online, esta política se aplica al Centro de administración de SharePoint. Anote las condiciones y los controles de concesión. - Compruebe la pestaña Excluir
En la misma política, seleccione la pestaña Excluir en Aplicaciones en la nube o acciones. Si su cuenta de administrador o un grupo que contiene su cuenta de administrador aparece aquí, la política no debería bloquearlo. Si no es así, la política se aplica a usted. - Ajuste la política para excluir a los administradores
En Excluir > Usuarios y grupos, agregue un grupo que contenga a sus administradores de SharePoint. Este grupo debe estar vacío o contener solo las cuentas de administrador. No agregue usuarios individualmente a menos que tenga muy pocos administradores. - Pruebe el cambio
Seleccione What If en la parte superior de la página Directivas. Escriba su cuenta de administrador, seleccione Office 365 SharePoint Online como la aplicación en la nube y ejecute la evaluación. La herramienta muestra qué políticas se aplican y si se concede o se bloquea el acceso. Si la evaluación muestra que se permite el acceso, cierre la sesión y vuelva a iniciarla en el Centro de administración de SharePoint.
Alternativa: Crear una política independiente para el acceso al Centro de administración
Si no puede excluir a los administradores de la política existente, cree una nueva política que permita el acceso solo a los administradores.
- Cree una nueva política
En la página Acceso condicional > Directivas, seleccione Nueva política. - Asigne usuarios
En Asignaciones > Usuarios, seleccione Incluir > Seleccionar usuarios y grupos. Agregue el grupo de administradores. En Excluir, agregue las cuentas de acceso de emergencia. - Seleccione la aplicación en la nube
En Aplicaciones en la nube o acciones > Incluir > Seleccionar aplicaciones, elija Office 365 SharePoint Online. En Excluir, seleccione Office 365 SharePoint Online de nuevo. Esto parece contradictorio, pero garantiza que la política se aplique solo al Centro de administración. En realidad, esto no funciona. En su lugar, deje la aplicación en la nube como Office 365 SharePoint Online y use los controles de concesión para exigir solo lo necesario para los administradores, como la autenticación multifactor. - Establezca los controles de concesión
En Conceder, seleccione Conceder acceso. Marque Requerir autenticación multifactor y Requerir que el dispositivo esté marcado como compatible si es necesario. Para los administradores, exigir la autenticación multifactor es una buena práctica. - Habilite los controles de sesión
En Sesión, establezca la Frecuencia de inicio de sesión en cada 1 hora para forzar la reautenticación. Esto reduce el riesgo de secuestro de sesión. - Habilite la política y pruébela
Establezca Habilitar política en Solo informe. Pruebe la política con la herramienta What If. Si funciona, establezca Habilitar política en Activada.
Si el Centro de administración de SharePoint sigue bloqueando el acceso
Después de ajustar el acceso condicional, es posible que aún enfrente bloqueos. Estos problemas relacionados suelen causar problemas persistentes.
El Centro de administración de SharePoint muestra Acceso denegado incluso después de cambiar la política
La causa más común es que el cambio de política no se ha propagado. Las políticas de acceso condicional pueden tardar hasta 30 minutos en aplicarse. Espere 30 minutos e inténtelo de nuevo. También borre la caché del navegador o use una ventana de InPrivate. Si el problema persiste, revise los registros de inicio de sesión en el Centro de administración de Microsoft Entra en Supervisión > Registros de inicio de sesión. Busque el inicio de sesión fallido y busque la política de acceso condicional que lo bloqueó.
El Centro de administración de SharePoint requiere inscripción del dispositivo pero el dispositivo ya está inscrito
Es posible que el dispositivo esté inscrito pero no sea compatible. En Intune, vaya a Dispositivos > Todos los dispositivos. Busque su dispositivo y compruebe el estado de Cumplimiento. Si muestra No compatible, haga clic en el dispositivo y revise las políticas de cumplimiento. Las razones comunes de incumplimiento incluyen falta de antivirus, sistema operativo desactualizado o cifrado no habilitado. Corrija el problema de cumplimiento en Intune o excluya el dispositivo de la política de acceso condicional.
Centro de administración de SharePoint bloqueado para administradores invitados
Los usuarios invitados que son administradores de SharePoint a menudo enfrentan bloqueos porque las políticas de acceso condicional se aplican a los usuarios invitados de forma predeterminada. En la política, en Asignaciones > Usuarios > Incluir, seleccione Todos los usuarios invitados y externos. En Excluir, agregue las cuentas de administrador invitado. Como alternativa, cree una política independiente para administradores invitados con condiciones relajadas.
Tipos de políticas de acceso condicional y su efecto en el Centro de administración de SharePoint
| Tipo de política | Efecto en el acceso al Centro de administración | Solución recomendada |
|---|---|---|
| Requerir dispositivo compatible | Bloquea el acceso si el dispositivo no es compatible con Intune | Inscriba el dispositivo en Intune o excluya el grupo de administradores |
| Requerir autenticación multifactor | Bloquea el acceso si MFA no está configurada | Configure MFA para las cuentas de administrador o excluya el grupo de administradores |
| Bloquear el acceso desde ubicaciones no confiables | Bloquea el acceso si la IP no está en el rango permitido | Agregue la IP doméstica del administrador a las ubicaciones de confianza o excluya el grupo de administradores |
| Política de riesgo de inicio de sesión | Bloquea el acceso si el inicio de sesión es riesgoso | Use What If para comprobar el nivel de riesgo o excluya el grupo de administradores |
El acceso condicional es una herramienta de seguridad potente, pero puede bloquear el acceso legítimo de los administradores si no se configura correctamente. Al identificar la política específica que se dirige a Office 365 SharePoint Online y ajustar la lista de exclusión para incluir su grupo de administradores, recupera el acceso al Centro de administración de SharePoint. Use la herramienta What If para probar los cambios antes de habilitarlos. Para la administración continua, considere crear una política de acceso condicional independiente para los administradores con los controles de concesión adecuados.