Checklist do Administrador do OneDrive: acesso ao OneDrive de ex-funcionário vai para o aprovador errado para revisão jurídica

Quando um ex-funcionário sai da sua organização, os arquivos do OneDrive geralmente precisam de revisão jurídica antes que o acesso seja concedido a um novo proprietário. Você configurou a política de retenção e designou um membro da equipe jurídica como revisor. Mas a solicitação de acesso é enviada para uma pessoa diferente, como o gerente direto do ex-funcionário ou um administrador aleatório de conjunto de sites. Essa incompatibilidade atrasa os fluxos de conformidade e cria lacunas de segurança. A causa raiz é quase sempre uma cadeia de aprovação mal configurada no centro de administração do Microsoft 365 ou uma atribuição ausente de proprietário do conjunto de sites. Este artigo explica por que o aprovador errado recebe a solicitação e fornece um checklist passo a passo para direcionar as solicitações de acesso ao OneDrive para o revisor jurídico correto.

Por que as solicitações de acesso ao OneDrive vão para o aprovador errado

Quando o site do OneDrive de um ex-funcionário fica órfão, o sistema usa uma cadeia de aprovação de fallback para determinar quem recebe as solicitações de acesso. A cadeia segue esta ordem:

1. Grupo de proprietários do site: O usuário ou grupo listado como proprietário do site recebe a solicitação primeiro. Se o ex-funcionário era o único proprietário, o sistema pula esta etapa.
2. Configurações de solicitação de acesso: Se nenhum proprietário do site estiver ativo, o sistema verifica a configuração de solicitação de acesso no nível do locatário na seção de administração do OneDrive. Essa configuração define um endereço de e-mail padrão para todos os sites do OneDrive órfãos.
3. Administrador do conjunto de sites: Se nenhuma das opções acima estiver configurada, a solicitação vai para qualquer usuário que tenha direitos de administrador do conjunto de sites no site do ex-funcionário.

A falha mais comum é que o gerente direto é listado como proprietário do site devido ao recurso de atribuição automática de gerente no OneDrive. Quando o gerente do ex-funcionário ainda é um usuário ativo, o sistema encaminha a solicitação de acesso para ele em vez do revisor jurídico. Outra falha ocorre quando o e-mail de solicitação de acesso no nível do locatário é deixado em branco ou aponta para uma caixa de correio geral de suporte de TI que encaminha as solicitações para a equipe errada.

O papel do recurso de atribuição de gerente

O OneDrive atribui automaticamente o gerente direto do ex-funcionário como proprietário do site quando a conta de usuário é excluída ou desabilitada. Esse recurso foi projetado para dar ao gerente acesso imediato aos arquivos. No entanto, se sua organização exigir revisão jurídica antes da concessão de acesso, essa atribuição automática ignora o processo de aprovação jurídica. O gerente recebe a solicitação de acesso e pode aprová-la sem supervisão jurídica.

Checklist para direcionar as solicitações de acesso ao OneDrive para o aprovador jurídico correto

Use este checklist na ordem apresentada para garantir que todos os sites do OneDrive de ex-funcionários direcionem as solicitações de acesso para seu revisor jurídico designado.

Etapa 1: Desabilitar a atribuição automática de gerente

1. Abra o centro de administração do Microsoft 365
   Vá para Configurações > Configurações da organização > OneDrive.
2. Localize a configuração de atribuição de gerente
   Role até a seção intitulada Quando um usuário é excluído do Azure Active Directory. Desmarque a caixa que diz Dar ao gerente do usuário acesso ao OneDrive do usuário.
3. Salve a alteração
   Clique em Salvar. Isso impede que qualquer gerente futuro se torne automaticamente proprietário do site.

Etapa 2: Definir um e-mail padrão de solicitação de acesso para sites órfãos

1. Navegue até as configurações de solicitação de acesso do OneDrive
   Na mesma página de configurações do OneDrive, encontre Solicitações de acesso.
2. Insira o endereço de e-mail do revisor jurídico
   Digite o endereço de e-mail da caixa de correio compartilhada da sua equipe jurídica ou de um revisor jurídico específico. Este e-mail receberá todas as solicitações de acesso para sites do OneDrive órfãos que não tenham um proprietário ativo.
3. Salve a configuração
   Clique em Salvar. O locatário agora usa este e-mail como aprovador de fallback.

Etapa 3: Reatribuir a propriedade do site para sites existentes de ex-funcionários

1. Abra o centro de administração do SharePoint
   Vá para Centros de administração > SharePoint.
2. Encontre o site do OneDrive do ex-funcionário
   Selecione Sites ativos. Use a caixa de pesquisa para encontrar o site pelo nome ou e-mail do ex-funcionário. A URL do site segue o padrão https://yourtenant-my.sharepoint.com/personal/username_domain_com.
3. Altere o proprietário do site
   Clique no nome do site para abrir o painel de detalhes. Em Proprietários, clique em Adicionar proprietário. Insira o endereço de e-mail do revisor jurídico. Remova quaisquer proprietários existentes, como o ex-gerente.
4. Salve a alteração
   Clique em Salvar. O revisor jurídico agora é o proprietário principal e receberá todas as solicitações de acesso futuras.

Etapa 4: Usar PowerShell para reatribuição em massa

Se você tiver muitos sites de ex-funcionários para atualizar, use o PowerShell para reatribuir a propriedade em massa.

1. Instale e conecte-se ao SharePoint Online PowerShell
   Execute Install-Module -Name Microsoft.Online.SharePoint.PowerShell e depois Connect-SPOService -Url https://yourtenant-admin.sharepoint.com.
2. Reatribua o proprietário do site
   Use o comando Set-SPOSite -Identity https://yourtenant-my.sharepoint.com/personal/username_domain_com -Owner legalreviewer@yourtenant.com. Substitua a URL e o e-mail pelos seus valores.
3. Verifique a alteração
   Execute Get-SPOSite -Identity https://yourtenant-my.sharepoint.com/personal/username_domain_com | Select Owner para confirmar o novo proprietário.

Se as solicitações de acesso ainda forem para a pessoa errada

O revisor jurídico não está recebendo nenhum e-mail

Isso geralmente acontece quando o endereço de e-mail de solicitação de acesso não é uma caixa de correio válida ou é um grupo de distribuição que não aceita e-mails externos. Use uma caixa de correio compartilhada ou um grupo de segurança que possa receber e-mails de remetentes externos. Verifique também o filtro de spam do Exchange Online para garantir que e-mails de no-reply@sharepointonline.com não sejam bloqueados.

O gerente do ex-funcionário ainda recebe a solicitação

Se você desabilitou a atribuição automática de gerente, mas o gerente ainda aparece como proprietário, o gerente foi adicionado manualmente antes da alteração da configuração. Siga a Etapa 3 para remover o gerente do grupo de proprietários do site. Se o gerente estiver listado como administrador do conjunto de sites, remova-o dessa função no centro de administração do SharePoint em Mais recursos > Administradores do conjunto de sites.

A solicitação vai para um administrador global em vez do revisor jurídico

Os administradores globais têm acesso implícito a todos os sites do OneDrive e podem receber solicitações de acesso como fallback. Para evitar isso, certifique-se de que o e-mail de solicitação de acesso nas configurações do OneDrive esteja preenchido com o endereço do revisor jurídico. Remova também os administradores globais do grupo de proprietários do site de cada site de ex-funcionário.

Roteamento de solicitações de acesso: configuração no nível do locatário versus atribuição de proprietário do site

Item	E-mail de solicitação de acesso no nível do locatário	Atribuição de proprietário do site
Escopo	Aplica-se a todos os sites do OneDrive órfãos sem proprietário ativo	Aplica-se a um único site de ex-funcionário
Local de configuração	Centro de administração do Microsoft 365 > Configurações > Configurações da organização > OneDrive > Solicitações de acesso	Centro de administração do SharePoint > Sites ativos > selecionar site > Proprietários
Comportamento de substituição	Substitui o fallback do administrador do conjunto de sites, mas não o proprietário explícito do site	Substitui todas as outras regras de roteamento para aquele site específico
Melhor para	Definir uma caixa de correio jurídica padrão para todos os futuros ex-funcionários	Corrigir o roteamento para sites existentes de ex-funcionários onde a pessoa errada já é proprietária

Use a configuração no nível do locatário como uma rede de segurança e a atribuição de proprietário do site como método principal para sites existentes. Ambos devem apontar para o mesmo revisor jurídico ou caixa de correio compartilhada.

Após concluir este checklist, todas as solicitações de acesso para sites do OneDrive de ex-funcionários serão direcionadas para seu revisor jurídico designado. A equipe jurídica pode revisar os arquivos antes de conceder acesso a um novo proprietário ou arquivar os dados. Para conformidade contínua, execute um script mensal do PowerShell que verifique a propriedade do site em todos os sites do OneDrive e reatribua qualquer um que não corresponda ao revisor jurídico. Use Get-SPOSite -IncludePersonalSite $true para listar todos os sites pessoais e verificar a propriedade deles.