ИТ-администраторы — неуправляемые элементы управления доступом к устройствам SharePoint и OneDrive

Как минимум администратор SharePoint в Microsoft 365, вы можете заблокировать или ограничить доступ к содержимому SharePoint и OneDrive с неуправляемых устройств (которые не присоединены к гибридной службе AD или не соответствуют Intune). Можно заблокировать или ограничить доступ:

• для всех сотрудников компании или только для некоторых пользователей либо групп безопасности;

• ко всем сайтам организации или только к некоторым сайтам.

Блокирование доступа помогает обеспечить безопасность, но может негативно влиять на удобство использования и продуктивность. Если доступ заблокирован, пользователи увидят следующую ошибку.

Ограниченный доступ не мешает работе пользователей, при этом сокращая риск непреднамеренной потери данных на неуправляемых устройствах. При ограничении доступа пользователи на управляемых устройствах будут иметь полный доступ (если только они не используют одно из сочетаний браузера и операционной системы, перечисленных в разделе Поддерживаемые браузеры). Пользователи на неуправляемых устройствах будут иметь доступ только в браузере без возможности скачивания, печати или синхронизации файлов. Кроме того, они не смогут получать доступ к содержимому через приложения, включая классические приложения Microsoft Office. При ограничении доступа вы можете разрешить или запретить редактирование файлов в браузере. Если доступ к Интернету ограничен, пользователи увидят следующее сообщение в верхней части сайтов.

Управление доступом устройств в Microsoft 365

Процедуры, описанные в этой статье, влияют только на доступ к SharePoint неуправляемых устройств. Если вы хотите расширить управление неуправляемых устройств за пределами SharePoint, можно создать политику условного доступа Microsoft Entra для всех приложений и служб в вашей организации. Чтобы настроить эту политику для служб Microsoft 365, выберите облачное приложение Office 365 в разделе Облачные приложения или действия.

Использование политики, охватывающей все службы Microsoft 365, может способствовать укреплению безопасности и повышению удобства для пользователей. Например, если заблокировать доступ неуправляемых устройств только в SharePoint, пользователи смогут получать доступ к чату в команде, используя неуправляемое устройство, но не смогут получить доступ к вкладке Файлы. Использование облачного приложения Office 365 поможет избежать проблем с зависимостями служб.

Блокировать доступ

1. Перейдите в раздел Управление доступом в новом Центре администрирования SharePoint и войдите с учетной записью, которая имеет разрешения администратора для вашей организации.

   Примечание.

   Если вы Office 365 управляете компанией 21Vianet (Китай), войдите в Центр администрирования Microsoft 365, а затем перейдите в Центр администрирования SharePoint и откройте страницу Управление доступом.

2. Выберите Неуправляемые устройства.

   

3. Выберите Блокировать доступ, а затем нажмите кнопку Сохранить.

   Важно!

   При выборе этого параметра отключается все предыдущие политики условного доступа, созданные на этой странице, и создается новая политика условного доступа, которая применяется ко всем пользователям. Все настройки, внесенные в предыдущие политики, не будут перенесены.

   Примечание.

   Политика может ввести в силу до 24 часов. Он не вступит в силу для пользователей, которые уже вошли в систему с неуправляемых устройств.

Ограничение доступа

1. Перейдите в раздел Управление доступом в новом Центре администрирования SharePoint и войдите с учетной записью, которая имеет разрешения администратора для вашей организации.

   Примечание.

   Если вы Office 365 управляете компанией 21Vianet (Китай), войдите в Центр администрирования Microsoft 365, перейдите в Центр администрирования SharePoint и выберите Политики для развертывания, а затем выберите контроль доступа.

2. Выберите Неуправляемые устройства.

3. Выберите Разрешить ограниченный доступ только через Интернет, а затем нажмите кнопку Сохранить. (Обратите внимание, что при выборе этого параметра будут отключены все предыдущие политики условного доступа, созданные на этой странице, и создается новая политика условного доступа, которая применяется ко всем пользователям. Все настройки, внесенные в предыдущие политики, не будут перенесены.)

   

Если вы отменить изменения обратно в поле Разрешить полный доступ, это может занять до 24 часов, чтобы изменения вступили в силу.

Ограничение доступа с помощью PowerShell

1. Скачайте последнюю версию командной консоли SharePoint Online.

   Примечание.

   Если вы установили предыдущую версию командной консоли SharePoint Online, перейдите в раздел Добавление или удаление программ и удалите командную консоль SharePoint Online.

2. Подключитесь к SharePoint как минимум администратору SharePoint в Microsoft 365. Сведения о том, как это сделать, см. в статье Начало работы с командной консолью SharePoint Online.

3. Выполните следующую команду:

   Set-SPOTenant -ConditionalAccessPolicy AllowLimitedAccess
   

Блокировка или ограничение доступа к определенному сайту SharePoint или OneDrive

Чтобы заблокировать или ограничить доступ к определенным сайтам, выполните следующие действия. Если вы настроили политику на уровне организации, указанный параметр уровня сайта должен быть по меньшей мере столь же строгим, как и параметр уровня организации.

1. Создайте политику вручную в Центр администрирования Microsoft Entra, выполнив действия, описанные в разделе Использование ограничений, применяемых приложением.

2. Задайте параметр уровня сайта с помощью PowerShell или метки конфиденциальности:

   • Чтобы использовать PowerShell, перейдите к следующему шагу.

   • Чтобы использовать метку конфиденциальности, ознакомьтесь со следующими инструкциями и укажите параметр метки для доступа с неуправляемых устройств: Использование меток конфиденциальности для защиты содержимого в Microsoft Teams, группах Microsoft 365 и сайтах SharePoint.

3. Чтобы использовать PowerShell, скачайте последнюю версию командной консоли SharePoint Online.

   Примечание.

   Если вы установили предыдущую версию командной консоли SharePoint Online, перейдите к разделу "Установка и удаление программ" и удалите компонент "Командная консоль SharePoint Online".

4. Подключитесь к SharePoint как минимум администратору SharePoint в Microsoft 365. Сведения о том, как это сделать, см. в статье Начало работы с командной консолью SharePoint Online.

5. Выполните одну из следующих команд.

   Чтобы заблокировать доступ к одному сайту, выполните приведенные далее действия.

   Set-SPOSite -Identity https://<SharePoint online URL>/sites/<name of site or OneDrive account> -ConditionalAccessPolicy BlockAccess
   

   Чтобы ограничить доступ к одному сайту, выполните приведенные далее действия.

   Set-SPOSite -Identity https://<SharePoint online URL>/sites/<name of site or OneDrive account> -ConditionalAccessPolicy AllowLimitedAccess
   

   Чтобы обновить несколько сайтов одновременно, используйте следующую команду в качестве примера:

   Get-SPOSite -IncludePersonalSite $true -Limit all -Filter "Url -like '-my.sharepoint.com/personal/'" | Set-SPOSite -ConditionalAccessPolicy AllowLimitedAccess
   

   В этом примере получается OneDrive для каждого пользователя и передается в виде массива в Set-SPOSite для ограничения доступа.

Расширенные конфигурации

Следующие параметры можно использовать как -ConditionalAccessPolicy AllowLimitedAccess для параметра на уровне организации, так и для параметра уровня сайта:

-AllowEditing $false Запрещает пользователям редактировать файлы Office в браузере.

-ReadOnlyForUnmanagedDevices $true Делает весь сайт доступен только для чтения для затронутых пользователей.

-LimitedAccessFileType OfficeOnlineFilesOnly Позволяет пользователям просматривать только файлы Office в браузере. Этот параметр повышает безопасность, но может стать барьером для повышения производительности пользователей.

-LimitedAccessFileType WebPreviewableFiles (по умолчанию) Позволяет пользователям просматривать файлы Office в браузере. Этот параметр оптимизирует производительность пользователей, но обеспечивает меньшую безопасность для файлов, которые не являются файлами Office. Внимание! Этот параметр вызывает проблемы с PDF-файлами и файлами изображений, так как может требоваться их скачивание на компьютер пользователя для отображения в браузере. Тщательно планируйте использование этого элемента управления. В противном случае ваши пользователи могут столкнуться с непредвиденными ошибками "В доступе отказано".

-LimitedAccessFileType OtherFiles Позволяет пользователям скачивать файлы, которые невозможно просмотреть, например .zip и .exe. Этот параметр обеспечивает меньшую безопасность. Если этот режим включен, для скачивания таких файлов, как .zip или .exe, просто скопируйте URL-адрес файла и вставьте его в браузер (например, https://contoso.sharepoint.com/:u:/r/sites/test/Shared%20Documents/test1.zip).

Использование параметра AllowDownlownloadingNonWebViewableFiles прекращено. Вместо этого используйте LimitedAccessFileType.

Люди за пределами организации будут затронуты при использовании политик условного доступа для блокировки или ограничения доступа с неуправляемых устройств. Если пользователи совместно используют элементы для определенных пользователей (которые должны ввести код проверки, отправленный на их адрес электронной почты), их можно исключить из этой политики, выполнив следующую команду.

Set-SPOTenant -ApplyAppEnforcedRestrictionsToAdHocRecipients $false

Влияние приложения

Блокировка доступа и скачивание могут повлиять на взаимодействие с пользователем в некоторых приложениях, включая некоторые приложения Office. Мы рекомендуем включить политику для некоторых пользователей и протестировать взаимодействие с приложениями, используемыми в вашей организации. В Office убедитесь, что проверка поведение в Power Apps и Power Automate, когда ваша политика включена.

Нужна дополнительная помощь?

SharePoint Q&A

См. также

Рекомендации по политике для защиты сайтов и файлов SharePoint

Управление доступом к данным SharePoint и OneDrive на основе определенных сетевых расположений