Ограничение доступа к содержимому OneDrive пользователя для пользователей в группе

Доступ к содержимому OneDrive отдельного пользователя можно ограничить для пользователей в группе безопасности или группе Microsoft 365 с помощью политики ограничения доступа к сайту. Пользователи, не в указанной группе, не могут получить доступ к содержимому, даже если у них были предыдущие разрешения или общая ссылка.

Примените политику с помощью Microsoft Entra групп безопасности или групп Microsoft 365, содержащих людей, которые должны иметь доступ к файлам в этом OneDrive.

При применении политики пользователям в указанных группах не предоставляются разрешения на доступ к файлам напрямую. Владелец OneDrive должен предоставить общий доступ к содержимому, как и обычно. Политика ограничения доступа к сайтам запрещает всем, кто не входит в группу безопасности или группу Microsoft 365, получать доступ к содержимому OneDrive, даже если оно им предоставлено.

Политики ограничения доступа применяются, когда пользователь пытается получить доступ к файлу. Пользователи по-прежнему могут видеть файлы в результатах поиска, если у них есть прямые разрешения на файл, но они не могут получить доступ к файлу, если они не входят в указанную группу.

Вы также можете ограничить доступ к самой службе OneDrive для пользователей в группе безопасности. Дополнительные сведения см. в статье Ограничение доступа к OneDrive по группе безопасности.

Подготовка к работе

Убедитесь, что ваша организация соответствует модулю PowerShell Предварительные требования для расширенного управления SharePoint, включая требования к SharePoint Online PowerShell.

Включение ограничения доступа к сайту для организации

Прежде чем настроить его для OneDrive пользователя, необходимо включить ограничение на доступ к сайтам для своей организации.

Чтобы включить ограничение доступа к сайтам для вашей организации в Центре администрирования SharePoint, выполните следующие действия:

1. Разверните узел Политики и выберите Управление доступом.

2. Выберите Ограничение доступа к сайту.

3. Выберите Разрешить ограничение доступа , а затем нажмите кнопку Сохранить.

   

Чтобы включить ограничение доступа к сайту для организации с помощью PowerShell, выполните следующую команду:

Set-SPOTenant -EnableRestrictedAccessControl $true

Выполнение команды может занять до одного часа.

Ограничение доступа к содержимому OneDrive пользователя

Назначьте каждому OneDrive до 10 Microsoft Entra групп безопасности или Microsoft 365. После добавления группы только пользователи в группах смогут получить доступ к содержимому в том хранилище OneDrive, к которому вы предоставили общий доступ. Используйте динамические группы безопасности , если вы хотите использовать членство в группах на основе свойств пользователя.

Чтобы управлять ограничением доступа для OneDrive, используйте команды PowerShell в этом разделе.

Включение ограничения доступа для определенной библиотеки OneDrive

Выполните следующую команду, прежде чем добавлять группы безопасности или Microsoft 365.

Set-SPOSite -Identity <siteurl> -RestrictedAccessControl $true

Добавление группы безопасности или группы Microsoft 365

Выполните следующую команду:

Set-SPOSite -Identity <siteurl> -AddRestrictedAccessControlGroups <comma separated group GUIDS>

Изменение группы безопасности или группы Microsoft 365

Выполните следующую команду:

Set-SPOSite -Identity <siteurl> -RestrictedAccessControlGroups <comma separated group GUIDS>

Просмотр группы безопасности или группы Microsoft 365

Выполните следующую команду:

Get-SPOSite -Identity <siteurl> Select RestrictedAccessControl, RestrictedAccessControlGroups

Удаление группы безопасности или группы Microsoft 365

Выполните следующую команду:

Set-SPOSite -Identity <siteurl> -RemoveRestrictedAccessControlGroups <comma separated group GUIDS>

Сброс ограничения доступа к сайту

Выполните следующую команду:

Set-SPOSite -Identity <siteurl> -ClearRestrictedAccessControl

Политики общего доступа к сайту и ограниченного доступа к сайту

Блокировать общий доступ к сайту OneDrive для пользователей и групп, которым запрещено в рамках политики ограниченного управления доступом.

Функция управления общим доступом отключена по умолчанию. Чтобы включить его, выполните следующую команду:

Set-SPOTenant -AllowSharingOutsideRestrictedAccessControlGroups $false 

Общий доступ с пользователями

Разрешить общий доступ только пользователям, которые входят в группы управления доступом с ограниченным доступом. Запретите общий доступ всем пользователям за пределами ограниченных групп управления доступом, как показано на следующем рисунке:

Общий доступ с группами

Вы можете предоставить общий доступ группам Microsoft Entra Security или Microsoft 365, которые входят в список групп управления ограниченным доступом. Вы не можете предоставить общий доступ всем другим группам, включая все, кроме внешних пользователей или групп SharePoint.

Настройка ссылки на дополнительные сведения для страницы ошибки отказа в доступе

Настройте ссылку "Подробнее", чтобы информировать пользователей, которым было отказано в доступе к сайту OneDrive из-за политики управления доступом к сайту с ограниченным доступом. Используя эту настраиваемую ссылку на ошибку, вы можете предоставить пользователям дополнительные сведения и рекомендации.

Настройка ссылки "Подробнее"

Выполните следующую команду:

Set-SPOTenant -RestrictedAccessControlForSitesErrorHelpLink "<Learn more URL>" 

Получение значения ссылки

Выполните следующую команду:

Get-SPOTenant | select RestrictedAccessControlForSitesErrorHelpLink 

Настроенная ссылка learn more запускается, когда пользователь выбирает ссылку Узнать больше о политиках вашей организации здесь .

Аналитика политики ограниченного доступа к сайту

Ит-администратор может просмотреть следующие отчеты, чтобы получить дополнительные сведения о сайтах OneDrive, защищенных политикой ограниченного доступа к сайтам:

• Сайты, защищенные политикой ограниченного доступа к сайту (RACProtectedSites)
• Сведения об отказе в доступе из-за ограниченного доступа к сайту (ActionsBlockedByPolicy)

Отчет о сайтах, защищенных политикой ограниченного доступа к сайтам

Используйте следующие команды для создания, просмотра и скачивания отчетов.

Создание отчета

Выполните следующую команду:

Start-SPORestrictedAccessForSitesInsights -RACProtectedSites

Эта команда создает список сайтов, защищенных политикой ограниченного доступа к сайтам.

Просмотр отчета

Выполните следующую команду:

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID>

Эта команда создает отчет с 100 лучшими сайтами с самыми высокими представлениями страниц, защищенными политикой.

Скачивание отчета

Выполните следующую команду:

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -Action Download

Эту команду необходимо выполнить от имени администратора. Скачанный отчет находится по пути, по которому была выполнена команда.

Просмотр процента сайтов, защищенных ограниченным доступом к сайтам

Выполните следующую команду:

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -InsightsSummary

В этом отчете показан процент сайтов, защищенных политикой, от общего числа сайтов.

Отказы в доступе из-за политики ограниченного доступа к сайту

Используйте команды, приведенные в этом разделе, чтобы создавать, получать и просматривать отчеты об отказе в доступе из-за отчетов об ограниченном доступе к сайту.

Создание отчета об отказе в доступе

Выполните следующую команду:

Start-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy

Эта команда создает новый отчет для получения сведений об отказе в доступе.

Получение отчета о состоянии отказа в доступе

Выполните следующую команду:

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy

Эта команда извлекает состояние созданного отчета об отказе в доступе.

Сведения о последних отказах в доступе за последние 28 дней

Выполните следующую команду:

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content AllDenials

Эта команда создает список последних 100 отказов в доступе, произошедших за последние 28 дней.

Просмотр списка основных пользователей, которым было отказано в доступе

Выполните следующую команду:

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopUsers

Эта команда создает список из 100 основных пользователей, которые получили наибольшее количество отказов в доступе.

Просмотр списка основных сайтов, на которых больше всего отказано в доступе

Выполните следующую команду:

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopSites

Эта команда создает список из 100 лучших сайтов, на которых было больше всего отказов в доступе.

Просмотр распределения отказов в доступе между различными типами сайтов

Выполните следующую команду:

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content SiteDistribution

Эта команда показывает распределение отказов в доступе между различными типами сайтов.

Аудит

Портал Microsoft Purview предоставляет события аудита, которые помогают отслеживать действия ограничения доступа к сайту. Система регистрирует события аудита для следующих действий:

• Применение ограничения доступа к сайту
• Удаление ограничения доступа к сайту для сайта
• Изменение групп ограничений доступа к сайту для сайта

Статьи по теме

• Что такое расширенное управление SharePoint?
• Аналитика управления доступом к данным для сайтов SharePoint