Ограничение доступа к сайту SharePoint с помощью групп Microsoft 365 и групп безопасности Microsoft Entra

Управление ограниченным доступом к сайту (также называемое ограниченным доступом или ограничением доступа к сайтам) помогает предотвратить чрезмерное предоставление общего доступа, назначая доступ к сайтам SharePoint и их контенту пользователям в определенной контрольной группе. Пользователи, не входящие в указанную группу, не смогут получить доступ к сайту или его содержимому, даже если у них были предварительные разрешения или общая ссылка. Эту политику можно применить к сайтам, подключенным к группам и Teams, а также к OneDrive с помощью групп Microsoft 365 или групп безопасности Microsoft Entra.

Политика ограничения доступа к сайту вступает в силу, когда пользователь пытается открыть сайт или получить доступ к файлу. Copilot и результаты поиска в масштабах всей организации также соблюдают эту политику. Пользователи с прямыми разрешениями на доступ к файлу, но не входящие в указанную группу управления, не смогут просматривать файл при поиске или при использовании Copilot.

Предварительные условия для ограничения доступа к сайту

См. статью Предварительные требования к средству расширенного управления SharePoint.

Включение ограничения доступа на уровне сайта для организации

Необходимо включить ограничение доступа на уровне сайта для организации, прежде чем можно будет настроить его для отдельных сайтов. Вы также можете делегировать управление ограничением доступа сайту всем администраторам сайта вашей организации.

Чтобы включить ограничение доступа на уровне сайта для организации в Центре администрирования SharePoint, выполните следующие действия.

1. Разверните "Политики " и выберите "Управление доступом".

2. Выберите "Ограничение доступа на уровне сайта".

3. Выберите "Разрешить ограничение доступа" и нажмите "Сохранить".

   

Чтобы включить ограничение доступа на уровне сайта для организации с помощью PowerShell, выполните следующую команду:

Set-SPOTenant -EnableRestrictedAccessControl $true

Применение команды может занять до часа.

Передача управления ограниченным доступом администраторам сайта

Как администратор SharePoint, вы также можете делегировать управление ограниченным доступом администраторам сайта. Если они обновляют политику, они должны предоставить соответствующее обоснование того, почему политика обновляется.

По умолчанию делегирование выключено. Если вы решите включить его, выполните следующую команду:

Set-SPOTenant -DelegateRestrictedAccessControlManagement $true

После делегирования ограничений доступа всем администраторам сайта они могут управлять политикой.

Проверка состояния делегирования управления ограниченным доступом администраторам сайта

Чтобы проверить состояние делегирования, выполните следующую команду:

Get-SPOTenant | Select-Object DelegateRestrictedAccessControlManagement

Ограничение доступа ко всем сайтам SharePoint с помощью группы безопасности Microsoft 365 или групп безопасности Microsoft Entra

Вы можете ограничить доступ к сайту SharePoint, указав группы безопасности Microsoft Entra или группы Microsoft 365 в качестве группы управления ограниченным доступом. Контрольная группа должна включать пользователей, которым разрешен доступ к сайту и его контенту.

Для сайта можно настроить до 10 групп безопасности Microsoft Entra или групп Microsoft 365. После применения политики пользователям из указанной группы, обладающим разрешением на доступ к содержимому, предоставляется доступ.

Управление доступом сайта

Чтобы управлять доступом сайта, выполните следующие действия.

1. В Центре администрирования SharePoint разверните узел "Сайты " и выберите "Активные сайты".

2. Выберите сайт, которым вы хотите управлять. Откроется панель сведений о сайте.

3. На вкладке "Параметры " выберите "Изменить " в разделе "Ограниченный доступ к сайту ".

4. Установите флажок Разрешить доступ к сайту SharePoint только пользователям из указанных групп проверка.

5. Добавьте или удалите свои группы безопасности или группы Microsoft 365 и нажмите "Сохранить".

Применение ограничения доступа сайта к сайту

Чтобы применить ограничение доступа к сайту, необходимо добавить хотя бы одну группу в политику ограничения доступа к сайту.

Для сайта, подключенного к группе, группа Microsoft 365, подключенная к сайту, является группой управления ограниченным доступом по умолчанию. Вы можете сохранить эту группу и добавить другие группы безопасности Microsoft 365 или Microsoft Entra в качестве группы управления ограниченным доступом.

Управление ограничением доступа к сайту с помощью PowerShell

Чтобы управлять ограничением доступа к сайту SharePoint с помощью PowerShell, используйте команды PowerShell, описанные в этом разделе.

Включить ограничение доступа к сайту

Set-SPOSite -Identity <siteurl> -RestrictedAccessControl $true

Добавление группы

Set-SPOSite -Identity <siteurl> -AddRestrictedAccessControlGroups <comma separated group GUIDS>

Изменение группы

Set-SPOSite -Identity <siteurl> -RestrictedAccessControlGroups <comma separated group GUIDS>

Просмотреть группу

Get-SPOSite -Identity <siteurl> | Select RestrictedAccessControl, RestrictedAccessControlGroups

Удаление группы

Set-SPOSite -Identity <siteurl> -RemoveRestrictedAccessControlGroups <comma separated group GUIDS>

Сброс ограничения доступа к сайту

Set-SPOSite -Identity <siteurl> -ClearRestrictedAccessControl

Поиск и взаимодействие Copilot

Политика управления ограниченным доступом к сайтам учитывается в поисковых интерфейсах в пределах организации и в интерфейсах Microsoft Copilot. Пользователи, которым отказано в доступе из-за этой политики, не могут просматривать контент с этого сайта ни в поиске, ни в интерфейсах Microsoft Copilot. Может потребоваться некоторое время, чтобы поиск и возможности Copilot отразили политики ограничения доступа к сайтам. Задержка обновления индекса поиска зависит от количества элементов на сайте. Например, на крупных сайтах с большим количеством элементов может потребоваться больше времени, чтобы политики управления ограниченным доступом к сайтам применялись при поиске и использовании Copilot.

Сайты общих и закрытых каналов

Сайты общих и закрытых каналов отделены от сайта, подключенного к группе Microsoft 365, который используют стандартные каналы. Поскольку сайты общих и закрытых каналов не подключены к группе Microsoft 365 родительской команды, политики управления ограниченным доступом, настроенные на сайте, подключенном к команде, не применяются к этим сайтам каналов. Ограничение доступа необходимо включить для каждого сайта общего или закрытого канала по отдельности, поскольку для сайтов, не подключенных к группе.

На сайтах общего канала управление ограниченным доступом применяется только к внутренним пользователям в клиенте ресурса. Внешние участники, получающие доступ к общему каналу из другого клиента, не оцениваются на соответствие политике управления ограниченным доступом. Их доступ по-прежнему определяется разрешениями, предоставленными общему каналу и связанному сайту SharePoint.

Это означает, что добавление внешнего участника общего канала в группу управления ограниченным доступом или удаление его из группы управления доступом не влияет на возможность доступа к сайту общего канала.

Интерфейс администратора сайта

После делегирования управления ограничением доступа к сайту администраторам сайтов они смогут настроить параметр ограничения доступа к сайту на панели "Сведения о сайте ".

Ограничение доступа к сайту SharePoint

1. Ограничьте круг лиц, которые могут получить доступ к сайту, с помощью групп безопасности Microsoft Entra или групп Microsoft 365.

2. Добавьте группы, содержащие пользователей, которым должен быть предоставлен доступ.

3. Добавьте до 10 групп для каждого сайта.

4. После сохранения конфигурации параметра ограничения доступа к сайту доступ к сайту смогут получить только пользователи из этих групп и пользователи, у которых уже есть разрешение на доступ к содержимому.

5. Приводите обоснование при каждом обновлении параметра ограничения доступа к сайту.

Взаимодействие владельца сайта

После применения политики к сайту на панели доступа к сайту отображается состояние политики и все настроенные группы управления для владельцев сайта в дополнение к панелям "Сведения о сайте" и "Разрешения".

Аудит

Портал Microsoft Purview предоставляет события аудита, помогающие отслеживать действия по ограничению доступа к сайту. Система регистрирует события аудита для следующих действий:

• Применение ограничения доступа сайта для сайта
• Снятие ограничения доступа сайта
• Изменение групп ограничения доступа сайта для сайта
• Обоснование администратором сайта обновления ограничения доступа к сайту

Insights

Анализ политики ограниченного доступа к сайтам

ИТ-администратор может просмотреть следующие отчеты, чтобы получить дополнительные сведения об сайтах SharePoint, защищенных с помощью политики ограниченного доступа к сайтам:

• Сайты, защищенные политикой ограниченного доступа к сайтам (RACProtectedSites)
• Сведения об отказах в доступе из-за политики ограниченного доступа к сайту (ActionsBlockedByPolicy)

Отчеты сейчас недоступны для Microsoft 365, предоставляемой 21Vianet, даже при наличии необходимых лицензий.

Отчет о политике "Сайты, защищенные с помощью политики ограниченного доступа к сайтам"

Для создания, просмотра и скачивания отчетов выполните в SharePoint PowerShell следующие команды.

Создать отчет

Start-SPORestrictedAccessForSitesInsights -RACProtectedSites

Эта команда создает список сайтов, защищенных политикой ограниченного доступа к сайтам.

Просмотреть отчет

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID>

В отчете показаны 100 сайтов с наибольшим количеством просмотров страниц, защищенных этой политикой.

Скачать отчет

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -Action Download

Выполните эту команду от имени администратора. Скачанный отчет находится там, где была выполнена команда.

Отчет о процентной доле сайтов, защищенных с помощью ограниченного доступа к сайтам

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -InsightsSummary

В этом отчете показана доля сайтов, защищенных политикой, от общего числа сайтов.

Отказы в доступе из-за отчета о политике ограниченного доступа к сайту

Выполните следующие команды для создания, получения и просмотра отчета об отказах в доступе из-за отчетов об ограниченном доступе к сайтам.

Создание отчета об отказах в доступе

Start-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy

Эта команда создает новый отчет для получения сведений об отказе в доступе.

Состояние отчета об отказе в получении доступа

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy

Эта команда получает состояние созданного отчета.

Последние отказы в доступе за последние 28 дней

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content AllDenials

Эта команда получает список последних 100 отказов в доступе, произошедших за последние 28 дней.

Просмотр списка основных пользователей, которым было отказано в доступе

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopUsers

Эта команда получает список из 100 пользователей, которым было отказано в основном в доступе.

Просмотр списка лучших сайтов, получивших наибольшее количество отказов в доступе

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopSites

Эта команда получает список 100 сайтов с наибольшим количеством отказов в доступе.

Распределение отказов в доступе по различным типам сайтов

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content SiteDistribution

Отображает распределение отказов в доступе по различным типам сайтов.

предоставление общего доступа к сайту и содержимому пользователям за пределами групп управления ограниченным доступом (возможность согласия);

По умолчанию на предоставление общего доступа к сайтам SharePoint и их контенту не распространяется политика ограниченного доступа к сайтам. Администратор SharePoint может ограничить общий доступ к сайту и его контенту для пользователей, не входящих в группу управления ограниченным доступом.

Чтобы разрешить общий доступ только пользователям, находящимся за пределами группы управления ограниченным доступом, выполните следующую команду PowerShell в командная консоль SharePoint Online от имени администратора.

Set-SPOTenant -AllowSharingOutsideRestrictedAccessControlGroups $false

Предоставление общего доступа пользователям

При применении ограничения общего доступа оно блокирует предоставление общего доступа для пользователей, не являющихся членами группы управления ограниченным доступом.

Предоставление общего доступа группам

Общий доступ разрешен с группами безопасности Microsoft Entra или Microsoft 365, которые входят в список групп управления ограниченным доступом. Общий доступ запрещен для всех других групп, включая группу "Все, кроме внешних пользователей и групп SharePoint".

Настройка ссылки "Подробнее" для страницы ошибки "Отказ в доступе" (возможность согласия)

Настройте ссылку "Подробнее ", чтобы информировать пользователей, которым отказано в доступе к сайту SharePoint из-за политики ограничения доступа к сайтам. Настроив эту ссылку об ошибке, вы сможете предоставить пользователям дополнительные сведения и рекомендации.

Чтобы настроить ссылку, выполните следующую команду в SharePoint PowerShell:

Set-SPOTenant -RestrictedAccessControlForSitesErrorHelpLink "<Learn more URL>" 

Чтобы получить значение ссылки, запустите следующую команду:

Get-SPOTenant | select RestrictedAccessControlForSitesErrorHelpLink 

Настроенная ссылка "Подробнее " запускается, когда пользователь выбирает ссылку "Дополнительные сведения о политиках вашей организации здесь ".

Статьи по теме

Политика условного доступа для сайтов SharePoint и OneDrive

Отчеты управления доступом к данным