Restringir o acesso ao conteúdo do OneDrive de um usuário para pessoas em um grupo

Você pode restringir o acesso ao conteúdo do OneDrive de um usuário individual para usuários em um grupo de segurança ou grupo do Microsoft 365 usando uma política de restrição de acesso ao site. Os usuários que não estão no grupo especificado não podem acessar o conteúdo, mesmo que tenham permissões anteriores ou link compartilhado.

Aplique a política usando grupos de segurança do Microsoft Entra ou grupos do Microsoft 365 que contenham as pessoas que devem ser capazes de acessar os arquivos nesse OneDrive.

Quando você aplica a política, as pessoas nos grupos especificados não recebem permissões para nenhum arquivo diretamente. O proprietário do OneDrive deve compartilhar o conteúdo como faria normalmente. A política de restrição de acesso ao site impede que qualquer pessoa que não esteja no grupo de segurança ou no grupo do Microsoft 365 acesse o conteúdo do OneDrive, mesmo que seja compartilhado com eles.

As políticas de restrição de acesso são aplicadas quando um usuário tenta acessar um arquivo. Os usuários ainda poderão ver os arquivos nos resultados da pesquisa se tiverem permissões diretas para o arquivo, mas não poderão acessar o arquivo se não fizerem parte do grupo especificado.

Você também pode restringir o acesso ao serviço OneDrive para pessoas em um grupo de segurança. Para obter mais informações, consulte Restringir o acesso ao OneDrive por grupo de segurança.

Antes de começar

Verifique se sua organização atende aos pré-requisitos para o Gerenciamento Avançado do SharePoint, incluindo os requisitos do módulo do PowerShell do SharePoint Online.

Habilitar a restrição de acesso ao site para sua organização

Você deve habilitar a restrição de acesso ao site para sua organização antes de poder configurá-la para o OneDrive de um usuário.

Para habilitar a restrição de acesso ao site para sua organização no Centro de administração do SharePoint:

1. Expanda Políticas e selecione Controle de acesso.

2. Selecione Restrição de acesso ao site.

3. Selecione Permitir restrição de acesso e, em seguida, selecione Salvar.

   

Para habilitar a restrição de acesso ao site para sua organização usando o PowerShell, execute o seguinte comando:

Set-SPOTenant -EnableRestrictedAccessControl $true

Pode levar até uma hora para que o comando entre em vigor.

Restringir o acesso ao conteúdo do OneDrive de um usuário

Atribua até 10 grupos de segurança do Microsoft Entra ou do Microsoft 365 a cada OneDrive. Após adicionar um grupo, somente os usuários dos grupos poderão acessar o conteúdo no OneDrive que você compartilhou com eles. Use grupos de segurança dinâmicos se quiser basear a associação de grupo nas propriedades do usuário.

Para gerenciar a restrição de acesso ao OneDrive, use os comandos do PowerShell nesta seção.

Habilitar a restrição de acesso para uma determinada biblioteca do OneDrive

Execute o comando a seguir antes de adicionar grupos de segurança ou do Microsoft 365.

Set-SPOSite -Identity <siteurl> -RestrictedAccessControl $true

Adicionar um grupo de segurança ou um grupo do Microsoft 365

Execute o seguinte comando:

Set-SPOSite -Identity <siteurl> -AddRestrictedAccessControlGroups <comma separated group GUIDS>

Editar um grupo de segurança ou um grupo do Microsoft 365

Execute o seguinte comando:

Set-SPOSite -Identity <siteurl> -RestrictedAccessControlGroups <comma separated group GUIDS>

Exibir um grupo de segurança ou um grupo do Microsoft 365

Execute o seguinte comando:

Get-SPOSite -Identity <siteurl> Select RestrictedAccessControl, RestrictedAccessControlGroups

Remover um grupo de segurança ou um grupo do Microsoft 365

Execute o seguinte comando:

Set-SPOSite -Identity <siteurl> -RemoveRestrictedAccessControlGroups <comma separated group GUIDS>

Redefinir restrição de acesso ao site

Execute o seguinte comando:

Set-SPOSite -Identity <siteurl> -ClearRestrictedAccessControl

Políticas de compartilhamento de site e acesso restrito ao site

Bloquear o compartilhamento de sites do OneDrive para usuários e grupos que não são permitidos de acordo com a política de controle de acesso restrito.

A funcionalidade de controle de compartilhamento está desabilitada por padrão. Para habilitá-la, execute o seguinte comando:

Set-SPOTenant -AllowSharingOutsideRestrictedAccessControlGroups $false 

Compartilhando com usuários

Permitir o compartilhamento somente com usuários que fazem parte de grupos de controle de acesso restrito. Bloquear o compartilhamento com qualquer pessoa fora dos grupos de controle de acesso restrito, conforme mostrado na imagem a seguir:

Compartilhamento com grupos

Você pode compartilhar com o Microsoft Entra Security ou os grupos do Microsoft 365 que fazem parte da lista de grupos de controle de acesso restrito. Você não pode compartilhar com todos os outros grupos, incluindo Todos, exceto usuários externos ou grupos do SharePoint.

Configurar o link Saiba mais para a página de erro de negação de acesso

Configure o link "saiba mais" para informar os usuários que tiveram o acesso negado a um site do OneDrive devido a uma política restrita de controle de acesso ao site. Usando esse link de erro personalizável, você pode fornecer mais informações e orientações aos usuários.

Configurar o link "saiba mais"

Execute o seguinte comando:

Set-SPOTenant -RestrictedAccessControlForSitesErrorHelpLink "<Learn more URL>" 

Buscar o valor do link

Execute o seguinte comando:

Get-SPOTenant | select RestrictedAccessControlForSitesErrorHelpLink 

O link Saiba mais configurado é iniciado quando o usuário seleciona o link Saiba mais sobre as políticas da sua organização aqui .

Informações sobre políticas de acesso restrito ao site

Como administrador de TI, você pode exibir os seguintes relatórios para obter mais informações sobre os sites do OneDrive protegidos com a política de acesso restrito ao site:

• Sites protegidos pela diretiva de acesso restrito ao site (RACProtectedSites)
• Detalhes de negações de acesso devido ao acesso restrito ao site (ActionsBlockedByPolicy)

Sites protegidos por relatório de política de acesso restrito a sites

Use os comandos a seguir para gerar, exibir e baixar relatórios.

Gerar um relatório

Execute o seguinte comando:

Start-SPORestrictedAccessForSitesInsights -RACProtectedSites

Esse comando gera uma lista de sites protegidos pela política de acesso restrito ao site.

Exibir um relatório

Execute o seguinte comando:

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID>

Esse comando cria um relatório que mostra os 100 principais sites com as exibições de página mais altas protegidas pela política.

Baixar um relatório

Execute o seguinte comando:

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -Action Download

Este comando deve ser executado como um administrador. O relatório baixado está localizado no caminho em que o comando foi executado.

Exibir a porcentagem de sites protegidos com acesso restrito a sites

Execute o seguinte comando:

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -InsightsSummary

Este relatório mostra a porcentagem de sites protegidos pela política em relação ao número total de sites.

Recusas de acesso devido à política de acesso restrito ao site

Use os comandos nesta seção para criar, buscar e exibir relatórios de negações de acesso devido a relatórios de acesso restrito ao site.

Para criar um relatório de recusas de acesso

Execute o seguinte comando:

Start-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy

Esse comando cria um novo relatório para buscar detalhes de negação de acesso.

Para obter o status de um relatório de recusas de acesso

Execute o seguinte comando:

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy

Esse comando busca o status do relatório de negações de acesso gerado.

Para ver as últimas recusas de acesso nos últimos 28 dias

Execute o seguinte comando:

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content AllDenials

Esse comando cria uma lista das 100 recusas de acesso mais recentes ocorridas nos últimos 28 dias.

Para exibir uma lista dos principais usuários a quem foi negado o acesso

Execute o seguinte comando:

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopUsers

Esse comando cria uma lista dos 100 principais usuários que receberam mais negações de acesso.

Para exibir uma lista dos principais sites que receberam mais negações de acesso

Execute o seguinte comando:

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopSites

Esse comando cria uma lista dos 100 principais sites que tiveram mais negações de acesso.

Para ver a distribuição de recusas de acesso em diferentes tipos de sites

Execute o seguinte comando:

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content SiteDistribution

Esse comando mostra a distribuição de negações de acesso em diferentes tipos de sites.

Auditoria

O portal do Microsoft Purview fornece eventos de auditoria que ajudam você a monitorar as atividades de restrição de acesso ao site. O sistema registra eventos de auditoria para as seguintes atividades:

• Aplicando restrição de acesso ao site para um site
• Remoção da restrição de acesso ao site para um site
• Alterar grupos de restrição de acesso ao site de um site

Artigos relacionados

• O que é o Gerenciamento Avançado do SharePoint?
• Insights de governança de acesso a dados para sites do SharePoint