El grupo de seguridad no puede acceder a una carpeta pública en Exchange Online

Síntomas

Los miembros del grupo de seguridad no pueden acceder a una carpeta pública en Exchange Online aunque el grupo de seguridad parezca tener los derechos de acceso adecuados.

Por ejemplo, el cmdlet Get-PublicFolderClientPermission de PowerShell genera la salida siguiente.

La salida muestra que Security group1 tiene derechos de acceso PublishingEditor a una carpeta pública. Sin embargo, si los miembros del grupo de seguridad intentan crear, mover o eliminar una subcarpeta en la carpeta pública, reciben un mensaje de error que indica la falta de permisos.

Causa

El problema se produce si el identificador de seguridad del objeto de grupo de seguridad de Microsoft Entra ID cambia después de conceder acceso al grupo a la carpeta pública. Si cambia el identificador de seguridad, el grupo de seguridad ya no coincide con la entrada de la lista de derechos de acceso de la carpeta pública. Por lo tanto, aunque la entrada del grupo de seguridad todavía esté en la lista de derechos de acceso, los miembros del grupo de seguridad ya no podrán acceder a la carpeta pública.

Nota:

Para comprobar el valor del identificador de seguridad de un grupo de seguridad, ejecute los siguientes comandos en Exchange Online PowerShell:

$permissions = Get-PublicFolderClientPermission -Identity "<public folder>" -User "<security group name>"
$permissions.User.RecipientPrincipal | FL DisplayName, Sid

Ambos escenarios siguientes hacen que el identificador de seguridad cambie.

Escenario 1

Paso 1: Cree un grupo de seguridad en Exchange Server y, a continuación, se sincronice de Active Directory local a microsoft Entra ID. El grupo de seguridad habilitado para correo aparece en Exchange Online.

Paso 2: Conceda al grupo de seguridad derechos de acceso de Exchange Online a una carpeta pública de Exchange Online. Los miembros del grupo de seguridad ahora pueden acceder a la carpeta pública.

Paso 3: Elimine el grupo de seguridad local en Active Directory local.

Paso 4: Restaure el grupo de seguridad local en Active Directory local y, a continuación, vuelva a sincronizar Active Directory local al identificador de Microsoft Entra.

Una vez completado el paso 4, los miembros del grupo de seguridad ya no pueden acceder a la carpeta pública.

Escenario 2

Paso 1: Cree un grupo de seguridad habilitado para correo en Exchange Online.

Paso 2: Conceda al grupo de seguridad derechos de acceso a una carpeta pública en Exchange Online. Los miembros del grupo de seguridad ahora pueden acceder a la carpeta pública.

Paso 3: Elimine el grupo de seguridad.

Paso 4: Cree un nuevo grupo de seguridad habilitado para correo en Exchange Online que tenga el mismo nombre que el grupo de seguridad eliminado.

Una vez completado el paso 3, los miembros del grupo de seguridad ya no pueden acceder a la carpeta pública. Una vez completado el paso 4, los miembros del grupo de seguridad no recuperan el acceso.

Solución

Para corregir el problema, siga estos pasos para actualizar el grupo de seguridad en la lista de derechos de acceso de la carpeta pública:

1. Ejecute el siguiente cmdlet en Exchange Online PowerShell para quitar los derechos de acceso a carpetas públicas del grupo de seguridad original:

   Remove-PublicFolderClientPermission -Identity "<public folder>" -User "<security group name>"
   

2. Ejecute el siguiente cmdlet en Exchange Online PowerShell para agregar derechos de acceso a carpetas públicas para el grupo de seguridad restaurado o nuevo:

   Add-PublicFolderClientPermission -Identity "<public folder>" -User "<security group name>" -AccessRights "<access rights>"
   

Por ejemplo, los cmdlets de PowerShell Remove-PublicFolderClientPermission y Add-PublicFolderClientPermission generan la salida siguiente.