Ограничение доступа к сайту SharePoint с помощью групп Microsoft 365 и Microsoft Entra групп безопасности

Управление доступом к ограниченному сайту (также называемое управлением ограниченным доступом или ограничением доступа к сайтам) помогает предотвратить переувыключение путем назначения доступа к сайтам SharePoint и их содержимому пользователям в определенной группе управления. Пользователи, не в указанной группе, не могут получить доступ к сайту или его содержимому, даже если у них были предыдущие разрешения или общая ссылка. Эту политику можно применить к группам, подключенным к Microsoft 365, подключенным к Teams, не связанным с группами сайтам и OneDrive, с помощью групп Microsoft 365 или Microsoft Entra групп безопасности.

Политика ограничения доступа к сайту вступают в силу, когда пользователь пытается открыть сайт или получить доступ к файлу. Copilot и результаты поиска в масштабе организации также учитывают политику. Пользователи с прямыми разрешениями на доступ к файлу, но не в указанной группе управления, не смогут просматривать файл в режиме поиска или copilot.

Примечание.

Сайты общих каналов и сайты частных каналов являются отдельными семействами веб-сайтов, подключенными к группе Microsoft 365, которые используются стандартными каналами. Политики ограниченного доступа к сайтам, подключенным к группе, не применяются автоматически к сайтам общего или частного канала. Настройте ограничение доступа к сайту отдельно для каждого сайта общего или частного канала.

Предварительные требования для ограниченного доступа к сайту

См. предварительные требования для расширенного управления SharePoint.

Включение ограничения доступа на уровне сайта для организации

Прежде чем настроить его для отдельных сайтов, необходимо включить ограничение доступа на уровне сайта для вашей организации. Вы также можете делегировать управление ограничениями доступа к сайтам всем администраторам сайта вашей организации.

Чтобы включить ограничение доступа на уровне сайта для организации в Центре администрирования SharePoint, выполните следующие действия.

1. Разверните узел Политики и выберите Управление доступом.

2. Выберите Ограничение доступа на уровне сайта.

3. Выберите Разрешить ограничение доступа , а затем нажмите кнопку Сохранить.

   

Чтобы включить ограничение доступа на уровне сайта для организации с помощью PowerShell, выполните следующую команду:

Set-SPOTenant -EnableRestrictedAccessControl $true

Выполнение команды может занять до одного часа.

Делегирование управления ограниченным доступом администраторам сайта

Администратор SharePoint также может делегировать управление ограниченным доступом администраторам сайтов. Если они обновят политику, они должны предоставить соответствующее обоснование того, почему политика обновляется.

По умолчанию делегирование отключено. Если вы решили включить его, выполните следующую команду:

Set-SPOTenant -DelegateRestrictedAccessControlManagement $true

После того как управление ограниченным доступом будет делегировано всем администраторам сайта, они смогут управлять политикой.

Проверка состояния управления делегированием управления ограниченным доступом для администраторов сайта

Чтобы проверка состояние делегирования, выполните следующую команду:

Get-SPOTenant | Select-Object DelegateRestrictedAccessControlManagement

Примечание.

Для пользователей Microsoft 365 с несколькими регионами выполните эту команду отдельно для каждого требуемого географического расположения.

Ограничение доступа ко всем сайтам SharePoint с помощью группы безопасности Microsoft 365 или Microsoft Entra групп безопасности

Вы можете ограничить доступ к сайту SharePoint, указав Microsoft Entra группы безопасности или группы Microsoft 365 в качестве группы управления ограниченным доступом. В группу управления должны входить пользователи, которым разрешен доступ к сайту и его содержимому.

Для сайта можно настроить до 10 Microsoft Entra групп безопасности или групп Microsoft 365. После применения политики пользователям в указанной группе, имеющим разрешение на доступ к содержимому, будет предоставлен доступ.

Важно!

• Добавление пользователей в группу управления ограниченным доступом (Microsoft Entra группу безопасности или группу Microsoft 365) автоматически не дает пользователям разрешение на доступ к сайту или содержимому. Для доступа пользователя к содержимому, защищенному этой политикой, ему требуется разрешение на доступ к сайту или содержимому и быть членом группы управления ограниченным доступом.

• Динамические группы безопасности также можно использовать в качестве группы управления доступом с ограниченным доступом, если вы хотите использовать членство в группе на основе свойств пользователя.

Управление доступом к сайту для сайта

Чтобы управлять доступом к сайту для сайта, выполните следующие действия.

1. В Центре администрирования SharePoint разверните узел Сайты и выберите Активные сайты.

2. Выберите сайт, которым вы хотите управлять. Откроется панель сведений о сайте.

3. На вкладке Параметры выберите Изменить в разделе Ограниченный доступ к сайту .

4. Установите флажок Ограничить доступ к сайту SharePoint только пользователям в указанных группах проверка.

5. Добавьте или удалите группы безопасности или группы Microsoft 365 и нажмите кнопку Сохранить.

Применение ограничения доступа к сайту

Чтобы применить ограничение доступа к сайту, необходимо добавить хотя бы одну группу в политику ограничения доступа сайта.

Для сайта, подключенного к группе, группа Microsoft 365, подключенная к сайту, является группой управления ограниченным доступом по умолчанию. Вы можете сохранить эту группу и добавить дополнительные microsoft 365 или Microsoft Entra группы безопасности в качестве группы управления ограниченным доступом.

Примечание.

• Это поведение не применяется к сайтам общих каналов или сайтам частных каналов, так как они не подключены к группе Microsoft 365 родительская команда. Настройте управление ограниченным доступом отдельно для этих сайтов. См. раздел Сайты общих и частных каналов (в этой статье).

• Тег группы по умолчанию указан для группы Microsoft 365, подключенной к сайту, как показано на предыдущем рисунке.

Управление ограничением доступа к сайту с помощью PowerShell

Чтобы управлять ограничением доступа к сайту SharePoint с помощью PowerShell, используйте команды PowerShell, описанные в этом разделе.

Включение ограничения доступа к сайту

Set-SPOSite -Identity <siteurl> -RestrictedAccessControl $true

Добавление группы

Set-SPOSite -Identity <siteurl> -AddRestrictedAccessControlGroups <comma separated group GUIDS>

Изменить группу

Set-SPOSite -Identity <siteurl> -RestrictedAccessControlGroups <comma separated group GUIDS>

Просмотр группы

Get-SPOSite -Identity <siteurl> | Select RestrictedAccessControl, RestrictedAccessControlGroups

Удаление группы

Set-SPOSite -Identity <siteurl> -RemoveRestrictedAccessControlGroups <comma separated group GUIDS>

Сброс ограничения доступа к сайту

Set-SPOSite -Identity <siteurl> -ClearRestrictedAccessControl

Поиск и взаимодействие с Copilot

Политика ограниченного доступа к сайту учитывается в интерфейсах поиска и Microsoft 365 Copilot в организации. Пользователи, которым запрещен доступ из-за этой политики, не могут просматривать содержимое с этого сайта ни в поиске, ни в Microsoft 365 Copilot интерфейсах. Поиск и взаимодействие с Copilot может занять некоторое время, чтобы отразить политики управления доступом к ограниченному сайту. Задержка обновления индекса поиска зависит от количества элементов на сайте. Например, более крупные сайты с большим количеством элементов могут занять больше времени, чтобы политики управления доступом к ограниченному сайту соблюдались при поиске и взаимодействии с Copilot.

Сайты общих и частных каналов

Сайты общих и частных каналов отделены от сайта, подключенного к группе Microsoft 365, который используется стандартными каналами. Так как сайты общих и частных каналов не подключены к группе Microsoft 365 родительская команда, политики управления ограниченным доступом, настроенные на сайте, подключенном к группе, не применяются к этим сайтам каналов. Необходимо включить ограничение доступа к сайтам для каждого сайта общего или частного канала отдельно как для сайтов, не подключенных к группам.

Для сайтов общих каналов управление доступом с ограниченным доступом применяется только к внутренним пользователям в клиенте ресурсов. Внешние участники, обращаюющиеся к общему каналу из другого клиента, не оцениваются по политике управления ограниченным доступом. Их доступ по-прежнему определяется разрешениями, предоставленными общему каналу и связанному сайту SharePoint.

Это означает, что добавление или удаление участника внешнего общего канала в группу управления ограниченным доступом не влияет на его возможность доступа к сайту общего канала.

Важно!

Добавление пользователей в группу безопасности или группу Microsoft 365 не предоставляет пользователям доступ к каналу в Teams. Добавьте или удалите одних и того же пользователя канала Teams в Teams, а также группу безопасности или группу Microsoft 365, чтобы пользователи имели доступ к сайтам Teams и SharePoint.

Интерфейс администратора сайта

После делегирования управления доступом к сайту администраторам сайта они могут настроить параметр ограничения доступа к сайту на панели Сведения о сайте .

Ограничение доступа к сайту SharePoint

1. Ограничьте доступ к сайту с помощью Microsoft Entra групп безопасности или групп Microsoft 365.

2. Добавьте группы, содержащие пользователей, которым должен быть доступ.

3. Добавьте до 10 групп для каждого сайта.

4. При сохранении конфигурации параметра ограничения доступа к сайту доступ к сайту могут получить только пользователи из этих групп и пользователи, которые уже имеют разрешение на доступ к содержимому.

5. Укажите обоснование при каждом обновлении параметра ограничения доступа к сайту.

Взаимодействие с владельцем сайта

После применения политики к сайту на панели доступ к сайту отображаются состояние политики и все настроенные группы управления для владельцев сайтов, а также панели "Сведения о сайте " и "Разрешения ".

Аудит

Портал Microsoft Purview предоставляет события аудита, которые помогают отслеживать действия ограничения доступа к сайту. Система регистрирует события аудита для следующих действий:

• Применение ограничения доступа к сайту
• Удаление ограничения доступа к сайту для сайта
• Изменение групп ограничений доступа к сайту для сайта
• Обоснование администратором сайта для обновления ограничения доступа к сайту

Insights

Аналитика политики ограниченного доступа к сайту

Ит-администратор может просмотреть следующие отчеты, чтобы получить дополнительные сведения о сайтах SharePoint, защищенных политикой ограниченного доступа к сайтам:

• Сайты, защищенные политикой ограниченного доступа к сайтам (RACProtectedSites)
• Сведения об отказе в доступе из-за политики ограниченного доступа к сайту (ActionsBlockedByPolicy)

Отчеты в настоящее время недоступны для Microsoft 365, управляемой 21Vianet, даже если у вас есть необходимые лицензии.

Примечание.

Создание каждого отчета может занять несколько часов.

Отчет о сайтах, защищенных политикой ограниченного доступа к сайтам

Выполните следующие команды в SharePoint PowerShell для создания, просмотра и скачивания отчетов.

Создание отчета

Start-SPORestrictedAccessForSitesInsights -RACProtectedSites

Эта команда создает список сайтов, защищенных политикой ограниченного доступа к сайтам.

Просмотр отчета

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID>

В отчете отображаются первые 100 сайтов с самыми высокими представлениями страниц, защищенными политикой.

Скачивание отчета

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -Action Download

Выполните эту команду от имени администратора. Скачанный отчет находится по пути, по которому была выполнена команда.

Отчет о процентах сайтов, защищенных с помощью ограниченного доступа к сайту

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -InsightsSummary

В этом отчете показан процент сайтов, защищенных политикой, от общего числа сайтов.

Отчет об отказе в доступе из-за политики ограниченного доступа к сайту

Выполните следующие команды, чтобы создать, получить и просмотреть отчет об отказе в доступе из-за отчетов об ограниченном доступе к сайту.

Создание отчета об отказе в доступе

Start-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy

Эта команда создает новый отчет для получения сведений об отказе в доступе.

Состояние отчета об отказе в выборке доступа

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy

Эта команда извлекает состояние созданного отчета.

Последние отказы в доступе за последние 28 дней

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content AllDenials

Эта команда получает список последних 100 отказов в доступе, произошедших за последние 28 дней.

Просмотр списка основных пользователей, которым было отказано в доступе

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopUsers

Эта команда получает список из 100 основных пользователей, которые получили наибольшее количество отказов в доступе.

Просмотр списка основных сайтов, на которых больше всего отказано в доступе

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopSites

Эта команда получает список из 100 лучших сайтов, на которых было больше всего отказов в доступе.

Распределение отказов в доступе между различными типами сайтов

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content SiteDistribution

Показывает распределение отказов в доступе между различными типами сайтов.

Примечание.

Чтобы просмотреть до 10 000 отказов, необходимо скачать отчеты. Выполните команду загрузки от имени администратора. Скачанные отчеты находятся по пути, по которому выполняется команда.

Предоставление общего доступа к сайту и содержимому пользователям за пределами групп управления ограниченным доступом (возможность согласия)

По умолчанию общий доступ к сайтам SharePoint и их содержимому не соответствует политике ограниченного доступа к сайту. Администратор SharePoint может ограничить общий доступ к сайту и его содержимому пользователям, которые не являются членами группы управления ограниченным доступом.

Чтобы ограничить возможность общего доступа для пользователей за пределами группы управления ограниченным доступом, выполните следующую команду PowerShell в командная консоль SharePoint Online от имени администратора:

Set-SPOTenant -AllowSharingOutsideRestrictedAccessControlGroups $false

Общий доступ с пользователями

При применении ограничения общего доступа он блокирует общий доступ для пользователей, которые не являются членами группы управления ограниченным доступом.

Общий доступ с группами

Общий доступ разрешен с группами Microsoft Entra Security или Microsoft 365, которые входят в список групп управления ограниченным доступом. Общий доступ разрешен не всем другим группам, включая все, кроме внешних пользователей или групп SharePoint.

Примечание.

Общий доступ к сайту и его содержимому теперь разрешен для вложенных групп безопасности, которые входят в группы управления ограниченным доступом.

Настройка страницы "Дополнительные сведения" для ошибки отказа в доступе (возможность согласия)

Настройте ссылку Дополнительные сведения , чтобы информировать пользователей, которым запрещен доступ к сайту SharePoint из-за политики управления доступом к ограниченному сайту. Настроив эту ссылку на ошибку, вы можете предоставить пользователям дополнительные сведения и рекомендации.

Примечание.

Ссылка Подробнее — это параметр на уровне клиента, который применяется ко всем сайтам с включенной политикой управления ограниченным доступом.

Чтобы настроить ссылку, выполните следующую команду в SharePoint PowerShell:

Set-SPOTenant -RestrictedAccessControlForSitesErrorHelpLink "<Learn more URL>" 

Чтобы получить значение ссылки, выполните следующую команду:

Get-SPOTenant | select RestrictedAccessControlForSitesErrorHelpLink 

Настроенная ссылка Подробнее запускается, когда пользователь выбирает ссылку Узнать больше о политиках вашей организации здесь .

Статьи по теме

Политика условного доступа для сайтов SharePoint и OneDrive

Отчеты об управлении доступом к данным