受限网站访问控制 (也称为 受限访问控制 或 网站访问限制) 通过将 SharePoint 网站及其内容的访问权限指定给特定控制组中的用户来帮助防止过度共享。 不在指定组中的用户无法访问网站或其内容，即使他们之前具有权限或共享链接。 可以通过使用 Microsoft 365 组或 Microsoft Entra 安全组在 Microsoft 365 组连接、Teams 连接、非组连接的站点和 OneDrive 上应用此策略。
当用户尝试打开站点或访问文件时，站点访问限制策略将生效。 Copilot 和组织范围的搜索结果也遵守该策略。 对文件具有直接权限但不在指定控制组中的用户将无法在搜索或 Copilot 体验中查看该文件。
注意
共享频道网站和专用频道网站是标准频道使用的 Microsoft 365 组连接网站之外的独立网站集。 应用于团队连接网站的受限网站访问策略不会自动应用于其共享或专用频道网站。 为每个共享或专用频道网站分别配置网站访问限制。
限制站点访问的先决条件
请参阅 SharePoint 高级管理的先决条件。
为组织启用网站级访问限制
必须先为组织启用网站级访问限制，然后才能为单个网站配置它。 还可以将网站访问限制控制委托给组织的所有网站管理员。
要在 SharePoint 管理中心为组织启用网站级访问限制，请按照以下步骤操作：
展开 “策略” ，然后选择“ 访问控制”。
选择 “网站级访问限制”。
选择 “允许访问限制 ”，然后选择“ 保存”。
若要使用 PowerShell 为组织启用站点级访问限制，请运行以下命令：
Set-SPOTenant -EnableRestrictedAccessControl $true
此命令可能需要长达 1 小时才能生效。
将受限访问控制的管理委托给站点管理员
作为 SharePoint 管理员，你还可以将受限访问控制的管理委托给网站管理员。 如果他们更新了政策，他们需要提供适当的理由来说明更新政策的原因。
默认情况下，委派处于关闭状态。 如果决定启用它，请运行以下命令：
Set-SPOTenant -DelegateRestrictedAccessControlManagement $true
将受限访问控制委派给所有站点管理员后，他们可以管理策略。
检查将受限访问控制委派给网站管理员的管理状态
若要检查委派状态，请运行以下命令：
Get-SPOTenant | Select-Object DelegateRestrictedAccessControlManagement
注意
对于 Microsoft 365 多地理位置用户，请为每个所需的地理位置单独运行此命令。
使用 Microsoft 365 组或 Microsoft Entra 安全组限制对所有 SharePoint 网站的访问
可以通过将 Microsoft Entra 安全组或 Microsoft 365 组指定为受限访问控制组来限制对 SharePoint 网站的访问。 控制组应包括有权访问网站及其内容的用户。
对于一个网站，最多可以配置 10 个 Microsoft Entra 安全组或 Microsoft 365 组。 应用策略后，指定组中对内容有访问权限的用户将被授予访问权限。
重要
将人员添加到受限访问控制组 (Microsoft Entra 安全组或 Microsoft 365 组) 不会自动授予用户对网站或内容的访问权限。 若要让用户访问受此策略保护的内容，用户需要网站或内容访问权限，并且是受限访问控制组的成员。
如果要将组成员身份基于用户属性，则还可以将动态安全组用作受限访问控制组。
管理网站的网站访问权限
要管理网站的网站访问权限，请执行以下步骤：
在 SharePoint 管理中心，展开 “网站” ，然后选择“ 活动网站”。
选择要管理的网站。 将显示站点详细信息面板。
在“设置”选项卡中，选择“受限站点访问”部分中的“编辑”。
选中“仅限制指定组中的用户访问 SharePoint 网站”检查框。
添加或删除安全组或 Microsoft 365 组，然后选择“ 保存”。
对网站应用网站访问限制
若要将网站访问限制应用于网站，必须至少将一个组添加到网站访问限制策略。
对于组连接的站点，连接到站点的 Microsoft 365 组是默认受限访问控制组。 可以选择保留此组，并将更多 Microsoft 365 或 Microsoft Entra 安全组添加为受限访问控制组。
注意
此行为不适用于共享频道网站或专用频道网站，因为它们未连接到父团队的 Microsoft 365 组。 单独为这些网站配置受限访问控制。 请参阅本文中 (的 共享和专用频道网站部分) 。
为连接到站点的 Microsoft 365 组列出了 默认组 标记，如下图所示。
使用 PowerShell 管理站点访问限制
若要使用 PowerShell 管理 SharePoint 网站的网站访问限制，请使用此部分介绍的 PowerShell 命令。
启用站点访问限制
Set-SPOSite -Identity <siteurl> -RestrictedAccessControl $true
添加组
Set-SPOSite -Identity <siteurl> -AddRestrictedAccessControlGroups <comma separated group GUIDS>
编辑组
Set-SPOSite -Identity <siteurl> -RestrictedAccessControlGroups <comma separated group GUIDS>
视图组
Get-SPOSite -Identity <siteurl> | Select RestrictedAccessControl, RestrictedAccessControlGroups
删除组
Set-SPOSite -Identity <siteurl> -RemoveRestrictedAccessControlGroups <comma separated group GUIDS>
重置站点访问限制
Set-SPOSite -Identity <siteurl> -ClearRestrictedAccessControl
搜索和 Copilot 体验
组织范围的搜索体验和 Microsoft Copilot 体验遵循受限站点访问控制策略。 由于此策略而被拒绝访问的用户无法在搜索或 Microsoft Copilot 体验中查看此站点中的内容。 搜索和 Copilot 体验可能需要一些时间才能反映受限站点访问控制策略。 搜索索引更新延迟取决于网站中的项目数。 例如，包含更多项目的较大网站可能需要更长时间才能在搜索和 Copilot 体验中遵循受限网站访问控制策略。
共享频道网站和专用频道网站
共享频道和专用频道网站独立于标准频道使用的 Microsoft 365 组连接网站。 由于共享频道和专用频道网站未连接到父团队的 Microsoft 365 组，因此在与团队连接的网站上配置的受限访问控制策略不适用于这些频道网站。 必须为每个共享或专用频道站点分别启用站点访问限制，作为非组连接站点。
对于共享频道网站，受限访问控制仅适用于资源租户中的内部用户。 不会根据受限访问控制策略评估从其他租户访问共享频道的外部参与者。 其访问权限仍然由授予共享频道和关联的 SharePoint 网站的权限决定。
这意味着将外部共享频道参与者添加到受限访问控制组或从受限访问控制组中删除他们不会影响他们访问共享频道网站的能力。
重要
将人员添加到安全组或 Microsoft 365 组不会授予用户对 Teams 中频道的访问权限。 在 Teams 和安全组或 Microsoft 365 组中添加或删除 Teams 频道的相同用户，以便用户可以同时访问 Teams 和 SharePoint 网站。
站点管理员体验
将站点访问限制控制委托给站点管理员后，他们可以在 “站点信息 ”面板中配置站点访问限制设置。
限制对 SharePoint 网站的访问
使用 Microsoft Entra 安全组或 Microsoft 365 组限制谁可以访问网站。
添加包含应有权访问的用户的组。
每个网站最多添加 10 个组。
保存网站访问限制设置配置时，只有这些组中的用户和已具有内容权限的用户才能访问网站。
每当更新网站访问限制设置时，请提供理由。
网站所有者体验
将策略应用到网站后， 网站访问 面板除了显示 网站 信息和 权限 面板外，还会显示策略状态和网站所有者的所有已配置控制组。
审核
Microsoft Purview 门户提供审核事件，帮助监视站点访问限制活动。 系统记录以下活动的审核事件：
- 对网站应用网站访问限制
- 删除网站的网站访问限制
- 更改网站的网站访问限制组
- 网站管理员更新网站访问限制的理由
Insights
受限站点访问策略见解
作为 IT 管理员，你可以查看以下报告，以深入了解受受限制网站访问策略保护的 SharePoint 网站：
- 受受限制站点访问策略保护的站点 (
RACProtectedSites) - 由于限制站点访问策略 (
ActionsBlockedByPolicy) 而导致的访问被拒绝的详细信息
目前，由世纪互联运营的 Microsoft 365 运营的 Microsoft 365 报表不可用，即使你拥有所需的许可证也是如此。
注意
生成每个报告可能需要几小时。
受受限制站点访问策略报告保护的站点
在 SharePoint PowerShell 中运行以下命令以生成、查看和下载报告。
生成报告
Start-SPORestrictedAccessForSitesInsights -RACProtectedSites
此命令将生成受受限制站点访问策略保护的站点列表。
查看报表
Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID>
该报表显示受该策略保护的页面浏览量最高的前 100 个站点。
下载报表
Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -Action Download
以管理员身份运行此命令。 下载的报表位于运行命令的路径上。
受限制站点访问受保护的站点百分比报告
Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -InsightsSummary
此报表显示受此策略保护的站点在站点总数中的百分比。
由于受限站点访问策略报告而导致的访问被拒绝
运行以下命令以创建、提取和查看由于站点访问受限而导致的拒绝访问报告。
创建拒绝访问报告
Start-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy
此命令将创建一个新报告以提取拒绝访问详细信息。
提取访问拒绝报告状态
Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy
此命令获取生成报告的状态。
过去 28 天内的最新访问拒绝
Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content AllDenials
此命令获取过去 28 天内发生的最近 100 次拒绝访问的列表。
查看被拒绝访问的顶级用户列表
Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopUsers
此命令获取收到最多访问拒绝的前 100 个用户的列表。
查看收到最多访问拒绝的顶级网站列表
Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopSites
此命令获取拒绝访问次数最多的前 100 个网站的列表。
跨不同类型网站的访问拒绝分布
Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content SiteDistribution
显示不同类型网站之间的拒绝访问的分布。
注意
若要查看最多 10,000 个拒绝，您必须下载报告。 以管理员身份运行下载命令。 下载的报表位于运行命令的路径上。
与受限访问控制组之外的用户共享网站和内容 (选择加入功能)
默认情况下，共享 SharePoint 网站及其内容不遵循受限网站访问策略。 SharePoint 管理员可以选择限制与非受限访问控制组成员的用户共享网站及其内容。
若要将共享功能限制为受限访问控制组之外的用户，请以管理员身份在 SharePoint Online 命令行管理程序中运行以下 PowerShell 命令：
Set-SPOTenant -AllowSharingOutsideRestrictedAccessControlGroups $false
与用户共享
应用共享限制时，它将阻止非受限访问控制组成员的用户共享。
与组共享
允许与属于受限访问控制组列表的 Microsoft Entra Security 或 Microsoft 365 组共享。 不允许与除外部用户或 SharePoint 组以外的所有其他组（包括所有人）共享。
注意
现在允许属于受限访问控制组的嵌套安全组共享网站及其内容。
配置拒绝访问错误页面的详细信息链接 (选择加入功能)
配置“ 了解详细信息 ”链接，以通知由于受限网站访问控制策略而被拒绝访问 SharePoint 网站的用户。 通过自定义此错误链接，可以向用户提供更多信息和指导。
注意
“ 了解详细信息 ”链接是租户级设置，适用于启用了受限访问控制策略的所有站点。
若要配置链接，请在 SharePoint PowerShell 中运行以下命令：
Set-SPOTenant -RestrictedAccessControlForSitesErrorHelpLink "<Learn more URL>"
若要获取链接的值，请运行以下命令：
Get-SPOTenant | select RestrictedAccessControlForSitesErrorHelpLink
当用户选择“在此处详细了解组织的策略”链接时，将启动配置的“了解详细信息”链接。
