使用 Microsoft 365 个组和Microsoft Entra安全组限制 SharePoint 网站访问

受限网站访问控制 (也称为 受限访问控制 或 网站访问限制) 通过将 SharePoint 网站及其内容的访问权限指定给特定控制组中的用户来帮助防止过度共享。 不在指定组中的用户无法访问网站或其内容，即使他们具有先前的权限或共享链接也是如此。 可以使用 Microsoft 365 个组或Microsoft Entra安全组在 Microsoft 365 组连接、Teams 连接、非组连接的站点和 OneDrive 上应用此策略。

网站访问限制策略在用户尝试打开网站或访问文件时生效。 Copilot 和组织范围的搜索结果也遵循该策略。 对文件具有直接权限但不在指定控制组中的用户将无法在搜索或 Copilot 体验中查看该文件。

SharePoint 网站受限访问控制的已保存更改的屏幕截图。

注意

共享频道网站和专用频道网站是独立于标准频道使用的 Microsoft 365 组连接网站的网站集。 应用于团队连接的网站的受限网站访问策略不会自动应用于其共享或专用频道网站。 为每个共享或专用频道网站单独配置站点访问限制。

受限站点访问的先决条件

请参阅 SharePoint 高级管理的先决条件。

为组织启用站点级访问限制

必须先为组织启用站点级访问限制，然后才能为单个站点配置该限制。 还可以将站点访问限制控制委托给组织的所有站点管理员。

若要在 SharePoint 管理中心中为组织启用网站级访问限制，请执行以下步骤：

  1. 展开 “策略 ”，然后选择“ 访问控制”。

  2. 选择“ 站点级访问限制”。

  3. 选择 “允许访问限制 ”，然后选择“ 保存”。

    显示如何设置站点级访问控制的屏幕截图。

若要使用 PowerShell 为组织启用站点级访问限制，请运行以下命令：

Set-SPOTenant -EnableRestrictedAccessControl $true

命令可能需要长达一小时才能生效。

将受限访问控制的管理委托给站点管理员

作为 SharePoint 管理员，您还可以将受限访问控制的管理委托给网站管理员。 如果他们更新了策略，则需要就更新策略的原因提供适当的理由。

默认情况下，委派处于关闭状态。 如果决定启用它，请运行以下命令：

Set-SPOTenant -DelegateRestrictedAccessControlManagement $true

将受限访问控制委托给所有站点管理员后，他们可以管理策略。

检查对站点管理员的受限访问控制的委托管理状态

若要检查委派状态，请运行以下命令：

Get-SPOTenant | Select-Object DelegateRestrictedAccessControlManagement

注意

对于 Microsoft 365 多地理位置用户，请为每个所需的地理位置单独运行此命令。

使用 Microsoft 365 组或Microsoft Entra安全组限制对所有 SharePoint 网站的访问

可以通过将Microsoft Entra安全组或Microsoft 365 组指定为受限访问控制组来限制对 SharePoint 网站的访问。 控制组应包括有权访问网站及其内容的用户。

对于站点，最多可以配置 10 个Microsoft Entra安全组或Microsoft 365 个组。 应用策略后，将授予对内容具有访问权限的指定组中的用户的访问权限。

重要

  • 将人员添加到受限访问控制组 (Microsoft Entra 安全组或Microsoft 365 组) 不会自动授予用户访问网站或内容的权限。 用户若要访问受此策略保护的内容，用户需要站点或内容访问权限，并且是受限访问控制组的成员。

  • 如果要将组成员身份基于用户属性，还可以将动态安全组用作受限访问控制组。

管理站点的站点访问

若要管理站点的站点访问，请执行以下步骤：

  1. 在 SharePoint 管理中心中，展开 “网站” ，然后选择“ 活动网站”。

  2. 选择要管理的网站。 此时会显示网站详细信息面板。

  3. 在“设置”选项卡中，选择“受限网站访问”部分中的“编辑”。

  4. 选中“将 SharePoint 网站访问权限限制为仅指定组中的用户检查” 框。

  5. 添加或删除安全组或Microsoft 365 组，然后选择“ 保存”。

对网站应用站点访问限制

若要对网站应用站点访问限制，必须向站点访问限制策略添加至少一个组。

显示正在添加到非组连接站点的站点访问限制安全组的屏幕截图。

对于已连接组的站点，连接到站点的 Microsoft 365 组是默认的受限访问控制组。 可以选择保留此组，并将更多Microsoft 365 或Microsoft Entra安全组添加为受限访问控制组。

显示正在添加到已连接站点的站点访问限制安全组的屏幕截图。

注意

  • 此行为不适用于共享频道网站或专用频道网站，因为它们未连接到父团队的 Microsoft 365 组。 为这些站点单独配置受限的访问控制。 请参阅本文 (共享 和专用频道网站) 部分。

  • 已为连接到站点的 Microsoft 365 组列出了 默认组 标记，如上图所示。

使用 PowerShell 管理站点访问限制

若要使用 PowerShell 管理 SharePoint 网站的网站访问限制，请使用本节中所述的 PowerShell 命令。

启用站点访问限制

Set-SPOSite -Identity <siteurl> -RestrictedAccessControl $true

添加组

Set-SPOSite -Identity <siteurl> -AddRestrictedAccessControlGroups <comma separated group GUIDS>

编辑组

Set-SPOSite -Identity <siteurl> -RestrictedAccessControlGroups <comma separated group GUIDS>

视图组

Get-SPOSite -Identity <siteurl> | Select RestrictedAccessControl, RestrictedAccessControlGroups

删除组

Set-SPOSite -Identity <siteurl> -RemoveRestrictedAccessControlGroups <comma separated group GUIDS>

重置站点访问限制

Set-SPOSite -Identity <siteurl> -ClearRestrictedAccessControl

搜索和 Copilot 体验

受限网站访问控制策略在组织范围的搜索体验和智能 智能 Microsoft 365 Copilot 副驾驶® 副驾驶®体验中得到遵循。 由于此策略而被拒绝访问的用户无法在搜索或智能 智能 Microsoft 365 Copilot 副驾驶® 副驾驶®体验中查看此网站的内容。 搜索和 Copilot 体验可能需要一些时间才能反映受限站点访问控制策略。 搜索索引更新延迟取决于站点中的项数。 例如，具有更多项的较大网站可能需要更长的时间才能在搜索和 Copilot 体验中遵循受限网站访问控制策略。

共享和专用频道网站

共享和专用频道网站与标准频道使用的 Microsoft 365 组连接站点分开。 由于共享和专用频道网站未连接到父团队的 Microsoft 365 组，因此在与团队连接的网站上配置的受限访问控制策略不适用于这些频道网站。 必须单独为每个共享或专用频道网站启用站点访问限制，作为非组连接站点。

对于共享频道网站，受限访问控制仅适用于资源租户中的内部用户。 不会根据受限访问控制策略评估从另一个租户访问共享通道的外部参与者。 其访问权限继续由授予共享通道和关联的 SharePoint 网站的权限决定。

这意味着，在受限访问控制组中添加外部共享频道参与者或将其从中删除不会影响其访问共享频道网站的能力。

重要

将人员添加到安全组或Microsoft 365 组不会向用户授予对 Teams 中的频道的访问权限。 在 Teams 和安全组或 Microsoft 365 组中添加或删除 Teams 通道的相同用户，以便用户可以同时访问 Teams 和 SharePoint 网站。

站点管理员体验

将站点访问限制控制委托给站点管理员后，他们可以在“ 网站信息 ”面板中配置站点访问限制设置。

显示“受限站点访问”设置的屏幕截图。

限制对 SharePoint 网站的访问

  1. 使用Microsoft Entra安全组或Microsoft 365 个组限制谁可以访问站点。

  2. 添加包含应具有访问权限的用户的组。

  3. 每个网站最多添加 10 个组。

  4. 保存站点访问限制设置配置时，只有这些组中的用户和已具有内容权限的用户才能访问该网站。

  5. 在更新站点访问限制设置时提供理由。

网站所有者体验

将策略应用到网站后，除了“网站信息和权限”面板外，“网站访问”面板还会显示网站所有者的策略状态和所有配置的控制组。

显示站点访问限制面板的屏幕截图。

审核

Microsoft Purview 门户提供审核事件，可帮助监视站点访问限制活动。 系统记录以下活动的审核事件：

  • 为网站应用站点访问限制
  • 删除站点的站点访问限制
  • 更改站点的站点访问限制组
  • 网站管理员更新网站访问限制的理由

Insights

受限站点访问策略见解

IT 管理员可查看以下报告，深入了解受限制网站访问策略保护的 SharePoint 网站：

  • 受受限站点访问策略保护的站点 (RACProtectedSites)
  • 由于站点访问策略受限而拒绝访问的详细信息 (ActionsBlockedByPolicy)

即使拥有所需的许可证，由世纪互联运营的 Microsoft 365报表当前也不可用。

注意

生成每个报表可能需要几个小时。

受限制站点访问策略保护的网站报告

在 SharePoint PowerShell 中运行以下命令，以生成、查看和下载报表。

生成报告

Start-SPORestrictedAccessForSitesInsights -RACProtectedSites

此命令生成受受限站点访问策略保护的站点列表。

查看报表

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID>

报表显示受策略保护的页面浏览量最高的前 100 个网站。

下载报表

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -Action Download

以管理员身份运行此命令。 下载的报表位于运行命令的路径上。

受限制网站访问保护的网站百分比报告

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -InsightsSummary

此报表显示受策略保护的网站在网站总数中所占的百分比。

由于受限制的站点访问策略报告而拒绝访问

运行以下命令，创建、提取和查看因受限制的站点访问报告而拒绝访问的报告。

创建访问拒绝报告

Start-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy

此命令创建一个新报表，用于获取访问拒绝详细信息。

提取访问拒绝报告状态

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy

此命令提取生成的报表的状态。

过去 28 天内的最新访问拒绝

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content AllDenials

此命令获取过去 28 天内发生的最近 100 次访问拒绝的列表。

查看被拒绝访问的热门用户列表

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopUsers

此命令获取收到最多访问拒绝的前 100 个用户的列表。

查看收到最多访问拒绝的顶级站点列表

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopSites

此命令获取访问拒绝最多的前 100 个站点的列表。

跨不同类型的站点分布访问拒绝

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content SiteDistribution

显示不同类型站点之间访问拒绝的分布情况。

注意

若要查看最多 10,000 个拒绝，必须下载报告。 以管理员身份运行下载命令。 下载的报表位于运行命令的路径上。

与受限访问控制组之外的用户共享网站和内容 (选择加入功能)

默认情况下，共享 SharePoint 网站及其内容不遵循受限网站访问策略。 SharePoint 管理员可以选择限制与不是受限访问控制组成员的用户共享网站及其内容。

若要将共享功能限制为受限访问控制组之外的用户，请以管理员身份在 SharePoint Online 命令行管理程序 中运行以下 PowerShell 命令：

Set-SPOTenant -AllowSharingOutsideRestrictedAccessControlGroups $false

与用户共享

应用共享限制时，会阻止非受限访问控制组成员的用户共享。

与用户共享消息的屏幕截图。

与组共享

允许Microsoft Entra安全或Microsoft限制访问控制组列表一部分的 365 个组共享。 不允许与所有其他组共享，包括除外部用户或 SharePoint 组以外的所有人。

使用组共享消息的屏幕截图。

注意

现在，允许属于受限访问控制组的嵌套安全组共享网站及其内容。

配置访问拒绝错误页的“了解详细信息”链接 (选择加入功能)

配置 “了解详细信息” 链接，通知因受限制的网站访问控制策略而被拒绝访问 SharePoint 网站的用户。 通过自定义此错误链接，可以为用户提供更多信息和指导。

注意

“了解详细信息”链接是一种租户级设置，适用于启用了受限访问控制策略的所有站点。

若要配置链接，请在 SharePoint PowerShell 中运行以下命令：

Set-SPOTenant -RestrictedAccessControlForSitesErrorHelpLink "<Learn more URL>"

若要提取链接的值，请运行以下命令：

Get-SPOTenant | select RestrictedAccessControlForSitesErrorHelpLink

当用户选择“在此处详细了解组织策略”链接时，配置的“了解详细信息”链接将启动。

显示“了解详细信息”链接的屏幕截图。

SharePoint 网站和 OneDrive 的条件访问策略

数据访问治理报告

  • Last updated on