Microsoft 365 / Impostare le autorizzazioni del sito SharePoint e gestire la condivisione esterna

Le autorizzazioni del sito SharePoint determinano chi può accedere al sito e le impostazioni di condivisione esterna limitano la portata della condivisione dei contenuti con persone al di fuori dell'organizzazione. Se si tratta di un sito collegato a un team, dovresti anche verificare la relazione con i membri di Teams / Microsoft 365. Le autorizzazioni del sito e i link di condivisione non sono le stesse impostazioni.

Struttura da verificare prima di modificare le autorizzazioni

• Verifica se il sito è un sito indipendente o un sito collegato a un gruppo Microsoft 365 / Teams.
• Verifica i gruppi di accesso attuali e le autorizzazioni concesse direttamente, come proprietari, membri e visitatori.
• Verifica se ci sono link di condivisione creati separatamente per file o cartelle.
• Verifica l'ambito di condivisione esterna a livello di organizzazione di SharePoint e OneDrive e le impostazioni di invito degli ospiti in Microsoft Entra.

La guida di Microsoft alla condivisione e ai permessi di SharePoint consiglia di gestire l'appartenenza ai siti collegati a gruppi tramite il gruppo Microsoft 365 associato, o tramite Teams quando il sito è collegato a un team. Concedere a qualcuno l'autorizzazione solo al sito non lo rende automaticamente membro del team di Teams.

Proprietari, membri, visitatori ed ereditarietà delle autorizzazioni

In un sito tipico, i proprietari amministrano il sito, i membri modificano i contenuti e i visitatori li leggono. Tuttavia, se ci sono autorizzazioni personalizzate su un sito esistente, non determinare le autorizzazioni effettive solo dal nome; verifica le impostazioni. I siti di team collegati ai gruppi sono legati ai proprietari e ai membri dei Gruppi di Microsoft 365, mentre i siti di comunicazione sono gestiti principalmente attorno ai gruppi di SharePoint del sito.

L’ereditarietà delle autorizzazioni è una struttura in cui raccolte, cartelle e file seguono i permessi del contenitore padre. Se vengono assegnati permessi diversi a un singolo file o viene creato un link di condivisione separato, diventa difficile capire tutti gli accessi solo dalla lista del sito. Quando si riceve una richiesta di 'rimuovere l'accesso per un dipendente specifico', è necessario controllare tutti e tre i percorsi insieme: gruppi del team o del sito, permessi diretti e link di condivisione.

I siti dei canali privati e condivisi in Teams sono gestiti attraverso i membri del canale secondo la struttura di connessione tra Teams e SharePoint . A differenza dei siti normali, non dovresti cercare di modificare i membri in SharePoint in modo indipendente. Inoltre, gli amministratori del sito non possono cambiare tutte le policy, e modificare il livello di autorizzazione della condivisione esterna di un sito richiede i privilegi di amministratore di SharePoint.

Controlla e modifica le autorizzazioni del sito

1. Vai a [Siti] → [Siti attivi] nel centro di amministrazione di SharePoint e cerca il sito target. Poiché potrebbero esserci siti di canali con nomi simili, verifica sia l'URL che il tipo di sito.

2. Controlla la relazione tra amministratori, proprietari e membri nei dettagli del sito. Se si tratta di un sito connesso a Teams, prima esamina l'elenco dei proprietari e dei membri del team.
3. Aggiungi o rimuovi gruppi o utenti in base allo scopo della modifica. Se vuoi solo condividere un file specifico, non concedere l'accesso all'intero sito e considera invece la condivisione del file.
4. Usa un account di test per confermare che sia visibile solo il contenuto previsto. Se i permessi sono stati ampliati, controlla anche i link di condivisione precedenti e i permessi diretti.

Esempio: concedere solo la lettura del sito

Supponiamo un caso in cui un altro dipartimento abbia solo bisogno di leggere il sito documentale. Se non è necessario partecipare alle conversazioni o ai calendari di Teams, valuta se sia appropriato il permesso di sola lettura del sito invece di aggiungerli come membri generali del gruppo. I gruppi di Microsoft 365 non forniscono un ruolo di membro in sola lettura, quindi potrebbe essere appropriata una concessione separata di lettura a livello di sito per questo requisito.

1. Apri il sito di destinazione e controlla i gruppi e i permessi attuali in Impostazioni → Autorizzazioni sito.
2. Se si tratta di un sito di comunicazione, scegliere Condividi sito, e se si tratta di un sito collegato a un gruppo, selezionare il percorso appropriato come Aggiungi membri → Condividi solo il sito in base allo scopo. Utilizzare il percorso dei membri del Teams se l'intenzione è per la partecipazione completa del team.
3. Selezionare gli utenti esatti/gruppi di sicurezza e assegnare Permesso di lettura. Verificare le impostazioni di destinazione e notifica prima di aggiungere. Guida alla condivisione dei siti Microsoft differenzia tra la condivisione con le risorse del gruppo e la condivisione solo del sito.
4. Chiedi all’utente previsto o a un utente di prova autorizzato di verificare che possa leggere il documento di prova, ma non modificarlo. Non dedurre le sue autorizzazioni soltanto dalla schermata dell’amministratore.

Se vuoi mostrare solo un file, non condividere l'intero sito. Invece, imposta le autorizzazioni di destinazione e visualizzazione/modifica su quel file specifico. Il link “Persone con accesso esistente” viene utilizzato per inviare il percorso di accesso che possiedono già ed è diverso dal link usato per concedere nuove autorizzazioni.

Imposta l'ambito della condivisione esterna

Un sito non può consentire una condivisione esterna più ampia di quella permessa dall’organizzazione. Controlla prima le impostazioni organizzative. Nel centro di amministrazione di SharePoint, seleziona poi il sito e apri la scheda Impostazioni → Altre impostazioni di condivisione. La guida Microsoft alla condivisione esterna di un sito spiega il rapporto tra i due livelli.

Consentire il livello Chiunque (Anyone) non rende il sito stesso pubblicamente anonimo. Permette alle persone con i permessi di condivisione necessari di creare link non autenticati a file e cartelle idonei; non dà a tutti il permesso di creare link. Un titolare può inoltrare tale link a qualcun altro. Se il lavoro è limitato a partner nominati, considerare invece un link autenticato Persone specifiche (Specific people). Alcune posizioni, inclusi i file dei canali condivisi, non supportano link Chiunque.

1. Nel centro amministrativo di SharePoint, verifica l'ambito massimo dell'organizzazione in Criteri → Condivisione . Se per questo compito è necessario un solo sito, prima valuta se è necessario estendere all'impostazione a livello organizzativo.
2. Siti → Siti attivi, seleziona il sito tramite il suo URL effettivo e vai a Impostazioni → Altre impostazioni di condivisione.
3. Verifica il livello di autorizzazione, le restrizioni di dominio, la scadenza dell'ospite e il tipo di collegamento predefinito. Le opzioni disponibili sono influenzate dalle impostazioni dell'organizzazione e da altre politiche di collaborazione esterna.
4. Registra i valori precedenti, salva solo le modifiche necessarie e rileggi le impostazioni. Usa un file di prova senza dati riservati e account autorizzati. Verifica il destinatario esterno previsto e un account escluso che non possiede altre autorizzazioni. Un collegamento per persone specifiche non deve concedere un nuovo accesso a chi riceve il collegamento inoltrato. Un collegamento Chiunque può essere utilizzato da un’altra persona che lo possiede senza accedere. Confronta i risultati con il tipo di collegamento e i criteri attuali.

Interrompi la condivisione e indaga sugli errori di accesso

Se non ci sono opzioni di condivisione esterna, controllare in ordine le restrizioni dell'organizzazione, il tipo di sito, l'invito per ospiti Entra e le restrizioni di dominio, e le policy dei gruppi. Se l'invito ha avuto successo ma il file non può essere aperto, verificare se il destinatario ha effettuato l'autenticazione con l'indirizzo invitato e controllare l'effettiva posizione di archiviazione del file. Abilitare una singola impostazione consentita su un sito non sovrascrive tutte le altre policy.

Quando si revoca l'accesso, pulire i link non necessari e i permessi diretti nel pannello Gestisci accesso del file, e se l'accesso avviene tramite un gruppo, modificare anche i membri del gruppo. Anche se un link viene eliminato, i membri con permessi sul sito possono ancora accedervi. La rimozione di queste concessioni di SharePoint non elimina le copie già scaricate.

Se restringi le impostazioni, i collegamenti esterni esistenti potrebbero non funzionare. Tuttavia, se riattivi la condivisione a livello organizzativo, le impostazioni del sito precedenti e i collegamenti condivisi potrebbero ricominciare a funzionare, quindi non confondere il blocco temporaneo con l'eliminazione permanente dei collegamenti. Se hai ampliato accidentalmente l'ambito, oltre a ripristinare la policy precedente, dovresti anche controllare i collegamenti e gli inviti creati durante quel periodo. Microsoft segnala che gli utenti ospiti di solito perdono l'accesso entro un'ora dalla restrizione o disattivazione della condivisione esterna; non presumere che ogni modifica sia istantanea. La sua guida sulla condivisione a livello organizzativo spiega anche il ripristino dell'accesso degli ospiti dopo che la condivisione è stata riattivata. Completa il controllo confermando i risultati effettivi con account di test sia consentiti che esclusi.