Permisos en SharePoint: grupos, herencia y buenas prácticas

Los permisos son la parte de SharePoint que más problemas genera con el tiempo. Al principio todo es sencillo; dos años después, nadie sabe por qué una carpeta tiene acceso para un exempleado, ni quién vio el documento confidencial que alguien compartió “con cualquiera que tenga el enlace”. En el libro de SharePoint dedicamos un capítulo a la gestión de permisos y seguridad; aquí tienes cómo funcionan y cómo mantenerlos bajo control.

Niveles de permiso y grupos predeterminados

Un nivel de permiso es un conjunto de acciones permitidas. Los más usados:

Cada sitio nace con tres grupos que ya tienen asignado un nivel: Propietarios (control total), Miembros (editar) y Visitantes (leer). En un sitio conectado a un grupo de Microsoft 365 o a Teams, los propietarios y miembros del grupo forman parte de esos grupos del sitio.

Herencia y permisos únicos

Por defecto, los permisos se heredan: las bibliotecas heredan del sitio, las carpetas de la biblioteca y los documentos de la carpeta. Cuando alguien “deja de heredar” en una carpeta o un documento para darle permisos distintos, se crean permisos únicos.

Los permisos únicos no son malos en sí, pero cada uno es una excepción que alguien tiene que recordar y mantener. Cuando se multiplican:

• Es imposible responder con seguridad a “¿quién puede ver esto?”.
• Los cambios en los grupos del sitio no llegan a las zonas con permisos rotos.
• La administración y algunas operaciones se vuelven más lentas.

Enlaces de uso compartido

Cada vez que alguien comparte un archivo con un enlace, puede estar concediendo acceso fuera de los grupos del sitio. Por eso conviene definir desde el centro de administración de SharePoint:

• Qué tipos de enlace están permitidos en la organización y en cada sitio (por ejemplo, prohibir los enlaces “Cualquiera con el vínculo” en los sitios con información sensible).
• El tipo de enlace predeterminado: “Personas específicas” es la opción más segura.
• La caducidad de los enlaces de acceso anónimo, si se permiten.
• El uso compartido externo: con qué dominios y en qué sitios se permiten invitados.

Los tipos de enlace y cuándo usar cada uno los explicamos en SharePoint, OneDrive y Teams.

Ejemplo: auditar permisos únicos con PnP PowerShell

Este script recorre las listas y bibliotecas visibles de un sitio y muestra cuáles tienen permisos propios, distintos de los del sitio. Necesita PnP PowerShell configurado como explicamos en Microsoft Graph y PnP PowerShell.

param(
    [Parameter(Mandatory)] [string] $Sitio,      # https://contoso.sharepoint.com/sites/compras
    [Parameter(Mandatory)] [string] $ClientId
)

Connect-PnPOnline -Url $Sitio -Interactive -ClientId $ClientId

$resultado = foreach ($lista in Get-PnPList | Where-Object { -not $_.Hidden }) {
    $unicos = Get-PnPProperty -ClientObject $lista -Property HasUniqueRoleAssignments
    [pscustomobject]@{
        Lista          = $lista.Title
        Elementos      = $lista.ItemCount
        PermisosUnicos = $unicos
    }
}

# Solo las que rompieron la herencia
$resultado | Where-Object PermisosUnicos | Format-Table -AutoSize

# Y un CSV para revisar con el propietario del sitio
$resultado | Export-Csv -Path "permisos-$(Get-Date -Format yyyyMMdd).csv" -NoTypeInformation -Encoding utf8

Revisar también carpetas y documentos individuales es posible, pero en bibliotecas grandes lleva tiempo: empieza por las bibliotecas que el script marca y pregunta a sus propietarios si las excepciones siguen siendo necesarias.

Reglas de oro

1. Permisos a grupos, no a personas: cuando alguien cambia de puesto, basta con sacarlo de un grupo.
2. Al menos dos propietarios por sitio: nunca dependas de una sola persona.
3. Herencia por defecto: rompe la herencia solo cuando no haya otra opción, y documenta por qué.
4. Mínimo privilegio: si alguien solo necesita leer, no le des “Editar” por comodidad.
5. Revisiones periódicas: una vez por semestre, los propietarios confirman quién debe seguir teniendo acceso.
6. Etiquetas de confidencialidad: para información sensible, Microsoft Purview permite etiquetar documentos y sitios con reglas de protección que viajan con el archivo.

Seguridad y cumplimiento en SharePoint

El libro de SharePoint enseña a gestionar permisos, seguridad y cumplimiento normativo en entornos empresariales.

Comprar en Amazon