Cómo restringir las invitaciones de usuarios invitados en Microsoft Entra
Habilitar el acceso externo a su entorno a través de cuentas de invitados es algo que se debe considerar cuidadosamente; si decide permitirlo, también debe considerar qué controles de seguridad desea aplicar y al mismo tiempo garantizar que el personal pueda ser productivo.
En este tutorial, le mostraré cómo restringir la capacidad de un usuario invitado para invitar a más usuarios invitados a su inquilino.
La configuración de invitación de usuario invitado predeterminada en Microsoft Entra
De forma predeterminada, en Microsoft Entra, cualquiera puede invitar a usuarios invitados a su inquilino, registrándolos como usuario en Microsoft Entra ID. Sin embargo, este permiso se extiende más allá de los usuarios habituales y se aplica también a los usuarios invitados. Esto significa que si invita a un usuario externo a su inquilino como invitado, tal vez para colaborar con usted en un proyecto, podrá invitar a más usuarios externos sin su participación.
De forma predeterminada, este nivel de confianza en los usuarios invitados es demasiado alto. El acceso a su inquilino y, por tanto, a los datos confidenciales que contiene, debe controlarse, revisarse y aprobarse cuidadosamente antes de su divulgación.
Otro riesgo de dejar esta opción habilitada es que facilita que su personal sea manipulado para otorgarle a un usuario acceso a más información de la que debería permitirle, ya que alguien "de confianza" ya lo ha invitado a la organización. Esta es una forma de ingeniería social, en la que se ha abusado de una característica legítima de Microsoft Entra.
Continúe con esta publicación para restringir la configuración de invitación de usuarios invitados y evitar el abuso de esta función mientras está en su estado predeterminado.
Cómo restringir las invitaciones de usuarios invitados en Microsoft Entra
Para evitar que los usuarios invitados inviten a más usuarios invitados en Microsoft Entra, siga los pasos a continuación.
1. Inicie sesión en Microsoft Entra como administrador global.
2. Expanda Identidad > Identidades externas y luego seleccione Configuración de colaboración externa.
3. En Configuración de invitación de invitados, asegúrese de que la opción Cualquier persona de la organización puede invitar a usuarios invitados, incluidos invitados y no administradores (más incluidos) no esté seleccionada . .
Restringir las invitaciones de usuarios invitados con Microsoft Graph PowerShell
También se puede lograr el mismo resultado utilizando Microsoft Graph PowerShell y el punto final beta. Para esto, debe asegurarse de tener instalado el último módulo Microsoft Graph PowerShell; consulte mi guía sobre cómo instalar el módulo aquí.
Comience conectándose a Microsoft Graph con el permiso Policy.ReadWrite.Authorization. Esto garantizará que pueda modificar la configuración relacionada con las identidades externas en Microsoft Entra.
Connect-MgGraph -Scopes Policy.ReadWrite.AuthorizationLuego puede usar el cmdlet Update-MgBetaPolicyAuthorizationPolicy para modificar su configuración.
Update-MgBetaPolicyAuthorizationPolicy -authorizationPolicyId authorizationPolicy `
-AllowInvitesFrom adminsAndGuestInvitersLos valores disponibles para el parámetro -AllowInvitesFrom incluyen:
- ninguno
- administradores y invitados invitados,
- administradoresGuestInvitersAndAllMembers
- todos
La configuración predeterminada es todos.
Si desea utilizar Microsoft Graph sin depender de los módulos de PowerShell, puede realizar la siguiente solicitud HTTP para obtener el mismo resultado.
- URL: https://graph.microsoft.com/beta/policies/authorizationPolicy/authorizationPolicy
- Método: PARCHE
- Carga útil: {
“guestUserRoleId”: “10dae51f-b6af-4016-8d66-8c2a99b929b3”,
“allowInvitesFrom”: “adminsAndGuestInviters”
}
Impacto en el usuario al restringir las invitaciones de usuarios invitados
Una vez que se haya modificado y restringido la configuración de invitación de invitados en Microsoft Entra, si un usuario invitado actual intenta invitar a más usuarios invitados a su organización, recibirá el error: Error en la invitación del usuario.
