Cómo aplicar políticas de acceso condicional a sitios individuales de SharePoint

Los contextos de autenticación se pueden utilizar junto con el acceso condicional para ayudar a proteger sitios específicos de SharePoint que deben cumplir con protocolos de seguridad más rigurosos. Las etiquetas de confidencialidad se pueden utilizar para llevar esto un paso más allá mediante la aplicación de controles adicionales que no se pueden aplicar dentro del acceso condicional, como la configuración de privacidad del grupo y las opciones de uso compartido externo.

En este tutorial, le mostraré cómo crear un nuevo contexto de autenticación y aplicarlo a un sitio de SharePoint o Teams, ya sea directamente o mediante una etiqueta de confidencialidad. Luego le mostraré cómo abordar este contexto de autenticación con acceso condicional.

Requisitos de licencia

Para poder aplicar un contexto de autenticación a un sitio de SharePoint o etiquetas a un sitio de SharePoint, se requiere una licencia de Microsoft 365 E5.

También existen algunas limitaciones y aspectos básicos que debe saber sobre el uso de contextos de autenticación para proteger sitios específicos:

• Si aplica un contexto de autenticación a un sitio principal "Teams habilitado". Si crea un canal privado en ese sitio, no se podrá aprovisionar un sitio de SharePoint para el canal privado.
• Si intenta cambiar el nombre de una carpeta dentro de Teams para un sitio con un contexto de autenticación aplicado, la operación de cambio de nombre fallará.
• No podrá sincronizar sitios de SharePoint con un contexto de autenticación aplicado con el cliente OneDrive.
• Si intenta copiar archivos de un sitio de SharePoint sin un contexto de autenticación aplicado a un sitio con un contexto de autenticación aplicado, fallará.

Crear un nuevo contexto de autenticación

Comenzaremos creando un nuevo contexto de autenticación en Acceso Condicional. Los contextos de autenticación están diseñados para proporcionar seguridad adicional a los datos dentro de aplicaciones como SharePoint u otras aplicaciones de "línea de negocio" protegidas por Defender para aplicaciones en la nube. En mi ejemplo, nuestro contexto de autenticación estará dirigido a una política de acceso condicional para imponer seguridad adicional, incluida una política de bloqueo de descargas en Defender para aplicaciones en la nube y fortalezas de autenticación.

Dado que nuestra política de acceso condicional tiene como objetivo nuestro contexto de autenticación, también necesitaremos vincular nuestro contexto de autenticación con nuestra aplicación o sitio de SharePoint. Esto se puede hacer de más de una forma, que describiré en los siguientes pasos. La primera es que podemos configurar una etiqueta de confidencialidad con nuestro contexto de autenticación de acceso condicional, donde también se pueden aplicar configuraciones adicionales dentro de esa etiqueta, o el contexto de autenticación se puede asignar directamente al sitio de SharePoint.

Para crear un nuevo contexto de autenticación, siga los pasos a continuación:

1. Inicie sesión en Microsoft Entra en https://entra.microsoft.com

2. Expanda Azure Active Directory, luego Proteger y asegurar y seleccione Acceso condicional.

3. Seleccione Contexto de autenticación y luego Nuevo contexto de autenticación.

3. Elija un nombre significativo para su contexto de autenticación, marque la casilla de verificación Publicar en aplicaciones para que el contexto de autenticación esté disponible para su uso y haga clic en Guardar.

Su nuevo contexto de autenticación ahora será visible desde la pestaña Contacto de autenticación y también estará disponible para asignarlo a aplicaciones y sitios de SharePoint.

Cree una etiqueta de confidencialidad con el contexto de autenticación

Si no desea utilizar etiquetas de confidencialidad para asignar su nuevo contexto de autenticación a un sitio, puede omitir este paso; de lo contrario, continúe leyendo. El uso de una etiqueta de confidencialidad le permite incluir protección adicional en su sitio según la configuración que elija en su etiqueta. Por ejemplo, puede incluir su contexto de autenticación en su etiqueta, así como controlar su configuración de uso compartido externo para el sitio con una etiqueta de confidencialidad.

Para crear una nueva etiqueta de confidencialidad, siga los pasos a continuación:

1. Inicie sesión en Microsoft Purview aquí: https://compliance.microsoft.com

2. En el encabezado del menú Soluciones, seleccione Protección de la información.

3. Seleccione la pestaña Etiquetas y luego Crear una etiqueta.

4. Complete el nombre y la descripción de su etiqueta de confidencialidad, asegurándose de que sea significativa y que otros puedan entender su propósito de un vistazo. Luego haga clic en Siguiente.

5. Para los fines de este tutorial, solo seleccionaré Grupos y sitios. Sin embargo, si planea hacer que esta etiqueta esté disponible para que los usuarios la asignen a elementos y otros recursos, habilítela adecuadamente.

6. Haga clic en Siguiente hasta llegar a la página Grupos y sitios y marque la casilla junto a Configuración de acceso condicional y uso compartido externo.

7. En la página de configuración de acceso condicional y uso compartido externo, también aprovecharé al máximo las opciones de uso compartido externo para esta etiqueta de confidencialidad. A continuación, marqué la casilla para controlar el uso compartido externo desde sitios de SharePoint etiquetados y la configuré en Solo personas de su organización.

También marqué la casilla junto a Usar acceso condicional de Azure AD para proteger los sitios de SharePoint etiquetados y seleccioné el contexto de autenticación que creé anteriormente.

8. Haga clic en Siguiente hasta llegar a la página final y seleccione Crear etiqueta.

9. Una vez creada la etiqueta, deberá publicarla en sus aplicaciones para poder asignarla. En la página Protección de la información, seleccione la pestaña Políticas de etiquetas y luego Publicar etiqueta.

10. Seleccione su nueva etiqueta y haga clic en Siguiente.

11. Deje la configuración Publicar para usuarios y grupos como predeterminada y haga clic en Siguiente. La configuración predeterminada debe ser activada para todos los usuarios y grupos.

12. Haga clic en Siguiente, dejando cada página con la configuración predeterminada hasta llegar a la página Nombre su política, ingrese un nombre significativo para su política y haga clic en Siguiente, luego Enviar.

Lea: Su nueva etiqueta puede tardar hasta 24 horas en aparecer para que pueda asignarla a su sitio.

Aplicar la etiqueta de confidencialidad a un sitio de SharePoint

Una vez que haya creado la etiqueta deseada, debe aplicarla a su sitio (biblioteca de documentos) para que la configuración surta efecto.

1. Comience accediendo a su sitio a través de su navegador web. El formato de su URL probablemente será: https://*defaultdomain*.sharepoint.com/sites/*yoursite*

2. Seleccione el engranaje de configuración en la parte superior derecha de la página y luego seleccione Información del sitio.

3. Ahora puede configurar la etiqueta de Sensibilidad en su sitio y hacer clic en Guardar.

Aplicar un contexto de autenticación directamente a un sitio de SharePoint

Si decide que no desea utilizar una etiqueta de confidencialidad, también puede asignar su contexto de autenticación directamente a su sitio mediante el módulo SharePoint Online PowerShell.

Comience instalando SharePoint Online con el siguiente comando:

Install-Module -Name Microsoft.Online.SharePoint.PowerShell `
-Scope CurrentUser -Force

Luego puede usar el cmdlet Connect-SPOService para conectarse a SharePoint en línea. También debe definir su URL raíz de SharePoint. Puede obtener su URL raíz desde el centro de administración de SharePoint; será el sitio principal en la lista Sitios activos. De lo contrario, puede copiar la URL del centro de administración y eliminar -admin que se agrega al dominio.

Connect-SPOService -url https://*yourdomain*.sharepoint.com/

Asigne su contexto de autenticación a su sitio con el cmdlet Set-sposite, asegúrese de que cuando ingrese la ruta de su sitio utilice la ruta completa al sitio específico que desea modificar; esta suele ser su URL raíz, siga mi /sites /*nombre del sitio*. El siguiente comando le proporcionará la plantilla para que pueda asignar su contexto de autenticación a su sitio de destino.

Set-sposite -Identity https://*yourdomain*.sharepoint.com/sites/testsite `
-ConditionalAccessPolicy AuthenticationContext `
-AuthenticationContextName "Strong Authentication"

Para verificar que la configuración se haya aplicado correctamente a su sitio, puede usar el cmdlet Get-sposite. Utilice el siguiente ejemplo para ver la configuración del contexto de autenticación y acceso condicional para su sitio.

Get-Sposite -identity https://x7kxf.sharepoint.com/sites/testsite | `
select Con*, auth*

Cree una política de acceso condicional para apuntar al contexto de autenticación

La política de acceso condicional determinará qué medida de seguridad adicional se aplicará al acceder a cada sitio de SharePoint vinculado a un contexto de autenticación.

Para crear una nueva política de acceso condicional dirigida a su contexto de autenticación, siga los pasos a continuación.

1. Inicie sesión en el centro de administración de Azure Active Directory y seleccione Azure Active Directory y luego Seguridad.

2. Seleccione Acceso condicional bajo el encabezado Proteger del menú.

3. En la pestaña Políticas, seleccione Nueva política para crear una nueva política de acceso condicional.

4. Defina un nombre significativo para su política y seleccione a qué usuarios se asignará. He seleccionado Todos los usuarios.

5. En la pestaña Acciones o aplicaciones en la nube, seleccione Contexto de autenticación de la lista desplegable y marque el contexto de autenticación que desea que aplique esta política de acceso condicional.

6. Ahora seleccione los controles de acceso que desea imponer en su sitio. Estos serán específicos para sus necesidades, pero pueden ser tan fuertes o relajados como sea necesario. Para mi política, he decidido aplicar una autenticación sólida con la aplicación Authenticator así como la política Bloquear descargas en el control de aplicaciones de acceso condicional.

Si desea obtener más información sobre cómo configurar la política de bloqueo de descargas o una política de seguridad personalizada de Cloud Apps, lea mi tutorial: Cómo bloquear a usuarios externos para que no descarguen archivos de Teams . Algunos otros tutoriales que le serán de gran ayuda para configurar su política de acceso condicional son:

• Cómo configurar Requerir fuerza de autenticación en acceso condicional
• Cómo crear una política de acceso condicional en Azure Active Directory
• Cree una política de acceso condicional de Azure AD mediante PowerShell

Pruebe el acceso al sitio de SharePoint

Una vez que todo esté configurado y se aplique su acceso condicional, la seguridad adicional se aplicará inmediatamente a su sitio de SharePoint. En el caso de mi ejemplo, he aplicado Strong MFA y la política Block Download MCAS.

Si es la primera vez que un usuario configura MFA, aparecerá la siguiente pantalla para inscribirse en la aplicación Microsoft Authenticator.

Una vez completados, serán llevados al sitio donde aparecerá el mensaje de acceso monitoreado de Microsoft Cloud App Security.

Sin embargo, si su usuario no utiliza la aplicación Microsoft Authenticator u otro método MFA seguro, se le restringirá el acceso a los sitios específicos.

Si ha aplicado la etiqueta de confidencialidad o el contexto de autenticación directamente a un sitio de Teams, obtendrá la misma experiencia al intentar acceder al sitio a través de la pestaña Archivos dentro del cliente de escritorio o la aplicación web de Teams.