Cómo impedir que usuarios externos descarguen archivos de Teams

Hoy en día, compartir datos y colaborar en documentos con usuarios externos a su organización es un requisito esencial para muchas empresas. Es posible que sus usuarios quieran compartir documentos, informes, archivos de proyectos, imágenes o incluso archivos de video con clientes o usuarios externos y esto debe fomentarse con capacitación.

Al permitir que sus usuarios trabajen con partes externas desde el ámbito de sus sistemas administrados por la empresa, está minimizando su deseo de utilizar herramientas de terceros como Dropbox o WeTransfer para mover datos confidenciales donde no se habría pensado adecuadamente.

En este tutorial, le mostraré cómo usar el acceso condicional con Cloud App Security en Azure Active Directory para evitar que usuarios externos descarguen datos de Microsoft Teams y otros servicios de Office 365.

Requisitos

Desafortunadamente, sabemos que no hay obsequios relacionados con servicios valiosos en Azure. Para utilizar Acceso condicional y Cloud App Security debe tener una de las siguientes licencias:

• Azure AD Premium P1
• Microsoft Defender para aplicaciones en la nube

Aunque Azure AD Premium P1 incluye Cloud App Discovery, esto es solo para brindarle información más profunda sobre el uso de las aplicaciones en la nube en su entorno. Aún necesitará Microsoft Defender para aplicaciones en la nube para aplicar políticas en tiempo real y, en este caso, bloquear las descargas.

Bloquear a usuarios externos para que no descarguen archivos de Teams y SharePoint

Veamos cómo implementar la solución para impedir que usuarios externos descarguen archivos de Microsoft Teams y SharePoint.

1. Comience iniciando sesión en Azure Active Directory y luego seleccione Azure Active Directory > Seguridad.

2. Bajo el encabezado Proteger , seleccione Acceso condicional.

3. Seleccione Nueva política para iniciar el asistente de creación de políticas de acceso condicional.

4. Defina un nombre significativo para su política y seleccione las asignaciones del usuario. Una vez que aparezca la ventana a la derecha, haga clic en Seleccionar usuarios y grupos, marque la casilla junto a Usuarios invitados o externos y seleccione todos los tipos de usuarios en la lista desplegable disponible. Por último, marque Todos para aplicar a organizaciones de AD externas a la aplicación.

5. Junto a aplicaciones o acciones en la nube, haga clic en Seleccionar aplicaciones y elija la aplicación Office 365. Esto incluye todos los servicios en la nube de Office 365, incluidos SharePoint y Teams.

La aplicación Office 365 incluye las siguientes aplicaciones: (también puede seleccionar la aplicación individual que más le convenga)

6. En Controles de acceso, seleccione lo siguiente Otorgar control para permitir que usuarios externos accedan a Office 365, Requerir autenticación multifactor. Esto garantizará que cualquier usuario externo deba configurar la autenticación multifactor (según su política de MFA).

7. En la página de controles de sesión, marque la casilla junto a Usar control de aplicaciones de acceso condicional y seleccione Bloquear descargas en la lista desplegable.

8. Por último, puede configurar la política en Activada y hacer clic en Crear.

Bloquear a usuarios externos para que no inicien sesión en aplicaciones de escritorio

Con la primera política de acceso condicional, evitamos la descarga de archivos de SharePoint y Teams a través de un navegador web. Sin embargo, un problema que tenemos es que los usuarios aún pueden abrir Team desde la aplicación de escritorio de Teams y desde allí descargar los archivos.

Para crear la siguiente política, siga los pasos 1 > 5 anteriores para crear una política similar.

6. En la sección Condiciones , seleccione Aplicaciones cliente.

7. Haga clic en Sí en Configurar y luego seleccione todas las opciones excepto la opción Navegador .

8. En la sección Controles de acceso, seleccione Bloquear acceso.

9. Por último, establezca la política en Activada y haga clic en Crear.

Cómo es la experiencia del usuario final

Una vez que la política esté implementada, puede esperar que las restricciones se apliquen una vez que se actualice la sesión actual de los usuarios externos, o instantáneamente para los usuarios externos que inicien sesión.

Cuando el usuario externo hace clic en la invitación para abrir el Equipo al que ha sido agregado, se le pedirá que se registre para la autenticación Multi-Factor; una vez registrado, deberá aprobar el inicio de sesión para acceder al Equipo.

Antes de que puedan acceder a los datos compartidos, también se les notificará que su sesión está siendo monitoreada y que solo podrán acceder a ella desde un navegador web. (Sin embargo, esto no es cierto, el usuario aún podrá acceder y descargar archivos desde el cliente de escritorio de Teams de forma predeterminada. Creamos la política de acceso condicional adicional para bloquear este comportamiento).

Ahora que el usuario puede acceder a los datos compartidos de Teams en la web, si intenta descargar los datos recibirá el siguiente aviso.

Además, para que el usuario acceda a los archivos desde Teams, deberá elegir la opción para iniciar la aplicación de escritorio al elegir abrir el Team desde su correo electrónico de invitación, o puede cambiar a su cuenta de invitado desde Teams seleccionando su icono en la parte superior derecha y eligiendo (Organización (Invitado)). De cualquier manera, cuando intenten iniciar sesión en la aplicación de escritorio verán el siguiente error.