Administre los permisos de SharePoint como un profesional
Como administrador de TI o de SharePoint, debe administrar la seguridad de su granja, incluido el aprovisionamiento adecuado de las cuentas de servicio y los usuarios finales que requieren acceso a SharePoint. Aquí, exploramos cómo funcionan los permisos en SharePoint y las mejores prácticas para usarlos para maximizar la seguridad y adopción de SharePoint.
Comprender la autenticación y autorización de SharePoint
El control de acceso se basa en la autenticación (verificar que el usuario es quien dice ser) y la autorización (determinar a qué debe tener acceso el usuario). SharePoint realiza la autorización, pero no realiza ninguna autenticación; depende de los Servicios de información de Internet (IIS) subyacentes y de los proveedores de autenticación para manejarlo.
Desde SharePoint 2010, la autenticación estándar ha sido la autenticación basada en notificaciones. Existen diferentes tipos de autenticación basada en notificaciones; Los estándares de la industria son WS-Federation, Security Assertion Markup Language (SAML) y OAuth. Sin embargo, Microsoft incorporó a SharePoint un motor de notificaciones, el Security Token Service (STS), que puede comprender muchos enfoques de autenticación diferentes. Desde el primer momento, SharePoint admite la autenticación estándar de Windows (NTLM, básica y Kerberos), la autenticación basada en formularios (FBA) y SAML.
Entidades a las que se les pueden conceder permisos
La autorización en SharePoint está controlada por los permisos asignados a las siguientes entidades:
- Grupos de directorio activo
- Roles proporcionados por la autenticación basada en formularios
- Atributos SAML
- Grupos de SharePoint
- Un usuario específico (aunque las mejores prácticas recomiendan no asignar permisos en este nivel en SharePoint)
Objetos para los que se pueden conceder permisos
SharePoint admite permisos para muchos tipos de objetos:
- Granja
- Solicitud de servicio
- Aplicación web
- Colección de sitios
- Sitio
- Lista
- Biblioteca
- Carpeta
- Artículo
Para todos estos objetos, puede asignar permisos a las entidades enumeradas en la sección anterior, como grupos de seguridad, roles, atributos o usuarios específicos de SharePoint. (Sin embargo, como se señaló anteriormente, la mejor práctica es utilizar grupos o roles de seguridad para asignar permisos de usuario en lugar de agregar permisos directamente a una cuenta de usuario).
Las asignaciones de permisos para un objeto determinan si se concede o bloquea el acceso a él. Un usuario típico de SharePoint no tendría, por ejemplo, acceso a nivel de granja de servidores, aplicación de servicio o incluso aplicación web; en su lugar, se les otorgarían permisos para los datos en el nivel de colección de sitios o inferior utilizando los grupos de permisos de SharePoint correspondientes.
Tenga en cuenta que las mejores prácticas también recomiendan evitar asignar permisos a nivel de elemento de SharePoint tanto como sea posible porque complica la administración y puede generar descuidos de seguridad. A menudo, puede simplemente agrupar elementos en listas de SharePoint, bibliotecas de documentos o carpetas a las que se les asignan los permisos necesarios. Sin embargo, a veces se pueden requerir permisos a nivel de elemento para satisfacer necesidades específicas, especialmente en ausencia de una solución de gestión de derechos de terceros. Si los permisos personalizados a nivel de elemento son la única opción para satisfacer las necesidades comerciales, entonces los administradores deben limitar su uso a ubicaciones particulares y crear un flujo de trabajo estricto en torno a ellos, documentando y revisando cuándo se otorgaron o cambiaron los permisos a nivel de elemento y quién lo hizo.
Cómo asignar y editar permisos de SharePoint
La capacidad de administrar permisos para recursos de SharePoint se limita principalmente a los miembros de los administradores de la colección de sitios (que pueden administrar el sitio raíz y todos sus subsitios) y a los grupos de propietarios del sitio (que pueden administrar subsitios específicos). Sin embargo, cualquier usuario final puede editar los permisos del contenido y las ubicaciones que posee.
Para modificar los permisos de una colección de sitios o un sitio, los administradores de la colección de sitios o los propietarios del sitio deben elegir "Configuración del sitio" y editar los permisos de SharePoint; Se puede acceder a permisos de nivel inferior, como permisos para bibliotecas o listas de documentos, desde las páginas de configuración para esos objetos asegurables específicos.
Comprender y utilizar los niveles de permisos
Niveles de permisos predeterminados
SharePoint utiliza niveles de permiso para controlar el acceso a los objetos. Hay diez niveles de permisos predeterminados:
- Control total
- Contribuir
- Leer
- Diseño
- Editar
- Acceso limitado
- Aprobar
- Administrar jerarquía
- Lectura restringida
- Sólo vista
Cada nivel de permiso es un contenedor para permisos individuales. Por ejemplo:
- El nivel de permiso de lectura incluye estos permisos: Abrir, Ver, Versiones, Página, Páginas de aplicaciones, Información de usuario, Crear alertas, Creación de sitios de autoservicio, Interfaces remotas y funciones de integración UseClient.
- El nivel de permiso Contribuir incluye todos los permisos en el nivel de Lectura más Ver, Agregar, Actualizar, Eliminar, Versiones, Explorar directorios, Editar información de usuario, Administrar vistas personales, Agregar, actualizar o eliminar elementos web.
- El permiso Control total incluye todos los subpermisos de lectura y contribución, además de extras.
Normalmente, a los usuarios finales se les asigna acceso de Contribute a los sitios privados que utilizan activamente y acceso de Solo visualización a todo lo demás.
Niveles de permisos personalizados
SharePoint no incluye todos los niveles de permiso que una organización pueda necesitar, por lo que le permite personalizar los niveles de permisos y crear otros nuevos, ya sea desde cero o clonando un nivel de permiso existente y realizando cambios en los permisos. Tener conjuntos de permisos granulares personalizados le permite controlar mejor lo que los usuarios finales pueden hacer sin todas las complicaciones y riesgos de asignar permisos directamente a usuarios individuales.
Personalizar un nivel de permiso existente
Navegue a la página "Configuración del sitio", haga clic en "Permisos del sitio" y haga clic en el menú "Niveles de permiso". Para personalizar un nivel de permiso existente, haga clic en su nombre en la página "Niveles de permiso". En la página "Editar nivel de permiso", cambie la descripción y agregue o elimine permisos según sea necesario.
Creando un nuevo nivel de permiso personalizado desde cero
Para crear un nuevo nivel de permiso personalizado, debe iniciar sesión como administrador de la granja de servidores de SharePoint, administrador de la colección de sitios o propietario del sitio. Navegue a la página "Configuración del sitio" y haga clic en "Permisos del sitio". A continuación, haga clic en el elemento del menú "Niveles de permiso":
En la página "Agregar un nivel de permiso", ingrese el nombre del nuevo nivel de permiso y una descripción. Luego seleccione las casillas de verificación junto a la lista, el sitio y los permisos personales que desea que incluya el nuevo nivel de permiso. Por último, haga clic en "Crear".
Crear un nuevo nivel de permiso personalizado mediante clonación
Para clonar un nivel de permiso existente, acceda a la misma ubicación, vaya a la página "Niveles de permiso" y luego haga clic en el nivel de permiso que desea clonar.
Luego haga clic en el botón "Copiar nivel de permiso", asigne un nombre al nuevo nivel de permiso, modifíquelo según sea necesario y luego guárdelo.
Comprender la herencia de permisos
La configuración de permisos de un elemento en una colección de sitios se pasa a los elementos secundarios de ese elemento: los sitios heredan permisos del sitio raíz de la colección de sitios, las bibliotecas heredan del sitio que contiene la biblioteca, etc. La herencia de permisos le permite realizar una asignación de permisos una vez en un nivel alto y hacer que fluya a niveles inferiores.
Como puedes imaginar, este modelo no cumple con todos los requisitos de seguridad. Por ejemplo, es posible que varios usuarios necesiten acceso a una determinada biblioteca de documentos, pero solo unos pocos deberían poder leer uno de los documentos de esa biblioteca. Del mismo modo, es posible que también necesites:
- Permisos de subsitio que difieren de los de la colección de sitios principal
- Permisos de lista o biblioteca que varían de los del sitio principal
- Permisos de carpeta que difieren de los de la biblioteca principal
- Permisos de archivos que son diferentes de los de la biblioteca o carpeta principal
Rompiendo la herencia de permisos
Actualmente, la única forma de lograr estos objetivos es romper la herencia del elemento específico. Edita los permisos de usuario según sea necesario, eliminando aquellos permisos que no son necesarios. Esta estrategia es eficaz, pero asignar permisos únicos a cuentas de usuario específicas genera dolores de cabeza en la gestión y puede introducir brechas de seguridad. Por lo tanto, debes evitar romper la herencia siempre que sea posible.
Para romper la herencia de un objeto determinado, seleccione el objeto donde desea romper la herencia, elija "Dejar de heredar permisos" y luego elimine o agregue usuarios o grupos según sea necesario.
Configurar correctamente los permisos de SharePoint y administrarlos de manera efectiva puede hacer o deshacer su inversión en Microsoft SharePoint: demasiadas restricciones pueden llevar a una menor adopción, pero el acceso ilimitado puede generar un entorno desordenado y problemas de seguridad. Obtener el equilibrio adecuado requiere una planificación cuidadosa antes de la implementación de SharePoint, junto con revisiones periódicas y evaluaciones de riesgos posteriores para garantizar la integridad y utilidad de la granja de SharePoint.