Configurar SharePoint con una etiqueta de confidencialidad para ampliar los permisos a los documentos descargados

Descripción del servicio de Microsoft Purview

Cuando SharePoint está habilitado para etiquetas de confidencialidad, puede configurar bibliotecas de documentos para ampliar los permisos del sitio de SharePoint existentes a los documentos cuando se descarguen desde la biblioteca. De esta manera, los archivos sin etiquetar anteriormente de dicha biblioteca seguirán estando protegidos con los permisos actuales de SharePoint para el usuario, aunque los archivos hayan salido del límite de SharePoint original.

Por ejemplo, seleccione la etiqueta Confidencial\Trusted People como etiqueta de confidencialidad para ampliar los permisos de una biblioteca de documentos. En esa biblioteca, un sitio está configurado para permitir solo permisos de lectura a un grupo específico de usuarios. Un usuario de ese grupo descarga un archivo del sitio y ese archivo ahora se etiqueta como Confidential \ Trusted People. Aunque el archivo ya no esté en SharePoint, el usuario solo podrá ver y no editar el contenido ni quitar la etiqueta. Solo los usuarios con acceso al archivo en SharePoint tienen acceso al archivo descargado. Los usuarios sin acceso al archivo en SharePoint no podrán abrir el archivo descargado, independientemente de dónde esté almacenado.

Además, el archivo tiene una capa de protección Just-In-Time, ya que el usuario que descargó el archivo tampoco podrá abrirlo en las siguientes circunstancias:

  • Los permisos de ese usuario se quitan del archivo
  • El archivo se elimina del sitio
  • El sitio ya no está activo
  • El archivo se ha movido a un sitio diferente

Si se cambian los permisos de SharePoint para el usuario, esos cambios se reflejan para el archivo descargado.

Cuando estos archivos etiquetados están en la biblioteca de documentos, también están protegidos contra las acciones de copiar y mover:

  • Los archivos no se pueden copiar ni mover a un sitio diferente.
  • Los archivos se pueden copiar o mover a una biblioteca de documentos diferente dentro del mismo sitio solo si el usuario tiene permisos de SharePoint para crear o eliminar listas.

La etiqueta de confidencialidad especificada se aplica a todos los archivos que no están etiquetados y a los archivos etiquetados, pero que en la configuración de etiquetas no se aplica el cifrado. Los Files que se sincronizan con OneDrive también se etiquetan.

Para los archivos existentes etiquetados pero no cifrados, una etiqueta aplicada manualmente también se reemplaza por la etiqueta especificada. Para obtener un resumen rápido de los posibles resultados, consulte ¿Se anulará una etiqueta existente en esta página?

Dado que los archivos sin cifrar se pueden volver a etiquetar, esta configuración de etiquetado es adecuada para organizaciones que se encuentran en una fase temprana de la implementación del etiquetado y aún no han etiquetado archivos en sitios de SharePoint con otros métodos.

¿Se invalidará una etiqueta ya existente?

Resumen de los resultados:

Etiqueta ya existente Invalidar con etiqueta de biblioteca para ampliar los permisos
Etiqueta aplicada mediante cualquier método (manual, automático, etiqueta predeterminada de la directiva) y la configuración de etiquetas no aplica cifrado, ninguna prioridad Sí
La etiqueta se aplica mediante cualquier método (manual, automático, etiqueta predeterminada de la directiva) y la configuración de etiquetas aplica el cifrado, cualquier prioridad No

Requisitos

Si necesita revisar una lista de tipos de archivo compatibles con etiquetas de confidencialidad en SharePoint, vea Tipos de archivo compatibles.

Asignación de permisos de SharePoint a derechos de uso

Use la tabla siguiente para comprender cómo se amplían los permisos de SharePoint de un usuario a los derechos de uso y los niveles de permisos de Rights Management cuando se descarga un archivo, o se copia y se mueve fuera del sitio.

Permiso de SharePoint Derechos de uso aplicados Niveles de permisos
Owner Control total sobre el contenido, todos los permisos y la etiqueta de confidencialidad aplicada:

VER, EXTRAER, DOCEDIT, EDITAR, EXPORTAR, COMENTAR, IMPRIMIR, REENVIAR, RESPONDER, REPLYALL, VIEWRIGHTSDATA, EDITRIGHTSDATA, OBJMODEL *, PROPIETARIO *		 Owner
Edit Control total sobre el contenido, pero no se puede cambiar la etiqueta de confidencialidad aplicada:

VER, EXTRAER, DOCEDIT, EDITAR, EXPORTAR, COMENTAR, IMPRIMIR, REENVIAR, RESPONDER, REPLYALL, VIEWRIGHTSDATA		 Editor
Read Puede ver y copiar el contenido, pero no puede cambiar el contenido ni la etiqueta de confidencialidad aplicada:

VIEW, VIEWRIGHTSDATA, EXTRACT		 Sin nivel de permisos equivalente, el Visor es el más cercano

* Actualmente, estos derechos de uso no se aplican y, como resultado, el usuario puede cambiar la etiqueta de confidencialidad, pero no puede quitarla.

Limitaciones

Las siguientes limitaciones se aplican al usar esta configuración:

  • Los usuarios no pueden aplicar manualmente etiquetas de confidencialidad que no estén configuradas para aplicar el cifrado.

  • Los usuarios no podrán abrir archivos descargados sin conexión; Deben poder conectarse al sitio original.

  • Los usuarios no podrán abrir los archivos descargados si se eliminan el sitio, carpeta o archivo original de SharePoint.

  • Los Files etiquetados con esta configuración no se pueden mover ni copiar a otro sitio.

  • Los Files etiquetados con esta configuración no admiten la opción Guardar como y no se guardarán con esta opción a menos que sean las versiones mínimas que incluyan mejoras en el lado del cliente:

    • Windows: versión 2601+ en el Canal actual y el Canal mensual para empresas
    • macOS: Versión 16.103+
    • iOS: Versión 2.103+
    • Android: versión 16.0.19426+

  • Los Files etiquetados con esta configuración solo se pueden mover o copiar a otra biblioteca de documentos dentro del mismo sitio si los usuarios tienen permisos de SharePoint para crear o eliminar listas. La etiqueta no se conserva para el archivo copiado o movido.

  • Esta configuración puede invalidar una etiqueta aplicada manualmente anteriormente si la etiqueta no está configurada para aplicar el cifrado.

  • Microsoft 365 Copilot puede hacer referencia a los archivos etiquetados si los usuarios tienen permisos de lectura de SharePoint para ellos, pero no resumirá estos archivos. Como los archivos no se pueden resumir, Copilot tampoco puede usarlos para generar contenido nuevo.

Nota:

Al igual que con todos los archivos cifrados con Azure Rights Management, un superusuario puede abrir documentos cifrados si es necesario porque ya no se puede acceder a la ubicación original.

Cómo configurar una biblioteca de documentos de SharePoint para una etiqueta de confidencialidad que amplía los permisos a los documentos descargados

Esta configuración primero requiere que habilite la funcionalidad para el inquilino mediante PowerShell con el Shell de administración de SharePoint Online. A continuación, aparecerá una nueva casilla de verificación para la configuración de la biblioteca de documentos.

Ejecute el comando PowerShell para habilitar la compatibilidad con la ampliación de permisos de SharePoint

Asegúrese de que ejecuta el Shell de administración de SharePoint Online versión 16.0.25430.12000 o posterior.

Para habilitar las nuevas funcionalidades, use el cmdlet Set-SPOTenant con el parámetro ExtendPermissionsToUnprotectedFiles :

  1. Con una cuenta profesional o educativa que tenga privilegios de administrador de SharePoint en Microsoft 365, conéctese a SharePoint. Para saber cómo hacerlo, consulte Introducción al Shell de administración de SharePoint Online.

    Nota:

    Si tiene Microsoft 365 Multi-Geo, use el parámetro -Url con Connect-SPOService y especifique la dirección URL del sitio del Centro de administración de SharePoint Online para una de sus ubicaciones geográficas.

  2. Ejecute el siguiente comando y presione Y para confirmar:

    Set-SPOTenant -ExtendPermissionsToUnprotectedFiles $true

    Si ve un error en el que se le informa de que la característica no está habilitada, lo más probable es que se deba a que el lanzamiento aún no ha llegado a su espacio empresarial.

  3. Para Microsoft 365 Multi-Geo: Repita los pasos 1 y 2 para cada una de las ubicaciones geográficas restantes.

Al igual que con todos los cambios de configuración a nivel de inquilino para SharePoint, el cambio tarda unos 15 minutos en surtir efecto.

Configurar las bibliotecas de documentos de SharePoint con una etiqueta predeterminada para ampliar los permisos

Para cada biblioteca de documentos de SharePoint que desee tener esta configuración, siga las instrucciones para Agregar una etiqueta de confidencialidad a la biblioteca de documentos de SharePoint y active la casilla Ampliar la protección al descargar, copiar o mover:

Casilla Ampliar permisos para la etiqueta de confidencialidad predeterminada de la biblioteca de SharePoint.

No verá esta casilla hasta que se haya completado el comando de PowerShell anterior.

Después de seleccionar una etiqueta de confidencialidad que aplique cifrado con permisos definidos por el usuario, guarde la configuración.

Nota:

Esta característica es mutuamente excluyente con la opción de seleccionar una etiqueta de confidencialidad predeterminada para una biblioteca de documentos de SharePoint que admita etiquetas de confidencialidad sin cifrado y etiquetas de confidencialidad configuradas con la opción Asignar permisos ahora (a veces denominadas "permisos definidos por el administrador").

La etiqueta de confidencialidad seleccionada se aplicará a todos los archivos que no estén etiquetados y a los archivos etiquetados, pero que la configuración de la etiqueta no aplique cifrado. La columna Confidencialidad de la biblioteca de documentos muestra la etiqueta seleccionada para los archivos existentes, nuevos y editados. Los usuarios ven la etiqueta seleccionada cuando abren el archivo para editarlo, pero no experimentarán ningún cambio en los permisos como resultado de la etiqueta.

Una vez configurada la biblioteca con la etiqueta de confidencialidad, todos los archivos existentes se resincronizarán si la biblioteca se sincroniza a través del cliente de sincronización de OneDrive. El proceso de resincronización puede tardar un tiempo y, hasta que se complete, no se aplicará la protección extendida.

Importante

En la biblioteca de documentos de SharePoint que ha configurado para la etiqueta de confidencialidad, los usuarios no pueden quitar la etiqueta de confidencialidad aplicada en sus aplicaciones de Office y solo pueden cambiarla si la etiqueta de reemplazo aplica cifrado.

Supervisión de la aplicación de la etiqueta de confidencialidad que amplía los permisos de SharePoint

Dado que esta configuración amplía la funcionalidad de una etiqueta de confidencialidad predeterminada para una biblioteca de documentos, puede supervisar su configuración de la misma manera. El GUID de etiqueta de confidencialidad identificará la configuración de cifrado de los permisos definidos por el usuario. No hay ningún evento de auditoría de etiquetado independiente para cuando se descarga, copia o mueve un archivo.

Cómo desactivar esta característica

Si desea que una biblioteca de documentos de SharePoint específica ya no amplíe los permisos con una etiqueta de confidencialidad, desactive la casilla Ampliar protección al descargar, copiar o mover como configuración de la biblioteca de documentos de SharePoint. Luego:

  • Los Files de la biblioteca de documentos que se etiquetaron previamente con esta configuración revertirán a su etiqueta original que no aplicaba cifrado o sin etiquetar si ese era su estado original antes de activar la casilla.

  • Los Files sincronizados con OneDrive se resincronizarán y, de forma similar, volverán a su estado anterior de la etiqueta. El proceso de resincronización puede tardar un tiempo y, hasta que se complete, la protección ampliada permanecerá.

  • Los archivos etiquetados que ahora se descargan conservan su etiqueta.

Si desea desactivar esta característica en el nivel de inquilino cuando se haya habilitado y configurado previamente, primero desactive la casilla Extender protección al descargar, copiar o mover de todas las bibliotecas de documentos donde se haya seleccionado. A continuación, use el mismo cmdlet Set-SPOTenant con el parámetro ExtendPermissionsToUnprotectedFiles , pero establezca el valor en false. Luego:

  • La casilla Ampliar protección al descargar, copiar o mover ya no está visible como configuración de la biblioteca de documentos de SharePoint.

Si desactiva la característica en el nivel de inquilino sin desactivar primero la casilla de verificación de una biblioteca de documentos, la configuración se mantiene, pero sin la casilla para desactivarla.

En este escenario, para desactivar la configuración, ejecute el comando PowerShell para habilitar la compatibilidad con la extensión de permisos de SharePoint para mostrar la casilla de verificación de nuevo, de modo que pueda borrarla. Si no desea volver a habilitar el soporte técnico en el nivel de inquilino, póngase en contacto con el Soporte técnico de Microsoft para que le explique los comandos de PowerShell para quitar la configuración de una biblioteca de documentos específica.

Pasos siguientes

Aunque esta configuración proporciona protección inmediata a escala para los archivos almacenados en SharePoint, no tiene en cuenta el contenido del archivo que podría requerir un nivel mayor de protección. Considera complementar este método de etiquetado con un etiquetado automático que use la inspección de contenido para aplicar etiquetas de confidencialidad con cifrado.

Introducción a la administración avanzada de Microsoft Syntex

  • Se actualizó por última vez el