Administrar ámbitos de permisos en SharePoint

La administración eficaz de permisos en SharePoint es esencial para la seguridad y el acceso adecuado del usuario. A medida que aumenta el número de documentos en sitios de SharePoint, el diseño deficiente y la implementación pueden conducir rápidamente a límites de ámbito de permisos, lo que afecta negativamente al rendimiento. En este artículo se explican los ámbitos de permisos y los mecanismos de control de acceso y se ofrecen procedimientos recomendados para diseñar y administrar ámbitos de permisos de forma eficaz en SharePoint. En primer lugar, vamos a revisar algunos componentes clave relacionados con los ámbitos de permisos.

Conceptos y componentes clave

• lista de Access Control — Una lista de Access Control (ACL) se compone de un conjunto de entradas de Access Control (ACE).
• entrada de Access Control: una entrada de Access Control (ACE) en SharePoint es una combinación de una entidad de seguridad y una máscara de derechos (lectura, lectura y escritura).
• Entidad de seguridad: una entidad de seguridad puede ser un usuario individual o un grupo. Si un grupo está presente en una ACE dentro de una ACL, a todos los miembros de ese grupo se les concede el nivel de permiso especificado por la ACE.
• Ámbito de permiso: un ámbito de permiso es un objeto protegido de forma única. Esto significa que su ACL se puede establecer de forma diferente de su elemento primario. Los archivos y carpetas pueden tener los mismos permisos si forman parte del mismo árbol de directorios. Puede tener hasta 50 000 ACL únicas dentro de una biblioteca de documentos, pero para obtener el mejor rendimiento se recomienda mantenerla por debajo de 5000.
• Herencia de permisos: de forma predeterminada, una colección de sitios contiene varios sitios. Cada sitio puede tener una o varias listas y bibliotecas de documentos, todos los cuales heredan sus permisos de la colección de sitios. De forma similar, las carpetas, listas y documentos heredan permisos del objeto primario que los contiene. Para obtener más información, vea Personalizar permisos para una lista o biblioteca de SharePoint.
• Permisos únicos: de forma predeterminada, un archivo o carpeta hereda los permisos de la biblioteca o carpeta que lo contiene. Cuando se asigna a un archivo "permisos únicos", deja de heredar permisos de su elemento primario y puede tener sus permisos establecidos de forma independiente. Esto significa que el archivo o carpeta ahora tiene su propio ámbito de permiso.

Ámbito de permisos y herencia de permisos

En SharePoint, las ACL se usan para administrar permisos para objetos (archivos y carpetas). Cada ACL consta de varias ACE, que especifican los permisos para una entidad de seguridad.

Cuando se crea una biblioteca de documentos, tiene un único ámbito de permiso, lo que significa que todos los archivos y carpetas de la biblioteca de documentos heredan su ACL de la raíz de la biblioteca de documentos y comparten los mismos permisos. El recuento de ámbito inicial es 1.

Interrumpir herencia

Si se interrumpe la herencia en un archivo o carpeta, se crea un nuevo ámbito de permisos, lo que aumenta el número de ámbitos en 1.

Puede interrumpir la herencia mediante dos métodos:

• Puede interrumpir la herencia manualmente si va a la configuración de la biblioteca.
• Si comparte un archivo o carpeta, esta acción interrumpe la herencia de permisos en el archivo o carpeta, lo que permite que su ACL (y el contenido de la carpeta) difiera de su elemento primario.

En este artículo se describen las implicaciones de interrumpir la herencia mediante el segundo método y se describen los procedimientos recomendados para minimizar la adición de recuentos de ámbito excesivos en una biblioteca.

Por ejemplo, si crea una biblioteca de documentos, después crea una carpeta, comparte la carpeta (que interrumpe la herencia) y carga 75 000 archivos en la carpeta, el número de ámbitos de la biblioteca de documentos es 2. Esto se debe a que los 75 000 archivos de la carpeta comparten el ámbito de permisos de la carpeta y, por tanto, su ACL. Solo hay dos ACL únicas en la biblioteca de documentos: la ACL en la raíz y la ACL en la carpeta. Si crea varios archivos y comparte cada uno de ellos individualmente con un usuario, agrega un recuento de ámbitos cada vez. Para evitar esto, coloque todos los archivos en la misma carpeta y comparta la carpeta en su lugar.

Uso compartido de carpetas con recuentos de elementos grandes

Una carpeta solo puede interrumpir su herencia si tiene 100 000 o menos elementos. Si una carpeta supera este límite y no se comparte de forma única, no se puede compartir de forma única más adelante. Por lo tanto, comparta carpetas grandes antes de alcanzar los 100 000 elementos. Lo ideal es compartir una carpeta cuando contenga cero elementos si sabe que necesita un uso compartido único.

ACL compartidas para archivos con permisos heredados

Si dos archivos tienen la ACL equivalente porque ambos heredan de la carpeta primaria, comparten una ACL. Solo cuenta la carpeta primaria. Sin embargo, si dos archivos tienen la misma ACL porque se compartieron por separado con las mismas entidades de seguridad, tendrán dos ámbitos de permisos con permisos idénticos.

Impacto de la herencia importante en el recuento de ámbitos

Si una carpeta tiene dos archivos y los comparte con un usuario, esto le costará tres ámbitos: uno para la carpeta primaria y otro para cada uno de los archivos que se compartieron individualmente. No importa que haya compartido ambos archivos con el usuario y que las ACL de los archivos sean idénticas. Una vez que se interrumpe la herencia de un archivo o carpeta de su elemento primario, se crea un ámbito único.

Uso compartido eficaz para evitar superar los límites de ámbito

Si tiene 10 000 archivos que desea compartir con un usuario y comparte cada archivo de forma individual, esto costará 10 000 ámbitos, lo que degradará el rendimiento, ya que ha superado el límite recomendado de 5000. Sin embargo, si crea una carpeta, comparte la carpeta con el usuario y, a continuación, mueve los 10 000 archivos a esa carpeta, solo te costará un ámbito adicional (para la carpeta). Si previamente hubiera compartido cada uno de esos 10 000 archivos individualmente, uno por uno, y los hubiera mover a una carpeta común que tenga una ACL idéntica, habría superado el límite (el sistema no "limpia" estos permisos en su nombre mediante la restauración de la herencia de permisos).

Descripción del límite de ámbito

El límite recomendado de 5000 acl significa que puede tener hasta 5000 ACL únicas. No significa que solo pueda tener 5000 archivos o carpetas con ACL. Si dos archivos heredan la misma ACL de su carpeta primaria, comparten esa ACL. En este caso, solo la ACL de la carpeta primaria cuenta hacia el límite. Sin embargo, si dos archivos tienen la misma ACL, pero se establecen explícitamente, no a través de la herencia de su carpeta primaria, la ACL de cada archivo, más la ACL de la carpeta primaria, cuenta hacia el límite. El rendimiento real puede variar en función de factores como el tamaño de las ACL. Si las ACL son pequeñas (menos de 10 ACE por ACL), puede superar los 5000 ámbitos sin encontrar problemas. Sin embargo, con ACL más grandes (hasta 5000 ACE), es posible que experimente problemas de rendimiento antes de alcanzar el límite.

Escenarios de ejemplo

Escenario: Uso compartido de archivos

El uso compartido de dos archivos en una carpeta con un solo usuario usa tres ámbitos: uno para la carpeta primaria y otro para cada uno de los dos archivos. Aunque ambos archivos se comparten con el mismo usuario y tienen la misma ACL, al romper la herencia de la carpeta primaria se crean ámbitos únicos. Por lo tanto, si tiene 10 000 archivos para compartir con el usuario y compartir cada uno de ellos individualmente, requiere 10 000 ámbitos adicionales. Sin embargo, si coloca todos los archivos en una sola carpeta, comparta esa carpeta con el usuario y, a continuación, mueva los archivos a la carpeta, solo necesitará un ámbito adicional para la carpeta. Un punto importante a tener en cuenta es la coautoría. Si un usuario está trabajando en un archivo en Microsoft Word y quiere coautor con alguien, puede invitarlo si el archivo está en SharePoint. Al hacerlo, se usa una de las ACL restantes disponibles. Este es un factor adicional que se debe tener en cuenta.

Escenario: Movimiento de archivos

Imagine una situación en la que se han compartido 10 000 archivos con un individuo uno por uno. Si estos archivos se mueven más adelante a una sola carpeta, el sistema no consolida automáticamente las entradas de permisos para aplicar solo los permisos de la carpeta. En su lugar, los permisos permanecen desordenados a menos que el usuario los corrija manualmente. Esto se debe a que la restauración automática de la jerarquía de permisos no se implementa debido a problemas de seguridad. En este escenario, antes de mover los archivos, el destinatario puede ver cada uno de los 10 000 archivos compartidos individualmente con ellos. Después de mover los archivos a una carpeta, el destinatario todavía puede ver los 10 000 archivos junto con la carpeta contenedora, lo que cambia la estructura de acceso. Esto significa que, sin la limpieza manual, el uso compartido extensivo de OneDrive podría provocar problemas de rendimiento o incluso errores operativos una vez alcanzado el límite de 50 000 elementos. Sin embargo, una administración cuidadosa, donde los archivos se organizan en carpetas con acl coincidentes, puede ayudar a mitigar estos problemas. También es importante tener en cuenta que exponer la jerarquía de carpetas real a los usuarios puede ser indeseable, especialmente cuando se usan metadatos para representar todo en lugar de carpetas tradicionales.

Escenario: Creación de una biblioteca de documentos con ámbitos mínimos

Cree una biblioteca de documentos que tenga un único ámbito de permiso, lo que significa que todos los elementos que contiene inicialmente comparten la misma configuración de control de acceso. A continuación, agregue una carpeta a esta biblioteca de documentos. Para compartir esta carpeta con individuos o grupos específicos, se interrumpe la herencia de permisos de la biblioteca de documentos. Esta acción crea un nuevo ámbito de permisos único para la carpeta, lo que le permite establecer controles de acceso diferentes a los aplicados a la biblioteca de documentos. Con los permisos de la carpeta establecidos, procede a cargar 75 000 archivos en esta carpeta. Cada uno de estos archivos hereda la ACL de la carpeta, lo que garantiza que todos tienen los mismos permisos que la propia carpeta. Como resultado, la biblioteca de documentos ahora tiene dos ámbitos de permisos únicos: uno para la raíz de la biblioteca de documentos y otro para la carpeta. Esta configuración permite un control más pormenorizado sobre quién puede acceder a los archivos de la carpeta, a la vez que se mantiene una estructura de permisos más sencilla para el resto de la biblioteca de documentos.

Escenario: Administración de permisos para varias carpetas

Para asignar de forma eficaz categorías a carpetas, decide crear 20 carpetas dentro de cada biblioteca de documentos. Cada una de estas carpetas se designa para un tipo específico de documento, como contratos o facturas, lo que permite una mejor organización y un acceso más fácil. Para asegurarse de que cada carpeta tiene sus propios permisos únicos, configure la configuración de ACL individual para cada una de ellas. Esto da como resultado un total de 21 ámbitos de permisos únicos dentro de la biblioteca de documentos: uno para la raíz de la biblioteca de documentos y otro para cada una de las 20 carpetas. Al hacerlo, puede controlar quién tiene acceso a cada categoría de archivos, proporcionando una estructura más segura y organizada. Para evitar problemas de rendimiento y mantenerse dentro de los límites del sistema, minimice el número de archivos individuales con permisos únicos. Esto significa que la mayoría de los archivos heredan los permisos de sus carpetas respectivas, manteniendo el número total de entradas de permisos únicos dentro del límite de 5000.

Sugerencias para administrar ámbitos de permisos

Para administrar eficazmente los ámbitos de permisos en SharePoint, siga estas recomendaciones:

• Minimice el número de ámbitos de permisos únicos aprovechando la herencia.
• Comparta carpetas en lugar de archivos individuales para reducir el número de ámbitos únicos.
• Asegúrese de que las carpetas que necesitan permisos únicos se compartan antes de superar los 100 000 elementos.
• Para los desarrolladores, revise y minimice periódicamente los ámbitos de permisos únicos, use grupos y supervise el rendimiento para mantener un rendimiento óptimo de SharePoint.
• Para los usuarios finales, use grupos de permisos predeterminados, revise las solicitudes de acceso y realice auditorías periódicas para mantener los permisos de SharePoint limpios y eficientes.
• Use grupos y Microsoft Entra de SharePoint para administrar las referencias de usuario y los permisos de forma eficaz.

Recursos

• Límites de SharePoint: descripciones del servicio