Puntos clave
- Requisitos previos antes de activar el acceso de invitados: Microsoft 365 Business Premium (licencia E3 o E5), rol de administrador global, de Teams o de cumplimiento, y PowerShell 7+ con los módulos de Microsoft Teams y MSGraph instalados.
- Activa el acceso de invitados tanto en el Centro de administración de Teams COMO en PowerShell; si solo lo activas en un sitio, el acceso de invitados seguirá bloqueado. Ve a Configuración de toda la organización > Acceso de invitado en el Centro de administración y ejecuta Set-CsTeamsClientConfiguration -AllowGuestUser $true en PowerShell.
- Restringe por política las capacidades de riesgo de los invitados. Desactiva el audio y vídeo por IP, el uso compartido de pantalla, las integraciones de aplicaciones y la creación de canales con Set-CsTeamsGuestMeetingConfiguration y la configuración de permisos de invitado del Centro de administración de Teams.
- Audita y supervisa toda la actividad de los invitados con Microsoft Purview: activa el registro de auditoría antes de invitar a nadie y después usa PowerShell (Get-MgUser) para listar y exportar las cuentas de invitado como documentación de cumplimiento.
- Define políticas de caducidad para las cuentas de invitado y realiza revisiones de acceso periódicas. Usa las revisiones de acceso de Microsoft Entra o scripts de PowerShell para eliminar invitados inactivos y revocar permisos obsoletos en todas las asignaciones de grupos de Microsoft Entra.
- Refuerza la seguridad del inicio de sesión de los invitados con acceso condicional y DLP: exige MFA en todos los inicios de sesión de invitados, bloquea el acceso desde dispositivos o ubicaciones de riesgo y configura políticas de prevención de pérdida de datos para evitar que se comparta información sensible sin autorización.
Hoy en día, la colaboración externa ya no es una rareza, sino la norma. Es muy habitual que las empresas compartan documentos, aplicaciones y otros recursos con personas ajenas a su organización.
Puede parecer complicado, pero plataformas como Microsoft Teams lo han hecho mucho más sencillo. El acceso de invitados de Teams te permite compartir tu información con usuarios externos.
Sin embargo, esta función puede convertirse rápidamente en un riesgo de seguridad si no se gestiona bien. Peor aún: puede provocar incumplimientos de normativas del sector como HIPAA, ISO 27001 o CMMC.
La buena noticia es que puedes configurar esta opción para limitar las acciones de tus invitados y su acceso a los datos.
En esta guía te mostramos los distintos métodos que puedes utilizar para proteger el acceso de invitados en Microsoft Teams.
Si prefieres ver este tema explicado en vídeo, echa un vistazo a cómo configurar un acceso de invitados seguro en Microsoft Teams sin incumplir la normativa.
Mantén un control más firme de tu entorno de TI a medida que crece la colaboración.
Cómo activar un acceso de invitados seguro en Microsoft Teams
Antes de empezar, es fundamental que compruebes que cumples los siguientes requisitos.
📌 Requisitos previos:
- Microsoft 365 Business Premium (licencia E3 o E5)
- Rol de administrador global, administrador de Teams o administrador de cumplimiento
- PowerShell 7+ con los módulos de Microsoft Teams, AzureAD y MSGraph
- Acceso condicional y Microsoft Defender for Cloud Apps (opcional)
- RMM (por ejemplo, NinjaOne) para auditar el registro o las GPO (opcional)
📌 Estrategias de implementación recomendadas:
Método 1: activar el acceso de invitados en Azure AD (Microsoft Entra)
📌 Caso de uso: configurar políticas de acceso de invitados en Azure AD para dar a colaboradores externos acceso a SharePoint, Teams u OneDrive.
A. Comprobar o activar el acceso de invitados
Connect-AzureAD
Get-AzureADPolicy | Where-Object {$_.DisplayName -eq "B2BGuest"}
B. Si no está configurado, permitir las invitaciones de invitados
Set-AzureADPolicy -Id <policyId> -Definition @('{"GuestUserInvitation": "Enabled"}')
Asegúrate de que las restricciones de acceso de usuarios invitados estén configuradas como «Los usuarios invitados tienen acceso limitado a las propiedades y pertenencias de los objetos de directorio».
Método 2: activar el acceso de invitados en el Centro de administración de Microsoft Teams
📌 Caso de uso: permitir que los usuarios invitados participen en canales, reuniones y chats de Teams activando la configuración de acceso de invitados en el Centro de administración de Teams o en PowerShell.
A. Desde el Centro de administración de Teams
- Entra en el Centro de administración de Microsoft Teams.
- Ve a Configuración de toda la organización > Acceso de invitado.
- Cambia Acceso de invitado a Activado.
- Configura permisos como:
- uso compartido de archivos;
- participación en reuniones;
- permisos de llamada.
Comprueba que la configuración de acceso de invitados de Teams se ajusta a las políticas de cumplimiento de tu organización.
B. Desde PowerShell
Connect-MicrosoftTeams
Set-CsTeamsClientConfiguration -AllowGuestUser $true
Método 3: configurar las políticas de acceso de invitados de Teams para reforzar la seguridad
📌 Caso de uso: restringir capacidades de los usuarios invitados, como compartir vídeo, instalar aplicaciones o crear canales, para mantener un entorno de colaboración seguro en Microsoft Teams.
A. Limitar las capacidades de riesgo de los invitados
Set-CsTeamsGuestMeetingConfiguration -AllowIPAudio $false -AllowIPVideo $false
Set-CsTeamsMessagingPolicy -Identity Global -AllowUserCreateUpdateRemoveConnectors $false
B. Aplicar una política de mensajería para usuarios invitados
Grant-CsTeamsMessagingPolicy -PolicyName "GuestMessagingPolicy" -Identity [email protected]
C. Usar el Centro de administración de Teams para restringir
- el uso compartido de pantalla;
- las integraciones de aplicaciones;
- la creación de canales.
Método 4: supervisar el acceso y la actividad de los invitados
📌 Caso de uso: hacer seguimiento y auditar la actividad de los usuarios invitados con el portal de cumplimiento de Microsoft Purview.
A. Activar la auditoría desde el portal de cumplimiento de Microsoft Purview
- Ve a Microsoft Purview > Auditoría.
- Activa el registro de auditoría, si no lo está ya.
- Busca en los registros eventos como «Se agregó un usuario al grupo» o «Archivo compartido externamente».
B. Listar las cuentas de invitado con PowerShell
Usa el siguiente script para listar todas las cuentas de invitado registradas actualmente en tu Microsoft Entra.
Get-AzureADUser -Filter "UserType eq 'Guest'" | Select DisplayName, UserPrincipalName, AccountEnabled
C. Exportar los datos de las cuentas de invitado como documentación
Ejecuta el comando siguiente para guardar la lista de usuarios invitados registrados en un archivo CSV y usarla como documentación.
Get-AzureADUser -Filter "UserType eq 'Guest'" |
Export-Csv "C:\Reports\TeamsGuestAccounts.csv" -NoTypeInformation
Método 5: establecer una caducidad o un calendario de revisión para las cuentas de invitado
📌 Caso de uso: crear políticas de caducidad y revisiones automáticas de las cuentas de invitado para restringir el acceso de los usuarios inactivos.
A. Usar las revisiones de acceso de Microsoft Entra o scripts propios para detectar invitados inactivos
Filtra las cuentas de invitado inactivas registradas en Azure AD.
Get-AzureADUser -Filter "UserType eq 'Guest'" |
Where-Object { $_.AccountEnabled -eq $true -and $_.CreationType -eq "Invitation" } |
ForEach-Object {
# Custom logic for review or expiration tagging
}
B. Registrar los resultados en el registro de endpoints híbridos (opcional)
Guarda los resultados localmente en el registro.
New-Item -Path "HKLM:\SOFTWARE\Org\GuestAudit" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\GuestAudit" -Name "LastAudit" -Value (Get-Date).ToString("u")
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\GuestAudit" -Name "GuestCount" -Value 12
C. Comprobar desde CMD
Verifica las entradas del registro con el comando siguiente:
reg query HKLM\SOFTWARE\Org\GuestAudit
⚠️ Aspectos a tener en cuenta
Ten presentes estos posibles errores al seguir nuestra guía:
| Riesgos | Posibles consecuencias | Cómo revertirlo |
| Activar el acceso de invitados en Teams desde PowerShell sin activarlo en el Centro de administración | Los invitados seguirán sin poder acceder a las funciones de Teams. | Comprueba que la opción esté activada tanto en PowerShell como en el Centro de administración de Teams. |
| No avisar de los retrasos de propagación después de hacer cambios en PowerShell | Los usuarios pueden notificar incidencias sin motivo real. | Informa a las partes implicadas de que los cambios hechos en PowerShell pueden tardar hasta 24 horas en aplicarse en todos los servicios. |
| Aplicar políticas restrictivas a toda la organización sin probarlas antes | Los usuarios internos pueden perder acceso a funciones sin querer. | Prueba las políticas en un grupo piloto antes de aplicarlas a toda la empresa. |
| Exportar datos de invitados a una ubicación sin protección | Se podría exponer información sensible de los invitados. | Guarda los informes en carpetas cifradas o en almacenamiento en el cloud seguro con acceso restringido. |
| Ejecutar scripts de revisión de cuentas de invitado sin filtrar los usuarios activos | La revisión puede incluir cuentas deshabilitadas o irrelevantes. | Usa filtros como AccountEnabled -eq $true para centrarte solo en los usuarios invitados activos. |
| Registrar datos de auditoría en el registro sin comprobar los permisos | El script puede fallar o dar errores en endpoints sin derechos de administrador. | Ejecuta los scripts con privilegios elevados y valida antes el acceso al registro. |
Consejos avanzados para que el acceso de invitados en Microsoft Teams sea más seguro e inteligente
Aquí tienes algunos consejos más para crear un entorno de Microsoft 365 seguro y colaborativo:
Controla cómo inician sesión los invitados con el acceso condicional
El acceso condicional te permite definir reglas para los inicios de sesión de los invitados. Por ejemplo, puedes aplicar medidas de seguridad adicionales como la autenticación multifactor (MFA), de modo que los usuarios necesiten algo más que una contraseña para acceder a tus recursos.
También puedes usarlo para bloquear el acceso desde ubicaciones o dispositivos de riesgo, estableciendo condiciones que evalúen desde dónde se produce el inicio de sesión.
Aplica políticas de prevención de pérdida de datos (DLP) para evitar que se comparta información sin autorización
Para evitar que los usuarios invitados compartan datos sensibles con terceros, crea políticas DLP que analicen sus mensajes, archivos y correos en busca de contenido sensible. También puedes configurarlas para que bloqueen esas acciones o te envíen una alerta.
Crea barreras de información para impedir que los invitados interactúen con determinados grupos
Las barreras de información segmentan la comunicación entre grupos e impiden que dos partes se escriban o vean sus perfiles. Esta función es ideal si trabajas con dos proveedores competidores en proyectos distintos.
Puedes configurar barreras de información para que tu primer proveedor no pueda interactuar con el segundo ni verlo, aunque ambos estén conectados a tu entorno de Microsoft.
Haz seguimiento del acceso de invitados en los equipos locales con GPO o el registro
Seguir la actividad de acceso de invitados en los equipos locales puede ser complicado cuando gestionas varios sistemas unidos al dominio.
La buena noticia es que puedes usar objetos de directiva de grupo (GPO) o la configuración del registro para registrar localmente la actividad de los invitados, lanzar auditorías y contar las cuentas de invitado registradas en un mismo equipo.
Problemas habituales con el acceso de invitados en Microsoft Teams y cómo resolverlos
El invitado no puede acceder a Microsoft Teams
Si un usuario invitado no puede acceder a Microsoft Teams aunque le hayas invitado, significa que la configuración B2B de Azure AD o el acceso de invitados de Teams no están bien configurados.
Cuando ocurre esto, ve a Azure AD y comprueba si su configuración de colaboración B2B permite las invitaciones de invitados. También debes asegurarte de que el acceso de invitados de Teams esté activado tanto en PowerShell como en el Centro de administración de Teams.
Por último, verifica que el invitado pertenezca al grupo de Teams correcto y que su cuenta de Azure AD esté activa. A veces el problema se debe a que falta la pertenencia a un grupo o a que la cuenta está deshabilitada.
Faltan registros de auditoría
Si buscas una actividad concreta de un invitado en Microsoft Purview y no la encuentras, lo más probable es que el registro de auditoría no estuviera activado cuando ocurrió el evento.
Para evitarlo, comprueba que el registro de auditoría esté activado en Microsoft Purview y revisa su configuración de retención antes de invitar a los invitados.
Los scripts fallan en algunos tenants
Si uno de tus scripts funciona perfectamente en un tenant y da errores en otro, utiliza el acceso delegado con el modelo de aplicación segura (Secure App Model). Este método de autenticación es ideal para escenarios multitenant.
Además, valora la posibilidad de pasar a la autenticación basada en certificados con tokens de Microsoft Graph para la automatización entre tenants.
Los invitados conservan permisos antiguos
Eliminar a un invitado de un equipo o grupo no revoca automáticamente su acceso a otros recursos compartidos.
Tienes que eliminar manualmente las asignaciones de grupo de Azure AD o las pertenencias a Teams que hayan quedado obsoletas, o bien usar scripts de PowerShell para automatizar la limpieza.
Mantén segura la colaboración externa sin perder visibilidad de TI.
Cómo proteger el acceso de invitados en Microsoft Teams con NinjaOne
NinjaOne facilita la protección del acceso de invitados de estas formas:
- Despliega scripts de auditoría basados en PowerShell en endpoints híbridos.
- Lee las claves del registro que recogen los resultados de auditoría de invitados y genera alertas sobre ellas.
- Etiqueta dispositivos o tenants con un volumen alto de invitados para su revisión de seguridad.
- Genera informes listos para las QBR sobre el uso, los riesgos y los permisos de los invitados en Teams.
- Automatiza las comprobaciones de acceso de invitados durante la incorporación, la baja o las ventanas de revisión programadas.
Con NinjaOne, los MSP pueden estandarizar y escalar una colaboración segura en Microsoft Teams en todos los tenants que gestionan.
Crea entornos de colaboración seguros gestionando el acceso de invitados en Microsoft Teams
No hace falta renunciar al cumplimiento para crear entornos de Microsoft 365 colaborativos.
Si aprendes a controlar el acceso de invitados de Teams y realizas auditorías periódicas, podrás ayudar a tus clientes a construir relaciones comerciales sólidas sin preocuparte por la seguridad.
Temas relacionados:
