Come gestire le impostazioni di condivisione esterna in SharePoint e OneDrive su larga scala

Alcune attività aziendali richiedono la condivisione di file con persone esterne all’organizzazione tramite SharePoint e OneDrive. Questo può garantire maggiore praticità e produttività, ma può anche trasformarsi in un rischio per la sicurezza quando le autorizzazioni di accesso non vengono monitorate con regolarità. Per questo motivo, amministratori IT, Managed Service Provider (MSP) e sysadmin hanno la responsabilità cruciale di trovare un equilibrio tra collaborazione efficace e conformità di sicurezza.

Continua a leggere per scoprire i vari passaggi per gestire le impostazioni di condivisione esterna di SharePoint e OneDrive: dall’uso dell’interfaccia di amministrazione di Microsoft 365 per definire i valori predefiniti globali fino agli strumenti da riga di comando per la verifica e la risoluzione dei problemi.

Preferisci il video? Guarda “Come gestire le impostazioni di condivisione esterna in SharePoint e OneDrive su larga scala” per una guida visiva.

Come regolare le impostazioni di condivisione esterna di SharePoint e OneDrive su larga scala

La gestione delle impostazioni di condivisione esterna in piattaforme come SharePoint e OneDrive richiede un approccio su più livelli. In questo modo sarai sempre allineato agli obiettivi di collaborazione e alle esigenze di sicurezza della tua organizzazione. Di seguito trovi alcuni metodi che puoi utilizzare per migliorare i processi di gestione già in uso.

📌 Prerequisiti:

• Tenant Microsoft 365 con SharePoint e OneDrive abilitati
• Uno o più ruoli di amministratore (amministratore globale, amministratore di SharePoint o amministratore della conformità)

💡 Suggerimento: consulta Aspetti da tenere d’occhio prima di procedere.

📌 Strategie di distribuzione consigliate:

Metodo 1: configurare le impostazioni predefinite di condivisione esterna dall’interfaccia di amministrazione di Microsoft 365

Questo metodo definisce le policy di base per la condivisione esterna di file e cartelle in SharePoint e OneDrive a livello dell’intero tenant. Gli amministratori ottengono così un controllo migliore sull’accesso anonimo e sulla scadenza dei link.

📌 Situazioni d’uso:

• Onboarding di nuovi tenant Microsoft 365
• Applicazione di policy di collaborazione valide per tutta l’organizzazione

📌 Prerequisito: accesso all’interfaccia di amministrazione di Microsoft 365

1. Vai a Condivisione nell’interfaccia di amministrazione di SharePoint.
2. Accedi con un account che dispone delle autorizzazioni di amministratore per la tua organizzazione.
3. In Condivisione esterna, scegli uno dei quattro livelli di condivisione disponibili:
   • Chiunque (il più permissivo)
   • Utenti guest nuovi ed esistenti
   • Utenti guest esistenti
   • Solo gli utenti dell’organizzazione

💡 Nota: le impostazioni specifiche di un sito possono avere la precedenza sul valore predefinito a livello di tenant.

4. Imposta le impostazioni predefinite dei link:
   • Visualizzazione
   • Modifica
5. Imposta la durata di scadenza per i link anonimi.
6. Ripeti questi passaggi in OneDrive > Condivisione.
7. Salva le modifiche per applicarle a livello globale.

Metodo 2: configurare le policy di condivisione a livello di sito tramite PowerShell

Questo metodo basato su PowerShell applica o limita le impostazioni di condivisione esterna a livello di singolo sito, soprattutto quando la sensibilità dei dati richiede policy più restrittive. Offre un controllo granulare sui siti sensibili. Inoltre, consente di sovrascrivere i valori predefiniti del tenant per le distribuzioni di massa, quando necessario.

📌 Situazioni d’uso:

• Gestione dell’accesso a siti di progetto o di ambito legale con dati sensibili
• Regolamentazione della condivisione su siti destinati a collaboratori esterni o clienti

📌 Prerequisiti:

• SharePoint Online Management Shell
• URL dei siti e accesso a PowerShell

1. Dopo aver installato e importato il modulo PowerShell di SharePoint Online, connettiti a SharePoint Online da una sessione PowerShell con privilegi elevati:

Connect-SPOService -Url https://yourtenant-admin.sharepoint.com

2. Visualizza le impostazioni di condivisione attuali per verificare le policy esistenti prima di apportare modifiche:

Get-SPOSite -Identity https://yourtenant.sharepoint.com/sites/marketing | Select SharingCapability

3. Imposta la policy di condivisione esterna che desideri:

Set-SPOSite -Identity https://yourtenant.sharepoint.com/sites/marketing -SharingCapability ExternalUserSharingOnly

💡 Nota: le opzioni disponibili per -SharingCapability sono le seguenti:

• • Disabled
  • ExternalUserSharingOnly
  • ExternalUserAndGuestSharing
  • ExistingExternalUserSharingOnly

5. Applica la policy a tutti i siti:

Get-SPOSite -Limit All | ForEach-Object {

Set-SPOSite -Identity $_.Url -SharingCapability ExternalUserSharingOnly

}

Metodo 3: automatizza gli audit delle policy di condivisione con Microsoft Graph

Questo metodo permette agli amministratori di verificare e monitorare chi condivide cosa, con chi e quando, in SharePoint e OneDrive, usando Microsoft Graph PowerShell. In questo modo gli MSP possono generare report di conformità, rilevare condivisioni eccessive e controllare gli accessi esterni su larga scala.

📌 Situazioni d’uso:

• Creazione di report mensili sulla condivisione esterna
• Indagini su sospette fughe di dati
• Applicazione proattiva della conformità

📌 Prerequisiti:

• Microsoft Graph PowerShell SDK
• Registrazione dell’app con gli scope corretti (Sites.Read.All e Reports.Read.All)

1. Dopo aver installato Microsoft Graph PowerShell SDK, connettiti a Microsoft Graph e usalo per estrarre i metadati di siti e condivisioni da una sessione PowerShell con privilegi elevati:

Connect-MgGraph -Scopes "Sites.Read.All" 

⚠️ Importante: se utilizzi l’autenticazione basata su app (non interattiva), devi registrare un’app in Azure AD e concedere le autorizzazioni API.

2. Ottieni l’elenco di tutti i siti di SharePoint:

Get-MgSite -All -Property "Id, WebUrl, DisplayName, SharingCapability" 

Ogni oggetto sito dovrebbe includere metadati come l’ID del sito, l’URL web e il nome visualizzato.

3. Facoltativo: esporta i risultati in CSV per creare report su chi ha condiviso cosa, con chi e quando.
4. Automatizza l’esecuzione degli script con le attività pianificate o con lo scripting di NinjaOne RMM.

Metodo 4: usare i Criteri di gruppo per disattivare la sincronizzazione dei file con account non autorizzati

Questo metodo impedisce agli utenti di sincronizzare account OneDrive personali o non gestiti sugli endpoint aziendali. Garantisce che vengano usati solo gli account dell’organizzazione e previene la fuga di dati tramite account personali.

📌 Situazioni d’uso:

• Gestione delle impostazioni su laptop e desktop di proprietà dell’azienda
• Regolamentazione della condivisione in settori fortemente regolamentati, come finanza, sanità e ambito legale

📌 Prerequisiti:

• Un ambiente Active Directory
• Console Gestione Criteri di gruppo (GPMC)
• Intune (alternativa facoltativa)

1. Apri la Console Gestione Criteri di gruppo (GPMC).
2. Vai a:

Configurazione del computer > Modelli amministrativi > OneDrive

3. Abilita le seguenti impostazioni:
   • Impedisci agli utenti di sincronizzare gli account OneDrive personali (blocca tutte le attività di sincronizzazione dagli account Microsoft personali)
   • Esegui automaticamente l’accesso degli utenti all’app di sincronizzazione di OneDrive con le credenziali di Windows (effettua automaticamente l’accesso degli utenti al client di sincronizzazione di OneDrive con l’account di dominio o Azure AD, così OneDrive viene configurato senza accesso manuale)
4. Esegui gpupdate /force sui computer di destinazione per applicare le modifiche.

Metodo 5: usare l’Editor del Registro di sistema per supportare l’applicazione delle policy

Questo metodo introduce controlli rigidi modificando il Registro di sistema di Windows per limitare il comportamento di OneDrive sugli endpoint. La modifica blocca gli endpoint in ambienti non aggiunti al dominio o BYOD, aggiungendo un ulteriore livello di applicazione oltre al GPO. È particolarmente utile per l’automazione tramite RMM.

📌 Situazione d’uso: gestione della condivisione su dispositivi non aggiunti ad AD e sui computer di collaboratori esterni o consulenti temporanei

📌 Prerequisiti:

• Diritti di amministratore sull’endpoint
• Accesso al Registro di sistema

1. Apri l’Editor del Registro di sistema come amministratore. Premi Win + R, digita “regedit” e premi Ctrl + Maiusc + Invio.
2. Nel riquadro di sinistra, segui questo percorso:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\OneDrive

3. Crea o aggiorna le seguenti chiavi DWORD con i valori appropriati:
   • DisablePersonalSync = 1
   • SilentAccountConfig = 1
   • BlockExternalSync = 1

Queste chiavi limitano il comportamento di sincronizzazione e le destinazioni di caricamento esterne. Sono utili negli ambienti con restrizioni elevate.

Metodo 6: usare CMD per i controlli di conformità e la visibilità del client di sincronizzazione

Questo metodo utilizza strumenti da riga di comando per verificare lo stato del client di sincronizzazione, testare l’applicazione delle policy e forzare gli aggiornamenti di configurazione. Può aiutare gli amministratori a risolvere problemi di sincronizzazione o di policy durante la validazione successiva alla distribuzione.

📌 Situazioni d’uso:

• Verifica della corretta applicazione di GPO o Registro di sistema
• Diagnosi degli errori di sincronizzazione

📌 Prerequisiti:

• Accesso al Prompt dei comandi di Windows
• Client OneDrive installato

1. Apri il Prompt dei comandi. Premi Win + R, digita “cmd” e premi Invio.
2. Controlla lo stato di sincronizzazione di OneDrive:

%localappdata%\Microsoft\OneDrive\OneDrive.exe /status

In questo modo verificherai se OneDrive è in esecuzione, attivo e sincronizzato con Microsoft 365.

3. Elenca le cartelle attualmente sincronizzate per individuare l’uso non conforme di account personali sul dispositivo:

dir %userprofile%\OneDrive* /a /s

4. Forza l’aggiornamento delle policy di OneDrive per rendere immediatamente effettive le modifiche ai GPO:

gpupdate /force

Usa questi comandi per verificare le modifiche ai GPO o al Registro di sistema e per risolvere i problemi di sincronizzazione delle condivisioni.

⚠️ Aspetti da tenere d’occhio

Perché gestire la condivisione esterna su larga scala

Ci sono molti motivi per gestire le impostazioni di condivisione esterna di SharePoint e OneDrive, tra cui:

• Prevenire la fuga di dati sensibili o soggetti a normative dovuta a condivisioni incontrollate, link anonimi e accessi guest troppo ampi
• Garantire policy di sicurezza coerenti tra siti e utenti, per ridurre le lacune, limitare le configurazioni errate e applicare regole di protezione dei dati valide per tutta l’organizzazione
• Migliorare visibilità e tracciabilità registrando chi ha condiviso cosa, con chi e quando
• Garantire la conformità a framework come GDPR, HIPAA e CMMC
• Ridurre il carico operativo per i team IT e gli MSP che gestiscono centinaia di utenti o siti

Altri aspetti da considerare quando modifichi le impostazioni di condivisione esterna di OneDrive e SharePoint

Se vuoi ottenere risultati duraturi nella gestione delle policy di condivisione esterna, devi conoscere anche altre strategie per rilevare le lacune, far rispettare i comportamenti corretti e allinearti ai framework normativi.

• Audit e avvisi: valuta di attivare la registrazione di audit tramite Purview e il Centro conformità Microsoft 365, quindi configura policy di avviso per le condivisioni anonime. Questo migliora il rilevamento delle minacce in tempo reale e supporta indagini e risposta agli incidenti.
• Policy di scadenza dei link: è buona prassi limitare il tempo in cui i link condivisi esternamente restano attivi, per ridurre il rischio di accessi esterni che rimangono aperti troppo a lungo.
• Condizioni d’uso per gli utenti esterni: per avere una copertura legale sui dati condivisi, richiedi agli utenti guest di accettare termini e condizioni, come clausole di esclusione di responsabilità e di riservatezza, prima di accedere ai contenuti condivisi.
• Revisioni degli accessi: verifica periodicamente se gli utenti esterni hanno ancora bisogno dell’accesso, usando Microsoft Entra ID Governance per pianificare revisioni automatizzate degli accessi oppure Microsoft Graph PowerShell per automatizzare le valutazioni con uno script.

Risoluzione dei problemi più comuni

Gli utenti riescono ancora a condividere all’esterno nonostante le restrizioni

Di solito questo accade perché le impostazioni di condivisione a livello di sito sono meno restrittive della policy prevista. Controlla le impostazioni a livello di sito o le autorizzazioni a livello di gruppo, come quelle concesse tramite i gruppi di Microsoft 365 o Teams, e modificale se necessario.

Il client di sincronizzazione aggira le restrizioni sugli account personali

Per prima cosa, verifica che le modifiche ai GPO locali o al Registro di sistema siano state applicate: potrebbe esserci un ritardo nella propagazione delle policy, errori nelle modifiche al Registro di sistema oppure la modifica potrebbe richiedere un riavvio. Se necessario, applica di nuovo la policy con Intune, NinjaOne o uno script.

Agli utenti guest esterni non viene richiesta l’MFA

Applica le policy di accesso condizionale a livello di tenant in Interfaccia di amministrazione di Microsoft Entra > Sicurezza. Qui puoi creare una policy destinata a utenti o app specifici. Dopo aver apportato le modifiche, ricordati di testare l’esperienza di accesso guest con un account esterno usa e getta.

Le chiamate all’API Graph vengono rifiutate

La causa potrebbe essere la mancanza delle autorizzazioni necessarie nella registrazione dell’applicazione (per Sites.Read.All e Files.Read.All). Verifica che l’app PowerShell disponga delle autorizzazioni corrette in Azure AD > Registrazioni app. Qui puoi assegnare le autorizzazioni API Graph necessarie e selezionare Concedi consenso amministratore.

I servizi NinjaOne che aiutano a gestire la condivisione esterna su larga scala

Per gli MSP e i team IT è fondamentale gestire le policy di condivisione esterna negli ambienti Microsoft 365. Si tratta però di un’attività complessa e che richiede molto tempo, soprattutto nelle organizzazioni più grandi. NinjaOne offre diverse funzionalità che aiutano a migliorare automazione, controllo e monitoraggio.

Verso una collaborazione più sicura

Per gestire la condivisione esterna in SharePoint e OneDrive in ambito aziendale servono metodi stratificati e scalabili. Dalla definizione dei valori predefiniti globali all’audit degli accessi, devi seguire con attenzione alcuni passaggi per ridurre al minimo i rischi e garantire coerenza, continuando comunque a favorire la collaborazione. Se esegui bene questa attività, puoi trovare il giusto equilibrio tra sicurezza e usabilità quando collabori con soggetti esterni alla tua organizzazione.

Argomenti correlati:

• Il manuale dell’amministratore sulle autorizzazioni dei gruppi di SharePoint: configurazione, gestione e best practice
• Come interrompere la condivisione di file e cartelle di OneDrive in Windows 11
• Come sincronizzare le cartelle con OneDrive in Windows 10 e 11
• Come cambiare la posizione della cartella OneDrive in Windows
• Come aggiungere e rimuovere un percorso di rete in Windows 10