Zo beheert u instellingen voor extern delen in SharePoint en OneDrive op schaal

Voor sommige zakelijke taken moet u bestanden delen met mensen buiten de organisatie via SharePoint en OneDrive. Dat is handig en komt de productiviteit ten goede, maar het kan ook een beveiligingsrisico worden wanneer toegangsrechten niet regelmatig worden gecontroleerd. Daarom is het een cruciale verantwoordelijkheid van IT-beheerders, managed service providers (MSP’s) en sysadmins om functionele samenwerking en naleving van beveiligingsvoorschriften in balans te brengen.

Lees verder voor de verschillende stappen om de instellingen voor extern delen in SharePoint en OneDrive te beheren: van het Microsoft 365-beheercentrum voor globale standaardwaarden tot opdrachtregeltools voor verificatie en probleemoplossing.

Liever video? Bekijk “Zo beheert u instellingen voor extern delen in SharePoint en OneDrive op schaal” voor een visuele handleiding.

Zo reguleert u de instellingen voor extern delen in SharePoint en OneDrive op schaal

Het beheren van instellingen voor extern delen in platforms als SharePoint en OneDrive vraagt om een aanpak met meerdere lagen. Zo sluit u altijd aan op de samenwerkingsdoelen en beveiligingsbehoeften van uw organisatie. Hieronder vindt u enkele methoden waarmee u uw bestaande beheerprocessen kunt verbeteren.

📌 Vereisten:

• Microsoft 365-tenant met SharePoint en OneDrive ingeschakeld
• Beheerdersrol(len) (Globale beheerder, SharePoint-beheerder of Compliancebeheerder)

💡 Tip: bekijk Waar u op moet letten voordat u verdergaat.

📌 Aanbevolen implementatiestrategieën:

Methode 1: standaardinstellingen voor extern delen configureren via het Microsoft 365-beheercentrum

Deze methode stelt basisbeleid in voor de hele tenant voor het extern delen van bestanden en mappen in SharePoint en OneDrive. Beheerders krijgen zo meer grip op anonieme toegang en het verlopen van koppelingen.

📌 Use cases:

• Onboarding van nieuwe Microsoft 365-tenants
• Handhaving van samenwerkingsbeleid in de hele organisatie

📌 Vereiste: toegang tot het Microsoft 365-beheercentrum

1. Ga naar Delen in het SharePoint-beheercentrum.
2. Meld u aan met een account dat beheerdersrechten heeft voor uw organisatie.
3. Kies onder Extern delen een van de vier beschikbare niveaus:
   • Iedereen (meest ruimhartig)
   • Nieuwe en bestaande gasten
   • Bestaande gasten
   • Alleen personen in uw organisatie

💡 Opmerking: site-specifieke instellingen kunnen de standaardwaarde op tenantniveau overschrijven.

4. Stel de standaardinstellingen voor koppelingen in:
   • Weergeven
   • Bewerken
5. Stel in hoelang anonieme koppelingen geldig blijven.
6. Herhaal deze stappen onder OneDrive > Delen.
7. Sla de wijzigingen op om ze globaal toe te passen.

Methode 2: beleid voor delen op siteniveau configureren via PowerShell

Deze PowerShell-methode past instellingen voor extern delen toe of beperkt ze op siteniveau, vooral wanneer de gevoeligheid van een specifieke site om strenger beleid vraagt. Ze biedt gedetailleerde controle voor gevoelige sites. Daarnaast overschrijft ze zo nodig de tenantstandaarden voor uitrol op grote schaal.

📌 Use cases:

• Toegang beheren tot gevoelige project- of juridische sites
• Delen reguleren op sites voor externe contractanten of klanten

📌 Vereisten:

• SharePoint Online Management Shell
• Site-URL’s en toegang tot PowerShell

1. Nadat u de SharePoint Online PowerShell-module hebt geïnstalleerd en geïmporteerd, maakt u verbinding met SharePoint Online in een PowerShell-venster met verhoogde rechten:

Connect-SPOService -Url https://yourtenant-admin.sharepoint.com

2. Bekijk de huidige instellingen voor delen om het bestaande beleid te controleren voordat u wijzigingen aanbrengt:

Get-SPOSite -Identity https://yourtenant.sharepoint.com/sites/marketing | Select SharingCapability

3. Stel het gewenste beleid voor extern delen in:

Set-SPOSite -Identity https://yourtenant.sharepoint.com/sites/marketing -SharingCapability ExternalUserSharingOnly

💡 Opmerking: de beschikbare opties voor -SharingCapability zijn:

• • Disabled
  • ExternalUserSharingOnly
  • ExternalUserAndGuestSharing
  • ExistingExternalUserSharingOnly

5. Pas het beleid toe op alle sites:

Get-SPOSite -Limit All | ForEach-Object {

Set-SPOSite -Identity $_.Url -SharingCapability ExternalUserSharingOnly

}

Methode 3: audits van deelbeleid automatiseren met Microsoft Graph

Met deze methode kunnen beheerders via Microsoft Graph PowerShell controleren wie wat met wie deelt en wanneer, in zowel SharePoint als OneDrive. Zo kunnen MSP’s compliancerapporten genereren, te ruim delen opsporen en externe toegang op schaal auditen.

📌 Use cases:

• Maandelijkse rapporten over extern delen maken
• Vermoedelijke datalekken onderzoeken
• Proactieve handhaving van compliance waarborgen

📌 Vereisten:

• Microsoft Graph PowerShell SDK
• App-registratie met de juiste scopes (Sites.Read.All en Reports.Read.All)

1. Nadat u de Microsoft Graph PowerShell SDK hebt geïnstalleerd, maakt u verbinding met Microsoft Graph en haalt u daarmee site- en deelmetadata op in een PowerShell-venster met verhoogde rechten:

Connect-MgGraph -Scopes "Sites.Read.All" 

⚠️ Belangrijk: gebruikt u app-gebaseerde (niet-interactieve) verificatie, dan moet u een app registreren in Azure AD en API-machtigingen verlenen.

2. Haal een lijst op van alle SharePoint-sites:

Get-MgSite -All -Property "Id, WebUrl, DisplayName, SharingCapability" 

Elk siteobject hoort metadata te bevatten, zoals site-ID, web-URL en weergavenaam.

3. Optioneel: exporteer de resultaten naar CSV om rapporten te maken over wie wat met wie heeft gedeeld en wanneer.
4. Automatiseer de uitvoering van scripts met geplande taken of scripting in NinjaOne RMM.

Methode 4: Groepsbeleid gebruiken om bestandssynchronisatie met niet-geautoriseerde accounts uit te schakelen

Deze methode voorkomt dat gebruikers persoonlijke of onbeheerde OneDrive-accounts synchroniseren op zakelijke endpoints. Ze zorgt ervoor dat alleen organisatieaccounts worden gebruikt en voorkomt dat gegevens via persoonlijke accounts weglekken.

📌 Use cases:

• Instellingen beheren op laptops en desktops die eigendom zijn van het bedrijf
• Delen reguleren in sterk gereguleerde sectoren, zoals de financiële sector, de zorg en de advocatuur

📌 Vereisten:

• Een Active Directory-omgeving
• Group Policy Management Console (GPMC)
• Intune (optioneel alternatief)

1. Open de Group Policy Management Console (GPMC).
2. Ga naar:

Computerconfiguratie > Beheersjablonen > OneDrive

3. Schakel de volgende instellingen in:
   • Voorkomen dat gebruikers persoonlijke OneDrive-accounts synchroniseren (blokkeert alle synchronisatie vanaf persoonlijke Microsoft-accounts)
   • Gebruikers op de achtergrond aanmelden bij de OneDrive-synchronisatie-app met hun Windows-referenties (meldt gebruikers automatisch aan bij de OneDrive-synchronisatieclient met hun domein- of Azure AD-account, zodat OneDrive wordt ingesteld zonder handmatige aanmelding)
4. Voer gpupdate /force uit op de doelmachines om de wijzigingen toe te passen.

Methode 5: de Register-editor gebruiken ter ondersteuning van beleidshandhaving

Deze methode legt harde controles op door het Windows-register aan te passen en zo het gedrag van OneDrive op endpoints te beperken. De wijziging vergrendelt endpoints in omgevingen zonder domein of met BYOD door een extra handhavingslaag boven op GPO toe te voegen. Dat is vooral handig voor RMM-automatisering.

📌 Use case: delen beheren op devices die niet aan AD zijn toegevoegd en op machines van tijdelijke contractanten of consultants

📌 Vereisten:

• Beheerdersrechten op het endpoint
• Toegang tot het register

1. Open de Register-editor als beheerder. Druk op Win + R, typ “regedit” en druk op Ctrl + Shift + Enter.
2. Volg in het linkerdeelvenster dit pad:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\OneDrive

3. Maak of werk de volgende DWORD-sleutels bij met de juiste waarden:
   • DisablePersonalSync = 1
   • SilentAccountConfig = 1
   • BlockExternalSync = 1

Deze sleutels beperken het synchronisatiegedrag en de externe uploadbestemmingen. Ze zijn nuttig in strak vergrendelde omgevingen.

Methode 6: CMD gebruiken voor compliancecontroles en inzicht in de synchronisatieclient

Deze methode gebruikt opdrachtregeltools om de status van de synchronisatieclient te controleren, de toepassing van beleid te testen en configuratie-updates af te dwingen. Zo kunnen beheerders synchronisatie- of beleidsproblemen oplossen tijdens de validatie na de uitrol.

📌 Use cases:

• Controleren of GPO- of registerwijzigingen zijn gelukt
• Synchronisatiefouten diagnosticeren

📌 Vereisten:

• Toegang tot de Windows-opdrachtprompt
• OneDrive-client geïnstalleerd

1. Open de opdrachtprompt. Druk op Win + R, typ “cmd” en druk op Enter.
2. Controleer de synchronisatiestatus van OneDrive:

%localappdata%\Microsoft\OneDrive\OneDrive.exe /status

Zo bevestigt u of OneDrive actief is en synchroon loopt met Microsoft 365.

3. Bekijk welke mappen momenteel worden gesynchroniseerd om niet-conform gebruik van persoonlijke accounts op het device op te sporen:

dir %userprofile%\OneDrive* /a /s

4. Forceer een vernieuwing van het OneDrive-beleid zodat GPO-wijzigingen meteen van kracht worden:

gpupdate /force

Gebruik deze opdrachten om GPO- of registerwijzigingen te verifiëren en problemen met synchronisatie van gedeelde items op te lossen.

⚠️ Waar u op moet letten

Waarom extern delen op schaal beheren?

Er zijn veel redenen om de instellingen voor extern delen in SharePoint en OneDrive te beheren, zoals:

• Voorkomen dat gevoelige of gereguleerde gegevens weglekken door ongecontroleerd delen, anonieme koppelingen en brede gasttoegang
• Consistent beveiligingsbeleid voor alle sites en gebruikers waarborgen om hiaten te beperken, verkeerde configuraties te minimaliseren en organisatiebrede regels voor gegevensbescherming af te dwingen
• Meer inzicht en betere controleerbaarheid door bij te houden en vast te leggen wie wat met wie heeft gedeeld en wanneer
• Compliance met kaders als GDPR, HIPAA en CMMC waarborgen
• De operationele belasting verlagen voor IT-teams en MSP’s die honderden gebruikers of sites beheren

Aanvullende overwegingen bij het aanpassen van instellingen voor extern delen in OneDrive en SharePoint

Wilt u op de lange termijn succesvol beleid voor extern delen beheren, dan moet u ook aanvullende strategieën kennen om hiaten op te sporen, gedrag af te dwingen en aan te sluiten op wettelijke kaders.

• Auditing en notificaties: Overweeg auditlogboeken in te schakelen via Purview en het Microsoft 365-compliancecentrum en stel vervolgens notificatiebeleid in voor anoniem delen. Dat verbetert de detectie van dreigingen in real time en ondersteunt onderzoeken en incidentrespons.
• Beleid voor het verlopen van koppelingen: Het is een goede gewoonte om te beperken hoelang extern gedeelde koppelingen actief blijven, zodat het risico op blijvende externe toegang afneemt.
• Gebruiksvoorwaarden voor externe gebruikers: Laat gastgebruikers voorwaarden accepteren, zoals disclaimers en geheimhoudingsclausules, voordat ze toegang krijgen tot gedeelde content. Zo zijn gedeelde gegevens juridisch gedekt.
• Toegangsbeoordelingen: Controleer periodiek of externe gebruikers nog toegang nodig hebben. Gebruik hiervoor Microsoft Entra ID Governance om geautomatiseerde toegangsbeoordelingen in te plannen of Microsoft Graph PowerShell om toegangsevaluaties te scripten.

Veelvoorkomende problemen oplossen

Gebruikers kunnen ondanks beperkingen nog steeds extern delen

Meestal komt dat doordat de deelinstellingen op siteniveau minder streng zijn dan het beoogde beleid. Controleer uw instellingen op siteniveau of de rechten op groepsniveau, bijvoorbeeld rechten die zijn toegekend via Microsoft 365-groepen of Teams, en pas ze zo nodig aan.

De synchronisatieclient omzeilt beperkingen op persoonlijke accounts

Controleer eerst of de lokale GPO- of registerwijzigingen zijn toegepast. Mogelijk duurt het even voordat het beleid is doorgevoerd, zijn er fouten gemaakt bij de registerwijzigingen of is een reboot nodig. Push het beleid zo nodig opnieuw met Intune, NinjaOne of een script.

Externe gasten krijgen geen MFA-prompt

Dwing beleid voor voorwaardelijke toegang af op tenantniveau onder Microsoft Entra-beheercentrum > Beveiliging. Daar maakt u beleid dat zich richt op specifieke gebruikers of apps. Test na het doorvoeren van wijzigingen de aanmeldervaring van gasten met een wegwerpaccount van buiten de organisatie.

Graph API-aanroepen worden geweigerd

Dit kan komen doordat de app-registratie de vereiste machtigingen mist (voor Sites.Read.All en Files.Read.All). Zorg ervoor dat de PowerShell-app de juiste machtigingen heeft via Azure AD > App-registraties. Daar kent u de vereiste Graph API-machtigingen toe en selecteert u Beheerderstoestemming verlenen.

NinjaOne-diensten die helpen bij schaalbaar beheer van extern delen

Het is cruciaal voor MSP’s en IT-teams om beleid voor extern delen in Microsoft 365-omgevingen te beheren. Dat is echter een complexe en tijdrovende taak, zeker bij grotere organisaties. NinjaOne biedt diverse mogelijkheden die automatisering, controle en monitoring verbeteren.

Op weg naar veiliger samenwerken

Beheert u extern delen in SharePoint en OneDrive voor bedrijven, pak het dan aan met gelaagde en schaalbare methoden. Van het instellen van globale standaardwaarden tot het auditen van toegang: volg de stappen zorgvuldig om risico’s te beperken en consistentie te waarborgen, terwijl samenwerking mogelijk blijft. Voert u deze taak goed uit, dan houdt u beveiliging en bruikbaarheid in balans bij het werken met partijen buiten uw organisatie.

Gerelateerde onderwerpen:

• Het handboek voor beheerders over SharePoint-groepsmachtigingen: instellen, beheren en beste praktijken
• Zo stopt u het delen van OneDrive-bestanden en -mappen in Windows 11
• Zo synchroniseert u mappen met OneDrive in Windows 10 & 11
• Zo wijzigt u de locatie van uw OneDrive-map in Windows
• Zo voegt u een netwerklocatie toe of verwijdert u die in Windows 10