Office 365 | Gestión de grupos en Office 365 con PowerShell
La aparición de soluciones como Teams, dentro de los planes de Office 365 y Microsoft 365, así como la facilidad de utilización de sus aplicaciones, han multiplicado la creación de grupos de trabajo.
Cierto es que dicha funcionalidad, la de crear grupos en Office 365, ya existía desde hacía tiempo, pues desde Exchange los administradores y usuarios avanzado, podían crear grupos en Office 365 y gestionarlos.
Esta sencillez de la funcionalidad a través de Teams, permite que los usuarios de las organizaciones generen sus propias comunidades, dando como resultado grupos divertidos como el de la cena de navidad, el número de la lotería, entre muchos otros… Grupos que, en la mayoría de las veces, aunque son entretenidos, chocan con las orientaciones y misión de las compañías, así como con el sentido de productividad que se persigue al crear grupos en Office 365.
Office 365: ¿Por qué se generan grupos?
Como veíamos antes Microsoft Office 365 trabaja con la funcionalidad de “Grupos”. Cuando esta funcionalidad permanece activa (por defecto al crear una organización de Office 365), todos los usuarios pueden crear sitios de SharePoint, Outlook, Yammer, Teams, Planner y Power BI.
Esta sencillez de creación de grupos puede dar más de un quebradero de cabeza a los administradores y gestores de sistemas o del tenant de Office 365, al ver cómo se multiplican los grupos como si la parábola de los panes y los peces se tratase. De la noche a la mañana, una compañía puede llegar a tener 20, 45, 62… Siendo inmanejable su gestión, tratamiento y seguridad de la información. Pues a través de los grupos circulan comunicaciones, archivos y un largo etcétera de información que puede ser sensible para la compañía.
En la actualidad la forma más segura de controlar estos grupos y evitar su creación al libre albedrío y sin control, es utilizando las capacidades de PowerShell.
Para realizar este control de crear grupos en Office 365 es necesario ser usuario administrador.
Antes de empezar: Instalar PowerShell
Para comenzar esta actividad, es necesario conocer un poco PowerShell. En el caso de ser un usuario iniciado, no hay problema, pues a lo largo de esta página, se van a presentar los pasos que, además, se pueden obtener desde los tutoriales de Microsoft, aunque de una forma menos evidente.
Así que esperamos que las siguientes líneas, os sean de utilidad.
Como PowerShell, al igual que otras soluciones de Microsoft, recibe actualizaciones de forma automática, es recomendable tener instalada la última versión. Si no recordamos cual es, tan solo hay que seguir los siguientes pasos:
- Desinstalar versiones anteriores mediante el comando:
Uninstall-Module AzureAD
- Instalar la última versión mediante el comando:
Install-Module AzureADPreview
Una vez hemos realizado estos dos pasos, vamos al lío ?
1. Acudir a Azure Active Directory (AD) y crear un grupo de seguridad
Cuando empezamos a planificar un despliegue de soluciones de Office 365, uno de los elementos a tener en cuenta (de los muchos que hay en el proyecto), es la creación de un grupo de seguridad.
Se entiende por un grupo de seguridad un “conjunto” de usuarios preferiblemente administradores de sistemas, que serán los encargados de velar por la integridad y seguridad de la organización, usuarios e información.
Para este primer paso, acudiremos al Directorio Activo de Azure y en la entidad de usuarios, crearemos el grupo de seguridad y añadiremos los usuarios.
2. PowerShell: Conectar el entorno
Una vez hemos creado nuestro grupo de seguridad (con el nombre en este caso “Seguridad”) acudimos a PowerShell como usuarios administradores.
Escribimos el comando: Connect-AzureAD de forma que podamos abrir la organización de Office 365. Una vez dentro, insertamos nuestras credenciales como usuario administrador.
3. PowerShell: Conectar el entorno
Una vez dentro, veremos una ventana parecida a la que tenemos a continuación con fondo azul que nos recuerda por momentos a aquel antiguo MS DOS. (Qué tiempos!!!. Aunque entonces el fondo de pantalla era en color negro)
Como podemos observar, la pantalla nos muestra una información muy básica sobre nuestro usuario (cuenta/account), el entorno en el que nos encontramos y el identificador del tenant, mediante un registro alfanumérico bastante largo.
4. PowerShell: Conectar el entorno
Dado que anteriormente, hemos creado nuestro grupo de “Seguridad”, lo desde Azure, vamos a comprobar que se haya creado también en el panel de administración de Office 365.
En teoría, se tendría que haber creado a los pocos minutos, pues hay una sincronización bidireccional. (Ojo con las organizaciones mixtas o híbridas del tipo nube-onpremise. Estos ejemplos, los estamos viendo sobre un entorno completamente cloud).
Una vez hemos accedido y acudimos a la entidad grupos, vemos que efectivamente el grupo existe, por lo que avanzamos con el procedimiento.
5. PowerShell: Buscar nuestro grupo
Llegados a este punto, lo que vamos a hacer es a buscar el grupo que hemos creado desde PowerShell.
Para ello utilizamos el comando: Get-AzureADGroup -SearchString «<nombre_del_grupo>»
Donde pone «<nombre_del_grupo>», lo sustituiremos por “Seguridad”. Que es el nombre del grupo que hemos creado. En la siguiente imagen, obtenemos el siguiente resultado.
Si nos fijamos un poco más en la imagen, vemos que aparece un campo llamado descripción. Rellenarlo es opcional, pero ciertamente muy recomendable, pues siempre arrojará información al resto de usuarios administradores de nuestra organización. (Además de ser una actitud de compañerismo, pues ayuda a otros usuarios a conocer la razón de la existencia de dicho grupo)
6. PowerShell: Introducción del script
Ahora que tenemos nuestro entorno preparado, solo nos queda introducir en PowerShell un script, para comprobar que podemos continuar con la configuración.
$Template = Get-AzureADDirectorySettingTemplate | where {$_.DisplayName -eq ‘Group.Unified’}
$Setting = $Template.CreateDirectorySetting()
New-AzureADDirectorySetting -DirectorySetting $Setting
Si obtenemos el mensaje de error de la imagen siguiente con párrafos en color rojo tipo: “A conflicting object with one or more….”
Es que el entorno ya estaba preparado, por lo que no hay que asustarse. No hay problema alguno así que continuamos con la tarea.
7. Aplicar la política de restricción grupos
En último lugar, solo nos queda aplicar la restricción de creación de grupos para todos los usuarios.
Esta acción limitará la funcionalidad de crear grupos en Office 365 a los usuarios de la compañía, por lo que ya no habrá descontrol y viviremos más tranquilos…
Solamente los usuarios del grupo de “Seguridad” que hemos creado tendrán ese privilegio. Podrán crear grupos en Office 365, administrarlos y todo lo demás que necesiten.
Para cubrir esta política, escribimos en PowerShell la siguiente sentencia / comandos:
$Setting = Get-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value “Group.Unified” -EQ).id
$Setting[“EnableGroupCreation”] = $False
$Setting[“GroupCreationAllowedGroupId”] = (Get-AzureADGroup -SearchString «nombre_del_grupo» objectid
Set-AzureADDirectorySetting -Id (Get-AzureADDirectorySetting | where -Property DisplayName -Value “Group.Unified” -EQ).id -DirectorySetting $Setting
(Get-AzureADDirectorySetting).Values
¡Recordar! Donde pone «<nombre_del_grupo>» , lo sustituiremos por “Seguridad”. Que es el nombre del grupo que hemos creado.
$Setting[“EnableGroupCreation”] = $False
Si en esta sentencia cambiamos $False por $True se podrán volver a crear grupos por parte de todos los usuarios.
8. Comprobar la política de restricción grupos
Una vez hemos ejecutado la sentencia / comandos veremos que se habrá aplicado la restricción de creación de grupos para todos los usuarios.
Como podemos comprobar en la imagen, la funcionalidad “EnableGroupCreation” destinada a crear grupos en Office 365 aparece con valor “False”. De forma que solamente los miembros del grupo “Seguridad” que hemos creado, tendrán ese privilegio.
Esta acción, tiene como vemos varios resultados:
- Directamente: Limitamos a todos los usuarios la creación de grupos, que puede ser enorme y generar sin querer brechas de seguridad, basura digital (archivos almacenados por doquier y que caen en el olvido), consumos de espacios, comunicaciones que no aporten valor… Y un sinfín de cosas más.
- Indirectamente: Por desgracia, lo usuarios y miembros de negocio no suelen ser conscientes de que las funcionalidades “no son gratis”. Esto es, adquirir un plan de Office 365 es un activo que, a modo de software, es una inversión en productividad para las organizaciones y sus miembros por lo que, como tales, deben ser orientadas a tal fin. De esta forma, redundará en el beneficio común y su retorno, se verá claramente identificado.
Lo ideal es que los grupos estén de alguna forma sustentados por las necesidades del negocio, bien para perseguir un proyecto de forma conjunta; generar un espacio de entendimiento y puesta en común de ideas, etc. Cuya creación sea autorizada por los equipos de de TI y responsables de negocio. No con fines de fiscalización, no. Sino de apoyo, ayuda y sobre todo, seguridad.
9. Resultados: Teams
Como veíamos al principio del artículo, los resultados en las aplicaciones de Office 365 son inmediatas. En el caso de Teams, veamos qué sucede.
Si entramos a la organización de Office 365 con un usuario básico (no administrador) y ejecutamos Teams podremos ver que el botón “Unirse a un equipo o crear un equipo”, no permite crear equipos.
Los usuarios solo podrán unirse a un equipo, cuando alguien de administración les invite o les ofrezca el código de acceso al mismo.
10. Resultado: Planner
Si entramos a la organización de Office 365 con un usuario básico (no administrador) y ejecutamos Planner podremos ver tras pulsar el botón “Crear Plan” no se podrán crear planes.
Aparece además el siguiente mensaje: “El administrador ha desactivado la creación de nuevos grupos”. Los usuarios no podrán crear planes.
11. Resultado: Outlook
Si entramos a la organización de Office 365 con un usuario básico (no administrador) y ejecutamos Outlook web podremos ver tras pulsar el botón “Crear Grupo” ha desaparecido.
Los usuarios no podrán crear grupos.
Tan solo podrán consultar aquellos en los que han sido incluidos, visualizar los miembros y los propietarios.
12. Resultado: SharePoint
Si entramos a la organización de Office 365 con un usuario básico (no administrador) y ejecutamos SharePoint Online podremos ver que el botón “Crear Sitio” ha desaparecido.
Los usuarios no podrán crear sitios.
Y en el caso de querer publicar algo, deberá tener permisos de edición concedidos por administración.
César Hassen-Bey es Microsoft 365 Manager y Power BI Lead en EQM.
Enterprise Quality Management
Como Partner Gold de Microsoft, somos la compañía experta en consultoría, implantación, integración, soporte y formación de Microsoft Office 365 y resto de productos de Microsoft para tu organización.
Nuestra metodología y aproximación a la resolución de tus problemas, la realizamos desde el conocimiento de tus procesos de negocio, para identificar la solución que realmente permita resolver tus necesidades.
Accede a más información acerca de los productos de Microsoft que implantamos en EQM, desde el apartado “Soluciones”, disponible en la cabecera de esta página web.
Contáctanos a través de nuestro formulario de contacto, para recibir rápidamente la información y asesoramiento adecuados, sin compromiso.