Lección 5: Trabajar con TI para la gestión de permisos

🤝 Cuándo involucrar a tu equipo de TI

Como usuario de negocio, puedes manejar la mayor parte de la gestión diaria de permisos a través de la interfaz de SharePoint. Sin embargo, ciertos escenarios requieren soporte de TI o herramientas automatizadas:

Instalación de los módulos de PowerShell necesarios

La gestión moderna de permisos de SharePoint requiere tanto PnP PowerShell como Microsoft Graph PowerShell para gestionar grupos de Entra:

# Instalar PnP PowerShell para la gestión de SharePoint
Install-Module -Name PnP.PowerShell -Force -AllowClobber

# Instalar Microsoft Graph PowerShell para la gestión de grupos de Entra (recomendado)
Install-Module -Name Microsoft.Graph -Force -AllowClobber

# Verificar instalaciones
Get-Module -Name PnP.PowerShell -ListAvailable
Get-Module -Name Microsoft.Graph -ListAvailable

# Conectar a SharePoint
Connect-PnPOnline -Url "https://tutenant.sharepoint.com/sites/tusitio" -Interactive

# Conectar a Microsoft Graph (para gestión de grupos de Entra)
Connect-MgGraph -Scopes "Group.Read.All","Group.ReadWrite.All"

📋 Comandos esenciales de permisos

Domina estos comandos principales para manejar el 90% de las tareas de gestión de permisos:

# Obtener todos los permisos del sitio
$sitePermissions = Get-PnPSiteGroup
$sitePermissions | Format-Table Title, Users, Roles

# Obtener permisos detallados de un grupo específico
Get-PnPGroupMember -Identity "Site Members"

# Obtener permisos de una biblioteca específica
$libraryPermissions = Get-PnPListPermission -Identity "Documents"
$libraryPermissions

# Comprobar si la biblioteca tiene permisos únicos
$list = Get-PnPList -Identity "Documents"
$list.HasUniqueRoleAssignments

# Obtener todos los permisos de un usuario específico
$userEmail = "maria.garcia@empresa.com"
Get-PnPUserEffectivePermissions -Identity $userEmail -List "Documents"

# Encontrar todos los grupos a los que pertenece un usuario
Get-PnPUser -Identity $userEmail | Select-Object Groups

👥 Scripts de gestión masiva de usuarios

Estos scripts ahorran horas al gestionar equipos grandes o múltiples colecciones de sitios:

📊 Informes y auditoría de permisos

Para auditorías de cumplimiento y seguridad, necesitas informes detallados de permisos:

# CRÍTICO: Monitorear permisos únicos (herencia rota)
# ADVERTENCIA: Los permisos únicos NO son buena práctica — ¡monitorea de cerca!

# Encontrar todos los elementos con herencia rota (PREOCUPACIÓN PRINCIPAL)
$brokenInheritance = Get-PnPList | Where-Object {$_.HasUniqueRoleAssignments -eq $true}
Write-Warning "Se encontraron $($brokenInheritance.Count) elementos con herencia rota — ¡esto debería minimizarse!"
$brokenInheritance | Select-Object Title, DefaultViewUrl | Export-Csv "HerenciaRota_$(Get-Date -Format 'yyyyMMdd').csv"

# Comprobar usuarios externos (riesgo de seguridad)
$externalUsers = Get-PnPUser | Where-Object {$_.Email -like "*#ext#*"}
$externalUsers | Select-Object Title, Email, Groups | Export-Csv "UsuariosExternos_$(Get-Date -Format 'yyyyMMdd').csv"

# Alertar si se encuentran demasiados permisos únicos
if ($brokenInheritance.Count -gt 20) {
    Write-Error "ALERTA: $($brokenInheritance.Count) elementos con permisos únicos supera el límite recomendado de 20!"
}

🚀 Escenarios avanzados de permisos

✅ Mejores prácticas de PowerShell para gestión de permisos

1. Probar siempre primero

# Usar el parámetro -WhatIf cuando esté disponible
Remove-PnPGroupMember -Identity "Site Members" -LoginName "usuario@empresa.com" -WhatIf

# Probar con un solo usuario antes de operaciones masivas
$testUser = "usuario.prueba@empresa.com"
Add-PnPGroupMember -Identity "Equipo de Marketing" -LoginName $testUser

2. Implementar registro completo

# Iniciar registro
$logFile = "C:\Logs\CambiosPermisos_$(Get-Date -Format 'yyyyMMdd_HHmm').txt"
Start-Transcript -Path $logFile

# Tus cambios de permisos aquí
Write-Host "Añadiendo usuario $userEmail al grupo $groupName" -ForegroundColor Green

# Detener registro
Stop-Transcript

3. Gestión de errores para scripts de producción

try {
    Add-PnPGroupMember -Identity "Site Members" -LoginName $userEmail
    Write-Host "Usuario $userEmail añadido correctamente" -ForegroundColor Green
}
catch {
    Write-Warning "Error al añadir $userEmail : $($_.Exception.Message)"
    # Registrar error para revisión
    Add-Content -Path $errorLog -Value "$userEmail : $($_.Exception.Message)"
}

🔧 Problemas comunes de PowerShell y soluciones

Problema: Errores de «Acceso denegado»

Problema: El script se ejecuta lentamente

Problema: No se encuentran usuarios

# Verificar que el usuario existe antes de añadirlo a grupos
$user = Get-PnPUser -Identity $userEmail -ErrorAction SilentlyContinue
if ($user) {
    Add-PnPGroupMember -Identity $groupName -LoginName $userEmail
} else {
    Write-Warning "Usuario $userEmail no encontrado en SharePoint"
}

📁 Plantillas de scripts para tu empresa

Estas plantillas proporcionan un punto de partida para tareas comunes de gestión de permisos:

🎯 Conclusiones clave

• PowerShell automatiza las tareas repetitivas de permisos, ahorrando horas de trabajo manual
• Prueba siempre los scripts en entornos de no producción primero
• Implementa registro completo y gestión de errores
• Usa PnP PowerShell para la gestión moderna de SharePoint Online
• Crea plantillas de scripts reutilizables para escenarios empresariales comunes
• Las auditorías regulares de permisos ayudan a mantener la seguridad y el cumplimiento