将用户的 OneDrive 内容的访问权限限制为组中的人员

可以使用 OneDrive 访问限制策略，将单个用户的 OneDrive 内容的访问权限限制为安全组中的用户。非指定组中的用户无法访问内容，即使他们以前具有权限或共享链接也是如此。

使用Microsoft Entra安全组应用策略，其中包含应该能够访问该 OneDrive 中的文件的人员。

应用策略时，不会向安全组中的人员直接授予对任何文件的权限。 OneDrive 所有者必须像平常一样共享内容。 OneDrive 访问限制策略可阻止安全组中的任何人访问 OneDrive 内容，即使内容与安全组共享也是如此。

当用户尝试访问文件时，将应用访问限制策略。如果用户对文件具有直接权限，则仍然可以在搜索结果中看到文件，但如果他们不是指定安全组的一部分，则他们无法访问该文件。

还可以将 OneDrive 服务本身的访问权限限制为安全组中的人员。有关详细信息，请参阅按安全组限制 OneDrive 访问。

要求

必须先为组织启用站点访问限制，然后才能为用户的 OneDrive 配置站点访问限制。

若要在 SharePoint 管理中心中为组织启用网站访问限制，请执行以下操作：

若要使用 PowerShell 为组织启用站点访问限制，请运行以下命令：

Set-SPOTenant -EnableRestrictedAccessControl $true

命令可能需要长达一小时才能生效。

注意

对于 Microsoft 365 多地理位置用户，请为每个所需的地理位置单独运行此命令。

每个 OneDrive 最多可以分配 10 个Microsoft Entra安全组。添加安全组后，只有组中的用户有权访问已与他们共享的 OneDrive 中的内容。如果要将组成员身份基于用户属性，则可以使用动态安全组。

重要

OneDrive 的所有者必须包含在你指定的某个安全组中，否则他们将失去对其 OneDrive 及其内容的访问权限。

若要管理 OneDrive 的访问限制，请使用以下命令：

操作	PowerShell 命令
为给定的 OneDrive 启用访问限制。 (在添加安全组之前运行此命令。)	`Set-SPOSite -Identity <siteurl> -RestrictedAccessControl $true`
添加安全组	`Set-SPOSite -Identity <siteurl> -AddRestrictedAccessControlGroups <comma separated group GUIDS>`
编辑安全组	`Set-SPOSite -Identity <siteurl> -RestrictedAccessControlGroups <comma separated group GUIDS>`
查看安全组	`Get-SPOSite -Identity <siteurl> \| Select RestrictedAccessControl, RestrictedAccessControlGroups`
删除安全组	`Set-SPOSite -Identity <siteurl> -RemoveRestrictedAccessControlGroups <comma separated group GUIDS>`
重置站点访问限制	`Set-SPOSite -Identity <siteurl> -ClearRestrictedAccessControl`

Microsoft Purview 合规门户中提供了审核事件，可帮助你监视站点访问限制活动。为以下活动记录审核事件：