M365Con 2027 – conferencia online gratuita · 11–22 Jan 2027 · 120 sessions→ m365con.net
M365.FM DUB
EspañolES
EnglishEnglishDeutschDeutschEspañolEspañolFrançaisFrançaisItalianoItalianoPortuguêsPortuguêsNederlandsNederlandsPolskiPolskiBahasa IndonesiaBahasa IndonesiaРусскийРусскийУкраїнськаУкраїнськаالعربيةالعربيةעבריתעברית日本語日本語한국어한국어
☰
ComunidadTodos los episodiosPodcastBlogVideosLibraryGuestsPerfilAprenderPodcast

Blog · Mirko Peters

Cómo generar un informe de grupos de roles de Microsoft Purview con PowerShell

By · · Updated

Usa PowerShell para crear un informe de los permisos de tus grupos de roles de Microsoft Purview. Audita el cumplimiento, eDiscovery y Microsoft 365 con esta guía.

Automatically translated with AI from the original post. Read the English original

Gestionar los grupos de roles en Purview es fundamental para mantener la seguridad y el cumplimiento dentro de tu organización. Puedes agilizar este proceso con PowerShell, que automatiza tareas y ahorra tiempo. Con PowerShell puedes generar fácilmente un informe que detalle los miembros de cada grupo de roles en Purview. Esta guía te explicará paso a paso los pasos necesarios para conectarte a Purview y crear tu informe de forma eficaz.

Puntos clave

7 datos sorprendentes sobre el informe de grupos de roles de Microsoft Purview

Requisitos previos para PowerShell

Prerequisites for PowerShell

Permisos necesarios

Antes de empezar a usar PowerShell para generar informes en Purview, asegúrate de tener los permisos necesarios. Necesitas acceso de administrador a Purview. Este acceso te permite ver y gestionar los grupos de roles de forma eficaz. Sin estos permisos, es posible que encuentres errores al ejecutar scripts o al obtener datos.

Instalación de PowerShell

Para ejecutar scripts de PowerShell, debes tener PowerShell instalado en tu equipo. La versión mínima requerida es la 5.1. Si no lo tienes instalado, puedes descargarlo desde el sitio oficial de Microsoft. Además, necesitarás módulos específicos para conectarte a Microsoft Purview. Los módulos requeridos son CAMP y AIPService.

Aquí tienes una lista de verificación rápida para asegurarte de que cumples los requisitos previos:

Al cumplir estos requisitos previos, te preparas para una experiencia fluida al generar tu informe de grupos de roles de Purview.

Resumen de los pasos

  1. Verifica tu versión de PowerShell.
  2. Instala los módulos necesarios.
  3. Confirma tu acceso administrativo en Purview.

Seguir estos pasos te preparará para usar PowerShell de forma eficaz para tus necesidades de generación de informes.

Conéctate a Microsoft Purview

Configurar la conexión

Para conectarte a Microsoft Purview con PowerShell, sigue estos pasos:

  1. Asegúrate de tener una suscripción de Azure: necesitas una suscripción de Azure válida y un inquilino de Microsoft Entra vinculado a ella.
  2. Inicia sesión en Azure Portal: usa tus credenciales de cuenta de Azure para acceder al portal.
  3. Instala Azure PowerShell o Azure CLI: asegúrate de tener instaladas en tu equipo cliente las herramientas necesarias.
  4. Crea un grupo de recursos: si no tienes uno, ejecuta el siguiente comando:
    New-AzResourceGroup -Name myResourceGroup -Location 'East US'
  5. Crea o implementa la cuenta de Microsoft Purview: usa este comando para configurar tu cuenta de Purview:
    New-AzPurviewAccount

Seguir estos pasos te ayudará a establecer una conexión segura con Microsoft Purview.

Autenticar credenciales

Una vez configurada la conexión, debes autenticar tus credenciales. Así se hace:

  1. Abre PowerShell: inicia PowerShell en tu equipo.
  2. Ejecuta el comando de inicio de sesión: usa el siguiente comando para iniciar sesión:
    Connect-AzAccount
    Este comando te pide que introduzcas las credenciales de tu cuenta de Azure.
  3. Verifica la conexión: después de iniciar sesión, comprueba si tienes acceso a tu cuenta de Purview ejecutando:
    Get-AzPurviewAccount

Si encuentras algún problema durante el proceso de conexión, ten en cuenta estos errores habituales:

Siguiendo estos pasos, podrás conectarte a Microsoft Purview y autenticar tus credenciales, con lo que tendrás el camino libre para generar tu informe de grupos de roles.

Generar el informe de grupos de roles de Purview

Generate Purview Role Group Report

Script de PowerShell para el informe de membresías

Para generar un informe de grupos de roles de Purview, puedes usar el siguiente script de PowerShell. Este script se conecta a Microsoft Graph y obtiene la membresía de los grupos de roles. Sigue estos pasos para crear tu informe:

  1. Conéctate a Microsoft Graph: usa los ámbitos necesarios para acceder a los datos requeridos.
  2. Conéctate a Exchange Online: asegúrate de tener acceso al punto de conexión de seguridad y cumplimiento.
  3. Obtén los grupos de roles: ejecuta el cmdlet Get-RoleGroup para encontrar todos los grupos de roles de tu inquilino.
  4. Enumera los miembros: para cada grupo de roles, identifica los miembros actuales. Distingue entre los distintos tipos de objetos de Entra ID.
  5. Actualiza las listas de PowerShell: crea listas para almacenar los detalles de cada asignación de rol y de cada membresía de grupo de roles.
  6. Identifica los identificadores únicos: localiza los identificadores únicos que tienen asignaciones de roles, como usuarios o entidades de servicio.
  7. Recopila los detalles de los objetos: para cada identificador único, recopila información adicional, como el departamento y el país.
  8. Ordena la información: organiza la información de asignación de usuarios por tipo de objeto y nombre para facilitar el informe.
  9. Genera un informe HTML: crea un informe HTML que incluya los detalles de cada grupo de roles activo y sus miembros.

Este es un script de PowerShell de ejemplo que implementa estos pasos:

# Connect to Microsoft Graph
Connect-MgGraph -Scopes "Group.Read.All"

# Get role groups
$roleGroups = Get-RoleGroup

# Initialize lists
$roleGroupMemberships = @()

foreach ($group in $roleGroups) {
    $members = Get-RbacGroupMember -GroupId $group.Id
    foreach ($member in $members) {
        $roleGroupMemberships += [PSCustomObject]@{
            RoleGroupName = $group.DisplayName
            MemberName    = $member.DisplayName
            MemberType    = $member.ObjectType
        }
    }
}

# Generate HTML report
$roleGroupMemberships | ConvertTo-Html -Property RoleGroupName, MemberName, MemberType -Title "Purview Role Group Membership Report" | Out-File "PurviewRoleGroupReport.html"

Este script te ayudará a generar un informe completo sobre la membresía de los grupos de roles de Purview.

Interpretar los datos de salida

Después de ejecutar el script de PowerShell, recibirás un informe en HTML con los miembros de los grupos de roles. Así es como puedes interpretar los datos de salida:

Al analizar estos datos, puedes conocer mejor la pertenencia a grupos de roles dentro de tu organización. Esta información es clave para garantizar un control de acceso basado en roles (RBAC) adecuado y mantener el cumplimiento de la seguridad.

Ten en cuenta que la precisión de los miembros que muestra el informe depende del estado actual de tu entorno de Purview. Actualizar periódicamente tus scripts e informes te ayudará a estar al tanto de cualquier cambio en la pertenencia a los grupos de roles.

Mejores prácticas para la generación de informes

Programar informes periódicos

Para mantener el cumplimiento y la seguridad, debes programar informes periódicos sobre los grupos de roles de Purview. La generación de informes con regularidad te ayuda a estar al tanto de quién ocupa roles de cumplimiento y garantiza que tu organización cumple las directivas de seguridad. Estos son algunos pasos para programar estos informes de forma eficaz:

  1. Usa los cmdlets de PowerShell: aprovecha los cmdlets de PowerShell para automatizar el proceso de generación de informes. Puedes crear un script que se ejecute en intervalos específicos.
  2. Configura el Programador de tareas: utiliza el Programador de tareas de Windows para ejecutar tu script de PowerShell automáticamente. Así recibirás informes actualizados sin intervención manual.
  3. Elige los formatos de informe: guarda tus informes en formatos seguros, como .PDF. Esto protege la información confidencial y facilita compartirla con los usuarios autorizados.

Consejo: aplica siempre el principio de privilegio mínimo al conceder acceso a los informes. Así se reduce el riesgo de acceso no autorizado.

Analizar los datos del informe

Una vez generados los informes, analizar los datos es fundamental. Conocer la pertenencia a los grupos de roles de cumplimiento te ayuda a identificar posibles riesgos de seguridad. Estas son algunas estrategias para un análisis eficaz:

Si sigues estas mejores prácticas, mejorarás tu proceso de generación de informes y asegurarás que tu organización siga cumpliendo los estándares de cumplimiento de Microsoft 365.

En esta guía has aprendido a generar un informe de grupos de roles de Purview con PowerShell. Te conectaste a Microsoft Purview, autenticaste tus credenciales y ejecutaste un script de PowerShell para obtener la pertenencia a los grupos de roles.

La generación de informes periódica es fundamental para mantener la seguridad y el cumplimiento. Te ayuda a supervisar el acceso e identificar posibles riesgos.

Te animo a integrar este proceso en tus flujos de trabajo. Así reforzarás la postura de seguridad de tu organización y garantizarás el cumplimiento de los estándares del sector.

Preguntas frecuentes

¿Qué es Microsoft Purview?

Microsoft Purview es una solución unificada de gobernanza de datos que te ayuda a administrar y proteger tus datos en distintos entornos. Ofrece herramientas para el descubrimiento, la clasificación y el cumplimiento de datos.

¿Por qué usar PowerShell para los informes de Purview?

Usar PowerShell automatiza el proceso de generación de informes, lo que te ahorra tiempo y reduce los errores manuales. Te permite obtener y administrar de forma eficiente la pertenencia a los grupos de roles en Purview.

¿Con qué frecuencia debo generar informes de grupos de roles de Purview?

Debes generar informes de grupos de roles de Purview con regularidad, idealmente mensual o trimestralmente. Esta práctica te ayuda a supervisar los accesos y mantener el cumplimiento de las directivas de seguridad.

¿Qué hago si encuentro errores al ejecutar el script de PowerShell?

Si encuentras errores, revisa tus permisos, asegúrate de que todos los módulos necesarios estén instalados y verifica tu conexión a Microsoft Purview. Consulta los mensajes de error para obtener indicaciones específicas.

¿Puedo personalizar el formato del informe?

Sí, puedes personalizar el formato del informe. Modifica el script de PowerShell para cambiar el formato de salida, por ejemplo, para generar archivos CSV o PDF, según tus necesidades.

portal de Purview y portal de cumplimiento de Purview

Estas preguntas frecuentes se centran en generar un informe de grupos de roles de Purview con PowerShell y explican los permisos relacionados, la administración de roles y la auditoría en Microsoft Purview y Microsoft 365.

módulo de PowerShell, permisos de Microsoft Purview y roles RBAC de Purview

La guía explica cómo usar el módulo de PowerShell y el SDK de Microsoft Graph PowerShell para enumerar los miembros de los grupos de roles, examinar las definiciones de roles integradas y crear informes para escenarios de cumplimiento y eDiscovery.

¿Qué es un informe de grupos de roles de Purview con PowerShell y por qué crearlo?

Un informe de grupos de roles de Purview con PowerShell es una lista generada (CSV o JSON) de los grupos de roles, las asignaciones de roles (roles RBAC de Purview y asignaciones a roles integrados) y los miembros de cada grupo de roles en las soluciones de Microsoft Purview y los servicios de Microsoft 365. Lo creas para auditar los permisos de roles, comprobar quién tiene acceso a roles privilegiados (rol de Administrador global o rol de administrador), respaldar revisiones de cumplimiento y casos de eDiscovery, o alimentar los procesos de control de cambios y las revisiones de permisos de gestión de riesgos internos.

¿Qué módulo de PowerShell uso para generar un informe de grupos de roles de Microsoft Purview?

Usa una combinación de módulos según tu entorno: el SDK de Microsoft Graph PowerShell para consultar las asignaciones de roles del portal de Microsoft Purview y los miembros de los grupos de roles, y el módulo de Exchange Online Management o los módulos de Security & Compliance para algunos grupos de roles específicos de Microsoft 365 y eDiscovery. Microsoft a veces documenta ejemplos en Microsoft Learn para tareas de datos de Purview y del portal de cumplimiento de Purview.

¿Qué permisos necesito para ejecutar un informe de grupos de roles de Purview con PowerShell?

Normalmente necesitas roles con privilegios elevados, como el rol de Administrador global o un rol de administrador delegado con capacidades de gestión de roles, o permisos específicos de Microsoft Purview, como roles administrativos en el portal de Purview (rol privilegiado o rol de administrador). Para algunas consultas puede ser necesario formar parte del grupo de roles Administración de la organización o del grupo de roles Administrador de eDiscovery. Asegúrate de haber concedido los permisos de Graph necesarios al usar el SDK de Microsoft Graph PowerShell para leer las asignaciones de roles y las entradas del registro de auditoría.

¿Cómo puedo enumerar los miembros de los grupos de roles y sus roles con el SDK de Microsoft Graph PowerShell?

Autentícate con permisos delegados o de aplicación que incluyan roleManagement.read.* y Directory.Read.All, y después consulta roleDefinitions y roleAssignments para asociar los roles RBAC de Purview con los grupos de roles y enumerar sus miembros. Exporta los resultados a CSV para crear el informe. Para grupos específicos de Exchange Online, como el grupo de roles Administrador de eDiscovery, es posible que necesites el módulo de Exchange Online Management para listar sus miembros y los privilegios de búsqueda de contenido.

¿Puedo incluir roles de eDiscovery y de protección de la información en el mismo informe?

Sí. Combina datos del portal de Microsoft Purview (para las soluciones de Microsoft Purview y los roles de datos de Microsoft Purview), de los servicios de Microsoft 365 (búsqueda de contenido, casos de eDiscovery, rol de administrador de eDiscovery y grupo de roles de administrador de eDiscovery) y de las asignaciones de Microsoft Information Protection. Usa varios módulos de PowerShell o consultas de Graph para agregar los permisos de roles, luego normalízalos y expórtalos como un único informe.

¿Cómo audito los cambios en los grupos de roles y hago seguimiento de los permisos a lo largo del tiempo?

Usa el registro de auditoría y los eventos de inicio de sesión y auditoría de Azure AD (Microsoft Entra / Microsoft Entra ID) accesibles mediante el SDK de Microsoft Graph PowerShell o las API de auditoría del portal de cumplimiento de Purview. Programa exportaciones periódicas de las asignaciones de roles y de las listas de miembros de los grupos de roles para detectar cambios. Guardar instantáneas históricas permite detectar desviaciones y respalda la recopilación de evidencias de cumplimiento.

¿Cuáles son las limitaciones habituales de los roles integrados que debes vigilar en los informes de grupos de roles de Purview?

Las definiciones de roles integrados pueden ser muy amplias (por ejemplo, Administrador global o Administrador de cumplimiento) y pueden conceder acceso a Microsoft Purview, a operaciones de depuración o a datos privilegiados. Un informe debería destacar los solapamientos entre roles integrados, los grupos de roles predeterminados y las asignaciones que, en la práctica, otorgan acceso elevado a los datos de Microsoft Purview, Microsoft Defender XDR o Microsoft 365 Copilot. Ten en cuenta que algunos roles integrados no se pueden modificar, pero sí contabilizar y supervisar.

¿Cómo gestiono los grupos de roles para la administración delegada y reduzco la exposición a roles privilegiados?

Identifica los miembros de grupos de roles asignados a roles privilegiados y aplica el principio de privilegio mínimo: crea roles personalizados más restrictivos cuando sea posible, elimina las pertenencias innecesarias a grupos de roles y usa cuentas de acceso de emergencia (break-glass) con controles específicos para los accesos de urgencia. El informe debería marcar los usuarios del grupo de roles Administración de organizaciones, los titulares de roles de administrador y las entidades de servicio con asignaciones de roles, para minimizar el riesgo de los roles privilegiados.

¿Dónde puedo encontrar ejemplos y buenas prácticas para crear y automatizar estos informes?

Consulta Microsoft Learn y la documentación para ver ejemplos de PowerShell con Microsoft Graph PowerShell SDK, el módulo de administración de Exchange Online y las API del portal de cumplimiento. Entre las buenas prácticas se incluyen automatizar las exportaciones programadas, capturar las entradas del registro de auditoría, documentar los permisos de los roles como un conjunto de permisos e integrar los hallazgos en los flujos de gobierno para la gestión de roles, las revisiones de permisos de roles y las auditorías de cumplimiento.

Microsoft Purview Compliance

Related articles

RSS