Audyt uprawnień SharePoint Online

By Mirko Peters · 2025-11-24 · Updated 2026-07-18

Zbuduj zautomatyzowany potok audytu uprawnień w SharePoint Online z użyciem PnP PowerShell i Microsoft Graph, aby wykrywać zagrożenia dostępu na dużą skalę.

Automatically translated with AI from the original post. Read the English original

Ręczny przegląd uprawnień w SharePoint to duże wyzwanie. Witryny zmieniają się każdego dnia. Ludzie dołączają do zespołów i je opuszczają. Potrzebujesz sposobu, by śledzić, kto ma dostęp do czego, i nie przeoczyć ukrytych zagrożeń. Zautomatyzowany audyt SharePoint Online pomaga wykrywać luki, chronić dane i oszczędzać czas. Dzięki narzędziom takim jak PnP PowerShell, Microsoft Graph i Azure Automation możesz zbudować system, który sprawdza uprawnienia za Ciebie.

Najważniejsze wnioski

• Zautomatyzowany audyt uprawnień w SharePoint Online oszczędza czas i obniża ryzyko bezpieczeństwa. Pozwala zobaczyć, kto ma dostęp do czego. Nie musisz sprawdzać wszystkiego ręcznie.

• Użyj PnP PowerShell i Microsoft Graph, aby znaleźć wszystkie witryny i uprawnienia. Dzięki temu zobaczysz cały dostęp w firmie.

• Skonfiguruj uwierzytelnianie aplikacji (app-only) dla swojego potoku audytu. Dzięki temu system jest bezpieczny i nadal działa, gdy zmieniają się konta użytkowników.

• Uruchamiaj audyty często i ustaw alerty dla ryzykownych zmian uprawnień. Pomoże to wcześnie wykryć problemy z bezpieczeństwem, zanim się pogorszą.

• Użyj Power BI do prezentacji wyników audytu. Pulpity pokazują trendy i ułatwiają dzielenie się wynikami z zespołem.

Dlaczego ręczne przeglądy uprawnień zawodzą

Wyzwania ręcznego audytu

Ręczne sprawdzanie uprawnień w SharePoint jest trudne. SharePoint Online korzysta z wielu rodzajów uprawnień. Są grupy Microsoft 365 i grupy zabezpieczeń Entra. Niektóre uprawnienia dotyczą wyłącznie SharePoint. Linki udostępniania i dostęp gości dodatkowo komplikują sprawę. Musisz śledzić wiele witryn i bibliotek. Każda witryna może mieć własne uprawnienia. Ręczne kontrole przeoczają ukryte zagrożenia, ponieważ wszystko zmienia się szybko.

• Struktury uprawnień są trudne do zrozumienia.

• Różne typy grup wprowadzają zamieszanie.

• Linki udostępniania i użytkownicy zewnętrzni generują kolejne problemy.

• Ryzyko bezpieczeństwa rośnie, jeśli nie możesz sprawdzić wszystkiego.

Ryzyko nieaktualnych uprawnień

Stare uprawnienia mogą spowodować poważne problemy. Jeśli nie aktualizujesz dostępu, ludzie zachowują prawa, których nie powinni mieć. Może to prowadzić do wycieków danych i problemów z bezpieczeństwem. Poniższa tabela zawiera najczęstsze zagrożenia:

Zautomatyzowane audyty uprawnień w SharePoint Online pomagają wykryć te zagrożenia, zanim wyrządzą szkody.

Luki w audytowalności i zgodności

Ręczne przeglądy często pomijają istotne zasady. Czasem grupy „Wszyscy” lub „Wszyscy oprócz użytkowników zewnętrznych” mogą widzieć prywatne pliki. Linki udostępniania zewnętrznego i anonimowe linki mogą nigdy nie wygasać. Stare witryny i biblioteki mogą nadal zawierać ryzykowne dane, ale nikt ich nie sprawdza.

Wskazówka: Regularne audyty pomagają wykrywać i naprawiać te problemy, zanim się pogorszą.

• Zbyt szeroki dostęp do prywatnych danych

• Brak ograniczeń dla linków udostępniania i anonimowych linków

• Stare witryny i biblioteki z ryzykownymi danymi

Jeśli nie aktualizujesz uprawnień regularnie, możesz doprowadzić do wycieku danych, naruszyć zasady zgodności i narazić się na zagrożenia bezpieczeństwa. Zautomatyzowany audyt SharePoint Online pomaga zapobiegać tym problemom i chroni Twoją firmę.

Potok zautomatyzowanego audytu uprawnień w SharePoint Online

Przegląd architektury potoku

Przed zbudowaniem potoku potrzebny jest dobry plan. Potok działa jak maszyna. Pobiera Twoją dzierżawę SharePoint i tworzy raport. Raport pokazuje, kto może zobaczyć co. Nie musisz sprawdzać każdej witryny osobiście. Tę pracę wykonuje za Ciebie potok.

Oto jak działa potok:

1. Wykrywanie: Potok znajduje każdą witrynę, bibliotekę i plik w dzierżawie SharePoint Online.

2. Zbieranie: Pobiera dane o uprawnieniach z każdego miejsca.

3. Normalizacja: Potok przekształca złożone dane o uprawnieniach w prostą tabelę.

4. Raportowanie: Zapisuje wyniki w plikach CSV lub JSON. Te pliki możesz wykorzystać w Power BI lub innych narzędziach.

5. Alerty: Potok wyszukuje zmiany i wysyła alerty, jeśli wykryje nowe zagrożenia.

Wskazówka: Narysuj kroki potoku na papierze. Pomoże Ci to zobaczyć każdy etap i wykryć brakujące kroki.

Pipeline możesz uruchamiać codziennie. Dzięki temu otrzymujesz nowe dane i szybko wykrywasz problemy. Zautomatyzowany audyt SharePoint Online daje Ci proces, któremu można ufać i który można wielokrotnie wykorzystywać.

Konfiguracja uwierzytelniania aplikacji (App-Only)

Chcesz, aby pipeline działał bez logowania się użytkownika. Uwierzytelnianie aplikacji (app-only) to umożliwia. Tworzysz rejestrację aplikacji w Entra ID (Azure AD). Aplikacja otrzymuje tylko te uprawnienia, których potrzebuje. Dzięki temu Twój system jest bezpieczny.

Wykonaj następujące kroki:

• Zarejestruj nową aplikację w Entra ID.

• Przydziel aplikacji wyłącznie niezbędne uprawnienia. Na przykład użyj Sites.Read.All i Group.Read.All.

• Utwórz certyfikat do bezpiecznego logowania.

• Umieść certyfikat w Azure Key Vault.

Za pomocą PnP PowerShell łączysz się z SharePoint Online przy użyciu aplikacji. Podejście app-only dobrze sprawdza się w zautomatyzowanych audytach SharePoint Online. Nie przestaje działać, gdy ktoś odchodzi z firmy lub zmienia hasło.

Uwaga: nie używaj osobistych kont administracyjnych do automatyzacji. Dostęp app-only jest bezpieczniejszy i lepiej się sprawdza.

Integracja Azure Automation i Key Vault

Chcesz, aby pipeline uruchamiał się według harmonogramu. Azure Automation pomaga to zrobić. Piszesz runbook w PowerShell. Runbook łączy się z SharePoint Online, pobiera uprawnienia i zapisuje wyniki.

Azure Automation może pobrać certyfikat z Azure Key Vault. Dzięki temu Twoje sekrety są bezpieczne. Nie musisz umieszczać haseł ani certyfikatów w skryptach.

Oto prosty przebieg:

• Azure Automation uruchamia runbook.

• Runbook pobiera certyfikat z Key Vault.

• Skrypt łączy się z SharePoint Online przy użyciu uwierzytelniania app-only.

• Pobiera i zapisuje dane o uprawnieniach.

Runbook możesz ustawić tak, aby działał codziennie lub co tydzień. Jeśli potrzebujesz większej mocy obliczeniowej lub dłuższego czasu działania, możesz też użyć Hybrid Runbook Worker.

Ważne: zawsze przechowuj sekrety w Azure Key Vault. Dzięki temu Twoje dane uwierzytelniające są bezpieczne, a pipeline jest chroniony.

Zautomatyzowany audyt uprawnień SharePoint Online z użyciem Azure Automation i Key Vault daje bezpieczny proces, który nie wymaga ręcznej obsługi. Otrzymujesz regularne raporty i możesz ufać wynikom.

Pozyskiwanie i normalizacja danych o uprawnieniach

Wykrywanie witryn i zasobów za pomocą PnP PowerShell

Zanim sprawdzisz uprawnienia, musisz znaleźć wszystkie witryny i zasoby SharePoint Online. PnP PowerShell zapewnia narzędzia, które w tym pomagają. Możesz użyć wyliczania subdomen, aby wyświetlić listę wszystkich witryn SharePoint w swojej firmie. Sztuczki z wyszukiwarką Google mogą pomóc w znalezieniu publicznych dokumentów. Niektórzy administratorzy używają Graph API, aby wyszukać anonimowe linki udostępniania. Możesz analizować metadane SharePoint, aby poznać sposób konfiguracji witryn. Wiele zespołów pisze własne skrypty PowerShell, aby zautomatyzować ten proces.

• Wyliczanie subdomen pozwala znaleźć witryny, które trudno zauważyć.

• Sztuczki z wyszukiwarką Google pomagają znaleźć dokumenty, które może wyświetlić każdy.

• Sprawdzanie anonimowych linków udostępniania pokazuje pliki dostępne dla każdego.

• Analiza metadanych pokazuje, jak zorganizowane są witryny.

• Własne skrypty pozwalają szybko i wielokrotnie wykonywać te kroki.

Wskazówka: zautomatyzuj kroki wykrywania, aby zawsze znajdować nowe witryny i zasoby.

Efektywne uprawnienia przez Microsoft Graph

Gdy już znajdziesz wszystkie witryny, musisz sprawdzić, kto ma do nich dostęp. Microsoft Graph API pomaga sprawdzić uprawnienia dla każdego zasobu. API wyszukuje najniższy poziom dostępu dla każdego użytkownika lub grupy. Aplikacja widzi tylko to, co może zobaczyć zalogowany użytkownik. Aby zobaczyć wszystko, musisz przydzielić aplikacji odpowiednie uprawnienia, takie jak Sites.Read.All. W przypadku niektórych witryn możesz użyć Sites.Selected, ale wymaga to zgody administratora SharePoint.

• API ustala najniższy poziom dostępu dla każdego użytkownika.

• Aplikacja widzi tylko to, co widzi użytkownik.

• Użyj Sites.Read.All, jeśli chcesz widzieć wszystkie witryny.

• Użyj Sites.Selected dla wybranych witryn.

Uwaga: zawsze przydzielaj aplikacji najmniejszy zakres uprawnień, jakiego potrzebuje.

Ograniczanie przepustowości, stronicowanie i normalizacja danych

Podczas audytu SharePoint Online otrzymasz dużo danych. Microsoft Graph przesyła dane w małych częściach, stosując stronicowanie. Musisz podążać za nextLink, aby pobrać wszystkie dane. Jeśli poprosisz o zbyt dużo, Graph Cię spowolni. Wtedy powinieneś odczekać i spróbować ponownie później. Aby uprościć dane, zamień szczegółowe informacje o uprawnieniach w tabelę. Ułatwi to tworzenie raportów i szybkie wykrywanie zagrożeń.

Wskazówka: Uporządkuj dane, abyś mógł szybko raportować i wykrywać zagrożenia.

Automatyzacja, raportowanie i alerty

Harmonogramowanie i orkiestracja

Chcesz, aby audyt uprawnień uruchamiał się regularnie, zgodnie z harmonogramem. Azure Automation pozwala skonfigurować zadania, które działają codziennie lub co tydzień. Tworzysz runbook w PowerShell, który łączy się z usługą SharePoint Online i zbiera dane o uprawnieniach. Do wyboru najlepszego terminu zadania możesz użyć wbudowanego harmonogramu. Godziny pozaszczytowe sprawdzają się dobrze, ponieważ zmniejszają obciążenie dzierżawy. Historię każdego uruchomienia monitorujesz za pomocą historii zadań i dzienników. Jeśli zadanie zakończy się niepowodzeniem, sprawdzasz komunikaty o błędach i usuwasz przyczynę problemu. W przypadku dłuższych zadań lub większych zasobów możesz też użyć Hybrid Runbook Worker.

Wskazówka: Skonfiguruj alerty dotyczące nieudanych zadań, abyś wiedział, kiedy coś pójdzie nie tak.

Alerty oparte na różnicach i wczesne ostrzeżenia

Musisz wiedzieć, kiedy uprawnienia zmieniają się w ryzykowny sposób. Zautomatyzowany audyt usługi SharePoint Online pozwala porównać dzisiejszy raport z wczorajszym. Szukasz nowych użytkowników gości, zmian ról lub nowych linków udostępniania. Jeśli wykryjesz istotną zmianę, wysyłasz alert. Możesz użyć poczty e-mail, usługi Teams lub systemów obsługi zgłoszeń, takich jak Jira. Wczesne ostrzeżenia pomagają zapobiegać problemom, zanim się rozrosną. Definiujesz reguły określające, co uznajesz za ryzykowną zmianę. Na przykład możesz chcieć wiedzieć, gdy ktoś otrzyma dostęp właściciela lub gdy pojawi się nowy użytkownik zewnętrzny.

• Porównuj raporty, aby znaleźć zmiany

• Wysyłaj alerty o ryzykownych aktualizacjach

• Używaj usługi Teams, poczty e-mail lub zgłoszeń do powiadomień

Power BI i raportowanie bezpieczeństwa

Chcesz w przejrzysty sposób zobaczyć wyniki audytu. Usługa Power BI pozwala tworzyć pulpity na podstawie plików CSV lub JSON. Budujesz wykresy pokazujące użytkowników gości, konta o wysokich uprawnieniach oraz witryny z największą liczbą zmian. Te raporty wykorzystujesz podczas kwartalnych przeglądów. Pulpity możesz udostępniać zespołowi ds. bezpieczeństwa. Zautomatyzowane audyty usługi SharePoint Online dostarczają aktualnych danych do każdego raportu. Śledzisz trendy i wcześnie wykrywasz problemy.

Uwaga: Użyj usługi Power BI, aby przekształcić surowe dane w wnioski, na podstawie których zespół może działać.

Zabezpieczenia, wdrażanie i najlepsze praktyki

Zagadnienia dotyczące bezpieczeństwa i zgodności

Podczas korzystania z zautomatyzowanych audytów uprawnień musisz chronić usługę SharePoint Online. Zawsze stosuj zasadę najmniejszych uprawnień. Przydzielaj aplikacji tylko role, których naprawdę potrzebuje. Używaj grup zabezpieczeń zamiast pojedynczych kont. Ułatwia to obsługę audytów. Włącz uwierzytelnianie wieloskładnikowe (MFA) i skonfiguruj dostęp warunkowy. Te kroki pomagają zapobiegać publikowaniu zmian przez osoby, które nie powinny tego robić. Chronią również Twoje dane. Dokumentuj każdą przydzieloną rolę. Prowadź rejestr uprawnień, aby wiedzieć, kto ma dostęp. Sprawdzaj uprawnienia co trzy miesiące. Dostęp może się zmieniać w czasie, dlatego regularne kontrole utrzymują bezpieczeństwo.

Wskazówka: Używaj grup zabezpieczeń i zapisuj każdą zmianę. Pomaga to śledzić, kto ma dostęp, i przestrzegać zasad zgodności.

Wskazówki dotyczące wydajności i ograniczania przepustowości

Zależy Ci na tym, aby potok działał sprawnie. Microsoft Graph i SharePoint Online mogą zwalniać, jeśli zażądasz zbyt wiele naraz. Stosuj się do reguł ograniczania przepustowości. Jeśli otrzymasz komunikat "429 Too Many Requests", odczekaj dłużej przed ponowną próbą. Dziel zadania na mniejsze grupy. Przetwarzaj witryny partiami, a nie wszystkie naraz. Uruchamiaj audyty wtedy, gdy pracuje mniej osób. Zmniejsza to obciążenie systemu. Monitoruj historię zadań i ponawiaj próbę, jeśli coś się nie powiedzie. Chroń wrażliwe dane, zapisując wyniki w bezpiecznych lokalizacjach.

Uwaga: Sekrety zawsze przechowuj w Azure Key Vault. Nigdy nie umieszczaj haseł w skryptach.

Plan wdrożenia na 30, 60 i 90 dni

Zautomatyzowany audyt uprawnień możesz skonfigurować w trzech krokach. Najpierw przeprowadź pilotaż. Wybierz kilka witryn i uruchom swój potok. Sprawdź, czy wyniki zgadzają się z tym, co znajdziesz ręcznie. Następnie dodaj kolejne witryny. Włącz alerty oparte na różnicach, aby wychwytywać ryzykowne zmiany. Na koniec uczyń to częścią standardowych kontroli bezpieczeństwa. Zbuduj pulpity w Power BI. Zapisuj swoje kroki. Dziel się wynikami z zespołem.

Przykładowy plan wdrożenia:

1. Dni 1–7: Przeprowadź pilotaż na kilku witrynach. Upewnij się, że wyniki są prawidłowe.

2. Dni 8–30: Dodaj wszystkie witryny w grupach. Włącz alerty.

3. Dni 31–90: Uczyń to częścią codziennej rutyny. Twórz raporty. Dodaj do przeglądów.

Wskazówka: Zacznij od małej skali, szybko ucz się i rozwijaj swój proces. Pozwala to wcześnie wykrywać problemy i buduje zaufanie zespołu do automatyzacji.

Sprawdzisz, kto ma dostęp, korzystając z zautomatyzowanego potoku audytu uprawnień w usłudze SharePoint Online. Pomaga to wykrywać zagrożenia, oszczędzać czas i przestrzegać przepisów. Najpierw zarejestruj aplikację w Entra ID. Następnie uruchom krótki skrypt na kilku witrynach.

Regularne, automatyczne audyty pozwalają szybko wykrywać zmiany uprawnień i chronić dane. Zacznij już teraz, aby uczynić SharePoint bezpieczniejszym i bardziej niezawodnym.

Często zadawane pytania

Jak często należy przeprowadzać audyty uprawnień?

Audyty w witrynach wysokiego ryzyka powinny odbywać się codziennie. W przypadku większości witryn wystarczą audyty tygodniowe. Regularne kontrole pozwalają wychwytywać zmiany i chronić dane.

Jakich uprawnień potrzebuje aplikacja do audytowania usługi SharePoint Online?

Aplikacja potrzebuje uprawnień Sites.Read.All oraz Group.Read.All. Umożliwiają one wgląd w dostęp do witryn i grup. Zawsze stosuj zasadę najmniejszych uprawnień.

Czy można użyć Power BI do wizualizacji wyników audytu?

Tak, można użyć Power BI. Zaimportuj pliki CSV lub JSON. Zbuduj pulpity pokazujące użytkowników gości, konta o wysokich uprawnieniach oraz zmiany w czasie.

Co się stanie, jeśli Microsoft Graph ograniczy liczbę Twoich żądań?

Jeśli zostaniesz ograniczony, poczekaj i spróbuj ponownie później. Stosuj wykładniczy czas oczekiwania (exponential back-off). Podziel zadania na mniejsze partie, aby uniknąć przekroczenia limitów.

Jak zabezpieczyć sekrety w potoku automatyzacji?

Przechowuj certyfikaty i hasła w Azure Key Vault. Nigdy nie umieszczaj sekretów w skryptach. Dzięki temu dane uwierzytelniające są bezpieczne, a Twoje dane chronione.

Warto też posłuchać

Jeśli zgłębiasz temat audytu uprawnień w SharePoint, poniższe odcinki dostarczają praktycznego kontekstu dotyczącego wdrożenia, architektury, bezpieczeństwa i ładu organizacyjnego:

• Microsoft Teams Governance – The Illusion of Control — Zobacz, jak decyzje dotyczące właścicieli, zasad i cyklu życia kształtują niezawodne działanie Microsoft 365.
• Microsoft AI Agent Harness – Simply Explained — Zrozum orkiestrację, zabezpieczenia (guardrails), ewaluację i obserwowalność w przepływach pracy wspieranych przez AI.
• Azure AI Foundry – Simply Explained — Dowiedz się, jak tworzy się, ocenia, wdraża i zarządza rozwiązaniami AI dla przedsiębiorstw.
• Microsoft Defender XDR – Simply Explained — Połącz wybory implementacyjne z widocznością zagrożeń bezpieczeństwa, analizą incydentów i reagowaniem.