Toegang tot documenten beperken op niet-beheerde toestellen

Wil je dat medewerkers op hun privé-pc wel documenten kunnen bekijken, maar niet downloaden of synchroniseren? Dan beperk je de toegang tot SharePoint en OneDrive op niet-beheerde toestellen. Dit kan rechtstreeks vanuit het SharePoint-beheercentrum, samen met voorwaardelijke toegang in Microsoft Entra ID.

Waarom toegang beperken?

Vroeger stonden documenten op een fileserver en deelde je ze hooguit per e-mail. Vandaag open je ze overal, op elk toestel. Handig, maar een document dat op een privé-pc gedownload wordt, heb je niet meer onder controle. Met deze instelling laat je mensen werken in de browser, zonder dat de bestanden het toestel op gaan.

Wat is een beheerd toestel?

Een toestel telt als beheerd als het:

• hybrid joined is (lid van je domein en van Entra ID), of
• compliant is volgens Microsoft Intune.

Alle andere toestellen zijn niet-beheerd. Je hebt Microsoft Entra ID P1 nodig, bijvoorbeeld via Microsoft 365 Business Premium of E3.

1. De instelling in het SharePoint-beheercentrum

1. Open het SharePoint-beheercentrum.
2. Ga naar Beleid > Toegangsbeheer > Niet-beheerde apparaten.
3. Kies een van de drie opties:
   • Volledige toegang vanuit desktop-apps, mobiele apps en het web toestaan;
   • Beperkte toegang alleen via het web toestaan: bekijken en bewerken in de browser, maar niet downloaden, afdrukken of synchroniseren;
   • Toegang blokkeren.
4. Klik op Opslaan.

Je kunt de beperking ook per site instellen met PowerShell, bijvoorbeeld voor alleen gevoelige sites:

Set-SPOSite -Identity https://contoso.sharepoint.com/sites/HR -ConditionalAccessPolicy AllowLimitedAccess

2. Voorwaardelijke toegang in Entra ID

Voorwaardelijke toegang betekent: toegang geven onder voorwaarden, zoals het toestel, de locatie of het risico van een aanmelding.

Kies je in SharePoint voor beperkte of geblokkeerde toegang, dan maakt Microsoft automatisch beleid aan voor voorwaardelijke toegang.

1. Open het Microsoft Entra-beheercentrum (entra.microsoft.com).
2. Ga naar Beveiliging > Voorwaardelijke toegang > Beleid.

Je ziet het beleid dat door de SharePoint-instelling is aangemaakt.

Het beleid gebruikt door de app afgedwongen beperkingen (app enforced restrictions) voor de cloudapps van Office 365, zoals SharePoint, OneDrive, Exchange en Teams.

Een tweede beleid zorgt ervoor dat alleen browsers en apps met moderne verificatie verbinding maken.

Controleer dit beleid, test het eerst met een kleine groep en stel de modus pas daarna op Aan.

Tips

• Combineer dit met downloads blokkeren via Defender for Cloud Apps voor meer controle.
• Vergeet Outlook op het web niet: daar kun je bijlagen op niet-beheerde toestellen ook beperken.
• Communiceer naar gebruikers waarom ze op hun privé-pc alleen in de browser werken.

Meer over Security