Gæsteadgang, der udløber automatisk i SharePoint og OneDrive

Siden 2020 kan en tenant kræve, at eksterne gæsters adgang til SharePoint-sites og OneDrive udløber efter et fast antal dage, regnet fra den dag gæsten blev inviteret eller fik adgang. Politikken er der endnu, og den er den enkleste form for oprydning i ekstern deling, fordi den virker uden, at nogen skal huske at gøre noget. Den fjerner til gengæld adgangen og ikke gæstekontoen, og den rammer kun gæster, der kommer til efter, at den er slået til.

Status 9. oktober 2026: Indstillingen findes i SharePoint admin center og i Set-SPOTenant, og Microsofts supportside skriver, at den er tilgængelig for alle tenants (Microsoft). Hvornår den nåede alle, er ikke afgjort. Se tidslinjen.

Sådan virker det#

Administratoren vælger et antal dage. Fra den dag en gæst inviteres til et site, eller får en fil eller mappe delt, kører uret. Når det er løbet ud, fjernes gæstens adgang (SharePoint-bloggen, 22. september 2020). Indstillingen hedder Guest access to a site or OneDrive will expire automatically after this many days og ligger under Policies → Sharing → More external sharing settings (Microsoft). I PowerShell er den to parametre på Set-SPOTenant, hvor antallet af dage kan være fra 30 til 730 (Microsoft):

1# Expire guest access after 90 days, tenant-wide
2Set-SPOTenant -ExternalUserExpirationRequired $true -ExternalUserExpireInDays 90

Et enkelt site kan have sin egen værdi, mere eller mindre restriktiv end tenantens. Den gælder kun, når site-indstillingen er sat til at tilsidesætte tenantens (Microsoft):

1Set-SPOSite -Identity https://contoso.sharepoint.com/sites/Projekt `
2  -OverrideTenantExternalUserExpirationPolicy $true -ExternalUserExpirationInDays 180

Site collection-administratorerne får en mail om ugen om de gæster, der udløber inden for de næste to til tre uger, og på sitet vises et banner i samme periode. Banneret vises kun på nettet og ikke i mobilappen. Fra Site permissions → Guest Expiration → Manage kan administratoren forlænge eller fjerne en gæst. En forlængelse giver lige så mange dage, som tenanten er sat til, og gælder gæstens samlede adgang på sitet, ikke kun én fil (Microsoft).

Hvad den ikke gør#

• Den rammer ikke de gæster, der allerede har adgang. Udløbet sættes kun på gæster, der kommer til efter, at politikken er slået til, hvad enten det sker med et delingslink eller med direkte rettigheder. Det samme står i supportsidens ofte stillede spørgsmål (samme side). Politikken rydder altså ikke op i eksisterende deling. Det skal gøres separat, fx med delingsrapporterne.
• Den slår ikke politikken fra bagud. Slås den fra, sættes der ikke flere udløbsdatoer, men de, der er sat, bliver stående, indtil en site collection-administrator fjerner dem (Microsoft). Supportsiden nævner, at administratoren i det tilfælde får en knap til at rydde datoen.
• Den deaktiverer ikke delingslinks. Adgangen styres pr. bruger og ikke pr. link. Et link til en fil virker derfor videre for alle andre, og gæsten mister adgangen, fordi gæstens egen rettighed er udløbet. Vil en gæst beholde adgangen til et link, skal gæstens adgang forlænges.
• Den rører ikke gæstekontoen i Entra. Udløb på et site ændrer ikke kontoen, og kontoen bliver ikke slettet. En gæst kan stadig have adgang til et team eller en sikkerhedsgruppe andre steder, fordi gæstemedlemskab hører til på Microsoft 365-gruppen (samme supportside).

Det sidste er forskellen til gæstestyring i Entra. Entitlement management kan fjerne selve gæstekontoen, når den sidste adgangspakke udløber, men kun for gæster, der er inviteret gennem entitlement management eller senere gjort til »governed« (Microsoft). SharePoints udløb og Entras kontoopryddning er altså to lag, som ikke kender til hinanden.

Anyone-links har deres eget udløb#

Udløb på Anyone-links er en anden indstilling med egne parametre, som AnonymousLinkExpirationInDays. Den kom først og kan siden august 2020 også tilsidesættes pr. brugers OneDrive, så tenant- og SharePoint-administratorer kan give en enkelt OneDrive en anden frist (MC219777). Opslaget meldte udrulning fra begyndelsen til slutningen af august. At den nåede ud, er ikke bekræftet.

Tidslinjen#

1. 22. august 2020 Meddelelse

   Message Center-opslaget MC220791 oprettes: administratorer kan snart lave en politik, der fjerner gæsters adgang til sites og enkelte OneDrive efter en bestemt periode (MC220791)

2. 22. september 2020 Udrulning

   Microsoft melder funktionen generelt tilgængelig på Ignite og skriver »roll out starting today« (SharePoint-bloggen)

3. September 2020 Ny tidsplan

   Opslagets slutdato flyttes fra 30. november til 31. december 2020

4. 10. november 2020 Ny tidsplan

   Udrulningen udskydes for at mindske mængden af ændringer i tjenesterne, og slutdatoen flyttes til 31. marts 2021

5. 7. maj 2021 Ny tidsplan

   Opslaget siger nu, at udrulningen begynder ved udgangen af maj og er færdig ved udgangen af juni 2021

Kilderne er derfor ikke enige om, hvornår politikken nåede alle tenants. Ignite-indlægget taler om 22. september 2020, og Pitstop for september fører den som Targeted Release. Opslagets seneste tekst taler om maj og juni 2021. Supportsiden nævner, at reglerne blev opdateret i juli 2021, uden at sige hvordan. Opslaget står i dag som arkiveret hos cloudscout.one og findes ikke i Merill.Nets arkiv, som ikke har opslag fra 2020.

I månedsnoterne#

Funktionen blev meldt i august 2020, kom til Ignite-udrulningen i september 2020 og blev udskudt i november 2020.

Det der ikke er undersøgt#

• Hvad opdateringen i juli 2021 ændrede.
• Hvornår politikken faktisk blev tilgængelig i en given tenant. Kilderne giver kun planer.
• Hvordan udløbet virker for gæster, der er kommet ind gennem en Microsoft 365-gruppe eller et team, og ikke gennem et delingslink eller direkte rettigheder.