Limitar quién puede crear equipos en Teams
La eterna duda con Teams: ¿Debemos limitar quien puede crear equipos en Teams? o, por el contrario ¿debemos dejar libertad para que los usuarios creen los equipos que quieran según la necesidad?
El proceso de adopción de Microsoft 365 en una organización pasa por varias fases y una de las primeras y más típicas es cuando ya tienes compradas tus nuevas licencias 365, pero la organización sigue trabajando más o menos como siempre.
En esta fase inicial, los usuarios van descubriendo y probando funcionalidades de Microsoft 365, algo que está muy bien, ya que es autoaprendizaje y normalmente no se olvida.
Pero conlleva riegos, pues, a pesar de lo que diga su fabricante, Microsoft 365 no es una plataforma sencilla de entender para el usuario medio.
Además, Microsoft 365 es bastante abierto en su configuración inicial "out of the box" y permite que casi todo el mundo pueda hacer casi de todo y este es uno de los riesgos principales.
Lo que ocurre en muchas organizaciones
Pasado un tiempo:
- Los usuarios empiezan a crear carpetas y compartirlas en OneDrive sin ningún orden ni control, incluso con usuarios externos.
- Crean y comparten calendarios desde Outlook con poco criterio.
- Crean sitios de SharePoint y empiezan a almacenar archivos en ellos sin que los responsables de sistemas estén al tanto.
- Crean equipos de Teams de prueba o con objetivos variopintos o de dudosa validez.
El resultado suele ser que, pasados unos meses, empieza a cundir el caos y la sensación de descontrol:
- Un usuario ha borrado una carpeta con información técnica valiosa de su OneDrive, sin darse cuenta de que la tenía compartida con otros usuarios.
- Existen 3 calendarios distintos para un mismo proyecto.
- Alguien ha eliminado un sitio de SharePoint en el que un importante cliente había cargado información valiosísima.
- Desde dirección ven con pavor que en solo unos meses, se han creado sin control más de 100 equipos de Teams. Hay 4 equipos privados llamados "Marketing", un equipo público llamado "Nóminas" al que tiene acceso toda la organización y nombres de equipo tan variopintos como "Despedida soltera Luisa" o "Porra ciclista 2023".
Adoptar Microsoft 365 implica cambios importantes en cómo se realizan ciertas tareas, no es tan sencillo como pueda parecer y hacerlo bien, conlleva una reflexión inicial y un plan de adopción por fases.
El problema es que casi nunca hay tiempo para ello y para evitar situaciones como las anteriores, es bueno, de entrada, poner ciertos límites a lo que los usuarios pueden hacer con 365.
Quién debería poder crear equipos de Teams
Si quieres evitar que los usuarios de tu organización creen equipos de Teams sin control alguno, puedes establecer que sólo algunos de ellos puedan hacerlo.
Por defecto, cuando tus usuarios entran por primera vez a Teams, tienen libertad absoluta para crear los equipos que quieran. La idea es limitar que, desde la propia aplicación Teams, los usuarios puedan crear equipos.
Es decir, la idea es que cuando un usuario abre Teams, accede al apartado Equipos y clica abajo en el enlace que dice "Unirse a un equipo o crear uno", el botón "Crear equipo" aparezca deshabilitado.
Digo desde la propia aplicación Teams porque debes saber que, quien tenga permisos de administración de Microsoft 365 en tu organización, siempre va a poder crear equipos desde el portal de administración de 365 y esto es bueno.
Una forma sencilla de hacer esto sería cerrar completamente la creación de equipos desde la aplicación Teams y que únicamente el o los administradores de 365 puedan crearlos desde el portal.
Si quieres que además del administrador o administradores de 365, otros usuarios puedan crear equipos desde la aplicación Teams, también puedes hacerlo y es una buena idea ya que, tiene más sentido que sean las personas responsables de organización en la empresa las que se encarguen de ello y no tanto los responsables de sistemas.
Limitar quien puede crear equipos en Teams
Lo primero, para poder hacer esto, debes tener permisos de administración sobre el tenant Microsoft 365 de tu organización.
Las malas noticias son que hacer esto no es tan sencillo como desactivar una casilla en el portal de administración de Teams.
En realidad, no es complicado, pero requiere ejecutar un script de PowerShell.
Si te has asustado con la frase anterior, quizás es mejor que reenvíes este artículo a un responsable de sistemas de tu organización. Es cierto que Microsoft podría hacerlo más fácil, pero actualmente es lo que hay. No existe otra forma de limitar esto.
El proceso tiene dos partes:
- Crear un grupo de seguridad en Microsoft 365 desde el portal de administración y añadir como miembros a los usuarios que sí queremos que puedan crear equipos desde la aplicación Teams.
- Ejecutar un script de PowerShell que establece que sólo los miembros de ese grupo de seguridad pueden crear usuarios.
Crear grupo de seguridad en Microsoft 365
Empezamos:
- Desde cualquier navegador web accede al portal Microsoft Office e inicia sesión con una cuenta que tenga permisos de administración
. - Una vez dentro del portal, clica en el menú del gofre y elige la opción Admin. Ten en cuenta que solo verás esa opción si tu usuario tiene permisos de administrador.
- Ya en el portal Admin, elige la opción "Teams y grupos" y luego "Grupos y equipos activos". Allí veras la lista de grupos que existen actualmente en tu tenant. Clica sobre la opción "Agregar un grupo".
- En los tipos de grupo, elige la opción "Seguridad", ponle un nombre a tu grupo y clica en Siguiente hasta terminar de crear el grupo con las opciones por defecto. Yo he nombrado mi grupo "Creadores Equipos Teams".
- De vuelta en la lista de grupos, filtra la lista para que se muestren los grupos de Seguridad y encuentra tu nuevo grupo. Es posible que tengas que recargar la página un par de veces hasta que aparezca.
- Clica sobre tu nuevo grupo y en el panel lateral derecho que aparece, elige "Miembros" y usa la opción "Ver todos los miembros y administrarlos" para añadir los usuarios que quieras al grupo.
Yo he añadido dos usuarios, yo mismo y mi compañero Luis.
Ya tienes creado tu grupo de seguridad. Vayamos a la segunda parte.
Otorgar con PowerShell permisos de creación de equipos al nuevo grupo de seguridad
Para este paso, vamos a utilizar el script oficial de PowerShell creado por Microsoft y que se explica en detalle en esta página (en inglés).
Este es el script:
$GroupName = "<GroupName>"
$AllowGroupCreation = $False
Connect-AzureAD
$settingsObjectID = (Get-AzureADDirectorySetting | Where-object -Property Displayname -Value "Group.Unified" -EQ).id
if(!$settingsObjectID)
{
$template = Get-AzureADDirectorySettingTemplate | Where-object {$_.displayname -eq "group.unified"}
$settingsCopy = $template.CreateDirectorySetting()
New-AzureADDirectorySetting -DirectorySetting $settingsCopy
$settingsObjectID = (Get-AzureADDirectorySetting | Where-object -Property Displayname -Value "Group.Unified" -EQ).id
}
$settingsCopy = Get-AzureADDirectorySetting -Id $settingsObjectID
$settingsCopy["EnableGroupCreation"] = $AllowGroupCreation
if($GroupName)
{
$settingsCopy["GroupCreationAllowedGroupId"] = (Get-AzureADGroup -SearchString $GroupName).objectid
} else {
$settingsCopy["GroupCreationAllowedGroupId"] = $GroupName
}
Set-AzureADDirectorySetting -Id $settingsObjectID -DirectorySetting $settingsCopy
(Get-AzureADDirectorySetting -Id $settingsObjectID).Values- Copia todo su contenido y pégalo en un archivo de texto usando cualquier editor de texto.
- Una vez copiado y pegado, reemplaza en la primera línea, donde dice <GroupName> por el nombre de tu equipo de seguridad, en mi caso esa línea quedaría así:
$GroupName = "Creadores Equipos Teams"- Ya está, guarda el archivo con el nombre LimitarCreaciónEquipos.ps1 y recuerda dónde lo guardas.
- Ahora, necesitamos abrir PowerShell, para ello, en Windows ve al menú inicio, teclea PowerShell y clica sobre PowerShell de entre los resultados de la búsqueda.
- Una vez en PowerShell necesitamos instalar el módulo AzureAD, que es el que permite que nuestro PC se comunique con nuestro Azure Active Directory en la nube. Teclea:
Install-Module AzureAD- Y responde con una Y (yes) para confirmar que quieres instalarlo.
- Navega hasta la carpeta en la que has guardado el script con el comando "cd Ubicación_del_Script".
- Ejecuta el script escribiendo:
.\LimitarCreacionEquipos.ps1
- La ejecución del script va a provocar que salte una ventana de autenticación de Microsoft 365.
- Inicia sesión con tu usuario y clave de administrador de tu tenant Microsoft 365 (puede ser el mismo con el que accediste al portal de administración).
- Una vez autenticado, se ejecutará el script.
Comprobando el resultado
El resultado de ejecutar el script mostrará la salida del último comando ejecutado, que es el "Get-AzureADDirectorySetting" de la última línea.
Pues bien, fíjate en dos de las líneas que arroja.
- La que dice Name: EnableGroupCreation, que debe tener como Value: False. Esto significa que por defecto nadie puede crear grupos en el tenant, o lo que es lo mismo, equipos en Teams.
- La que dice Name: GroupCreationAllowedGroupID, que debe tener como Value: Código_de_Grupo, o lo que es lo mismo el código interno del grupo cuyos miembros sí pueden crear equipos en Teams y que debería corresponder con el nombre del grupo que hemos metido cuando hemos modificado la primera línea del script.
Pues ya está hecho.
Ten en cuenta que es posible que tengas que esperar unas horas para que el cambio tenga efecto, pero el resultado es que ahora, aquellos usuarios que no sean miembros del grupo de seguridad "Creadores Equipos Teams", cuando intenten crear un nuevo equipo, verán una pantalla como la que se muestra en la imagen de abajo. No es muy clara, pero créeme que ya no van a poder crear nuevos equipos.
6 claves para elegir licencias Microsoft 365 en tu empresa
Existen ciertas claves que debemos entender bien para elegir las licencias de Office, te cuento aquí 6 claves para elegir licencias Microsoft 365 en tu organización.
Los planes de licencias de Microsoft para 365 son como todos los planes de licencias de Microsoft, muy complicados.
No es fácil entender a priori lo que obtendrán los usuarios con cada plan. Los nombres y las descripciones de los planes no ayudan mucho y a veces, incluso el mayorista o partner de Microsoft no lo tiene claro.
Las 6 claves para elegir licencias Microsoft 365 en tu organización
Para ayudarte a entender distintos conceptos entorno a las licencias, te cuento en este artículo algunas claves importantes. Son puntos o conceptos que tienes que tener en cuenta a la hora de decidir qué licencias 365 necesita tu organización en la fase inicial de adopción.
Clave 1: Todas las licencias de Microsoft 365 incluyen servicios además de productos
Hasta ahora, casi siempre habíamos pagado por el uso de productos, es decir, al comprar el Office 2019, 2021 o el que sea, obteníamos el derecho de uso de los productos (aplicaciones) incluidas en el paquete Office, como son Word, Outlook o Excel.
El gran cambio es que las licencias de Microsoft 365 incluyen productos y servicios.
Es decir, si compro una licencia Microsoft 365 Empresa Estándar, obtengo por ejemplo,
- El uso de las aplicaciones Word, Excel y PowerPoint, junto con un servicio de almacenamiento de los archivos que creo con ellas llamado OneDrive.
- El uso de la aplicación Outlook, junto con un servicio de correo electrónico llamado Buzón Exchange.
- El uso de la aplicación Teams, junto con un servicio de chat, videoconferencias, etc. en la nube llamado Servicio Teams.
Hasta ahora, podía comprar Outlook, pero necesitaba alguien (un proveedor de correo) o algo (un servidor) que me proporcionara un servicio de correo.
Ahora esto viene incluido en la licencia.
Estos servicios explican indirectamente porqué las licencias de 365 se pagan mensual o anualmente a diferencia de las antiguas que pagábamos de una vez.
Es básicamente por los servicio, ya sabes, toda la historia del modelo SaaS o software como servicio que Microsoft empezó a ofrecer a partir de 2010.
Clave 2: Licencias, cuentas de usuario y buzones no son lo mismo
Las licencias
Una licencia en Microsoft 365 es lo que cuesta dinero. Las licencias se asocian a las cuentas de usuario y otorgan el derecho a usar un servicio o una aplicación concreta, como puede ser el correo, Word o Teams.
Puedes tener una cuenta de usuario, pero si no te han asignado una licencia, no vas a poder recibir correos o usar Teams o Excel.
Si quieres pasar directamente a ver los tipos de licencia más comunes, puedes bajar al apartado Clave 6 en este mismo artículo.
Las cuentas
Una cuenta de usuario identifica a una persona y lleva asociado su nombre, sus apellidos, su teléfono, su puesto u otros datos relacionados con esa persona.
Debes asignar una licencia a cada cuenta para que se le activen todos los servicios asociados a esa licencia, es decir toda la parafernalia de buzón de correo, espacio de OneDrive, usuario de Teams, etc.
Cuando un empleado que tenía una cuenta con licencia abandona la organización, puedes simplemente quitarle la licencia. La cuenta quedará allí pero sin licencia y pasados 30 días, tanto el buzón como los contenidos de su OneDrive serán eliminados definitivamente.
En cualquier caso, aunque una cuenta sin licencia es inservible, si tienes 200 cuentas en tu tenant y solo 5 de ellas tienen licencia, solo pagarás por esas 5 licencias.
Los buzones
Un buzón de correo es lo que todos conocemos y venimos usando desde los años noventa. Pues bien, cada cuenta a la que le hemos asignado una licencia en 365, lleva asociado un buzón de correo electrónico.
Aunque lleva asociado solo un buzón con la dirección de correo que hayamos elegido para él o ella, si lo deseamos, podemos asociar a una cuenta de usuario más direcciones de correo o incluso más buzones, tal como vamos a ver enseguida.
Clave 3: Intenta que cada usuario tenga una cuenta de usuario en Microsoft 365
Todos tus usuarios deberían tener una cuenta de usuario de Microsoft 365 y me refiero a usuarios-persona, es decir, cada persona debería tener una cuenta.
Si en tu organización sois 50 personas, necesitarías 50 cuentas de usuario. No importa que en tu viejo sistema de correo electrónico tuvieseis 100 buzones de correo y que algunas personas gestionasen 5 direcciones de correo distintas.
A efectos de 365, cada una de esas personas necesita una y solo una cuenta.
Luego, si es necesario, ya asociaremos a sus cuentas de usuario las direcciones de correo adicionales que sean necesarias.
Debes tratar de evitar a toda costa que una persona tenga más de una cuenta de usuario por la simple razón de que quieras que tenga una dirección email adicional. Estás creando un problema evitable tanto al usuario, como al resto de la organización.
A él le obligas a cuidar de dos entornos Microsoft completos, tener ambas cuentas en Outlook y en el móvil, lidiar con invitaciones, boletines o spam que llegan a ambas, etc.
Al resto le estás creando confusión, pues no saben bien a qué cuenta escribirle o a cuál invitarle en una reunión.
Estamos en el siglo XXI y hace tiempo que existen soluciones prácticas para todas las situaciones de correo que se puedan dar. Echa un vistazo a la Clave 5 en este mismo artículo para conocer algunas de estas soluciones.
Clave 4: Evita que varias personas compartan una misma cuenta
Una cuenta en 365 no es solo un buzón de correo. Una cuenta identifica al usuario en toda la actividad que realiza en su día a día con las herramientas de 365.
Cuando envía un correo, modifica un documento de Word, escribe en un chat de Teams, organiza una reunión en Outlook o asiste a una video-conferencia, su nombre queda registrado como autor de todas esas acciones y esto es bueno.
Es bueno que quede registrado quién ha hecho las cosas en cualquier entorno profesional (¿salvo en la CIA?). Otra cosa es quién tenga acceso a toda esa información que puede ser delicada.
En cualquier caso, si varios usuarios usan la misma cuenta, parte de esa ventaja queda diluida entre ellos.
A no ser que sean usuarios que funcionan por turnos divididos en el día, que comparten un ordenador por turnos o situaciones similares, cada persona debería tener su propia cuenta.
Es cierto que una licencia 365 Empresa Estándar, que incluye las aplicaciones de escritorio de Office, permite instalar estas aplicaciones en hasta 5 ordenadores, pero se supone que son ordenadores de un mismo usuario.
Créeme, si no se dan alguna de las situaciones que he mencionado antes, cada uno de tus usuarios debería tener una y solo una cuenta de usuario en 365.
Clave 5: Una cuenta de usuario puede usar múltiples direcciones de correo electrónico
Una cuenta de usuario a la que hemos asignado una licencia de Microsoft 365 dispone de un buzón de correo electrónico con una dirección de correo concreta. Por ejemplo mi dirección en Nubealdia.com es josu@nubealdia.com.
Además de esto, si queremos podemos asignar a mi cuenta otras direcciones email de distintas formas. Podemos asignarle:
Alias
Todos los alias que queramos. Un alias es una dirección de correo adicional que se asigna a mi cuenta de manera que los mensajes enviados a esa dirección, entrarán igualmente en mi buzón. Los alias son gratis, puedo asignar a una cuenta todos los que quiera y tener así por ejemplo josu@nubealdia.com como dirección principal y luego consultoria@nubealdia.com y jlekaroz@nubealdia.com como alias.
Listas de distribución
Todas las listas de distribución que queramos. Una lista de distribución es como un alias que se asigna a varias personas. Cada mensaje enviado a la dirección email de la lista es recibida por esas personas en sus buzones. Las listas son gratis y puedo crear todas las que quiera y asignárselas a todos los usuarios que quiera y de esta manera, recibir en mi cuenta por ejemplo, los mensajes enviados a la dirección info@nubealdia.com junto con otros tres compañeros en Nubealdia.
Buzones compartidos
Todos los buzones compartidos que queramos. Un buzón compartido es un buzón que comparten varias personas. Quiero decir un buzón con su Recibidos, Enviados, Eliminados, etc. Cuando configuras tu cuenta de correo en Outlook, si el administrador te ha asignado un buzón compartido, verás una rama con las carpetas de tu buzón principal y otra con las del buzón compartido. Los buzones compartidos son gratis, puedo crear todos los que quiera y asignárselos a todos los usuarios que quiera y de esta manera, ver en Outlook el buzón Soporte, con dirección soporte@nubealdia.com y ver tanto los mensajes que entran como los enviados por mi o por cualquiera de mis compañeros con acceso al buzón, que también lo verán en sus Outlooks.
Si realmente creásemos en el tenant de Nubealdia los ejemplos de alias, listas y buzones compartidos que acabo de sugerir, yo, Josu, recibiría en mi buzón los correos enviados a:
- josu@nubealdia.com
- consultoria@nubealdia.com
- jlekaroz@nubealdia.com
- info@nubealdia.com
Además vería en Outlook un buzón adicional que recibiría los mensajes enviados a:
- soporte@nubealdia.com
Por último y no menos importante, yo podría enviar mensajes desde cualquiera de esas 6 direcciones., es decir, puedo enviar un mensaje y que mi destinatario vea mi dirección de envío como cualquiera de las 6.
Clave 6: Los tipos de licencia más comunes
Mi recomendación es pues que crees una cuenta con licencia y solo una, para cada persona en tu organización y si alguien necesita recibir mensajes enviados a dirección de correo adicionales, puedes asignarles alias, listas o buzones compartidos según necesidad.
Lo más importante ahora es decidir entonces qué licencias voy a comprar y asignar a mis usuarios.
Ten en cuenta que no todos tus usuarios tienen que tener el mismo tipo de licencia, puedes asignar un tipo de licencia a unos y otro a otros.
Como decía al principio el licenciamiento es complicado, pero la mayoría de organizaciones con las que yo trabajo utilizan estos tres tipos de licencias:
1. Microsoft 365 Empresa Estándar
Con un coste mensual de 11,70€ (en España y en abril del 2023), esta es la licencia más adecuada para los usuarios de tu empresa que quieres que tengan una experiencia completa con correo electrónico y las aplicaciones de Office clásicas.
Es ideal para usuarios que realizan prácticamente todo su trabajo con un ordenador.
Incluye como servicios:
- Buzón de correo que incluye calendarios, contactos y tareas (con espacio de 50GB).
- Servicio de almacenamiento OneDrive (1TB) y SharePoint.
- Otros servicios como Teams, Planner, Lists, Forms, etc.
Como productos (aplicaciones):
- Todas las aplicaciones Office descargables e instalables en PCs/Macs. Esto incluye Outlook, Word, Excel, PowerPoint, Access, Teams, etc.
- Todas las aplicaciones Office en versiones web y móvil, es decir Word, Excel, PowerPoint, Outlook, Teams, etc. en la web y en el móvil.
Esta es en mi opinión, la opción más completa a un precio mensual razonable.
2. Microsoft 365 Empresa Básico
Cuesta 5,60€ al mes y es la licencia perfecta para usuarios que quieres que tengan correo y Teams, pero que no usan intensivamente las aplicaciones de Office clásico. La diferencia más importante con la licencia Estándar es que aquí no puedes descargar e instalar las aplicaciones de escritorio de Office. Esto usuarios solo pueden usar las versiones web de Word, Excel y PowerPoint.
Esta licencia es ideal para, por ejemplo, personal que trabaja en fábrica o almacén. Tienen correo completo y Teams y de vez en cuando, deben actualizar una hoja Excel o un documento Word, pero sin demasiadas complejidades.
Incluye como servicios:
- Buzón de correo que incluye calendarios, contactos y tareas (con espacio de 50GB).
- Servicio de almacenamiento OneDrive (1TB) y SharePoint.
- Otros servicios como Teams, Planner, Lists,
Como productos (aplicaciones):
- Todas las aplicaciones Office en versiones web y móvil, es decir Word, Excel, PowerPoint, Outlook, Teams, etc. en la web y en el móvil.
Esta licencia permite ahorrar costes de licencia en aquellos usuarios que no van a necesitar las APPs de escritorio.
3. Licencia de Exchange Online Plan 1
Tiene un coste de 3,70€ al mes y como puedes intuir, proporciona al usuario simplemente un buzón de correo completo pero sin ninguna de las aplicaciones de Office, es decir, tienes el servicio de Buzón de Exchange y el Outlook en su versión web.
Incluye correo, calendario, contactos y tareas, pero ni Word, Excel o PowerPoint, ni Teams ni ninguna otra en ninguna de sus formas (escritorio, web o móvil).
Esta licencia es para usuarios que no usan un ordenador, pero aun así, quieres que tengan correo electrónico de la organización que pueden usar vía web o desde sus dispositivos móviles.
Incluye como servicios:
- Buzón de correo que incluye calendarios, contactos y tareas (con espacio de 50GB).
Como productos:
- Únicamente Outlook en sus versiones web y móvil.
Estas tres licencias son las más populares entre las pymes pero, ten en cuenta que si necesitas más de 300 licencias en total, tienes que pasarte a las licencias para grandes empresas.
Si quieres ver comparativas completas:
- Aquí tienes las de las licencias Microsoft 365 para la pyme.
- Aquí las de licencias de buzones Exchange para la pyme.
- Aquí las de Microsoft 365 para gran empresa.
Otros tipos de licencia
Existen otros tipos de licencia tanto de Microsoft 365 como de buzones Exchange. Solo prevenirte contra la licencia que se llama "Aplicaciones de Microsoft 365 para negocios".
Esta licencia cuesta 9,80€/mes y te permite usar las aplicaciones de Office en el escritorio pero nada más, es decir, son solo las apps pero sin ningún servicio nube. Sin correo, sin OneDrive/SharePoint, sin Teams. Es como comprar el Office clásico pero en pagos mensuales, por lo que olvídate del salto a la nube, olvídate de la transformación digital de tu oficina o de las ventajas de la colaboración en nube.
No digo que no debas comprarla, solo que la compres sabiendo lo que estás comprando.
Existen muchos escenarios, tipos de organizaciones y tipos de usuarios, pero creo que estas son las 6 claves más importantes para entender las licencias Microsoft 365, que te pueden ayudar a no empezar en la plataforma con el pie cambiado.