Externista na vlastním notebooku: jak mu v SharePointu zakázat stahování, tisk a synchronizaci

Situace, kterou zná řada firem: vedle vlastních zaměstnanců pracují i externí spolupracovníci. Zaměstnanci mají firemní počítače, které firma spravuje, externisté pracují na svých vlastních noteboocích. Všichni potřebují stejné dokumenty v SharePointu a OneDrivu: číst je, doplňovat, komentovat. Vedení ale nechce, aby si externisté soubory stahovali, tiskli nebo synchronizovali do svého počítače. Když spolupráce skončí, nemá se nic z firmy válet na cizím disku.

Na tohle se nás ptají častěji, než by člověk čekal. Externista potřebuje pracovat s vašimi dokumenty, ne si je odnést domů. Microsoft 365 na to má funkci, která si nežádá správu cizího notebooku, vzdálené mazání ani instalaci čehokoli k externistovi. Má ale dvě pasti, na které se snadno šlápne. Projdeme obojí.

Stav k 11. 11. 2026. Popis vychází z dokumentace Microsoftu platné k tomuto datu. Microsoft nastavení podmíněného přístupu průběžně upravuje, u každého kroku proto odkazujeme na zdroj.

Proč ne správa notebooku

První nápad bývá „dáme externistům notebook do Intune“. U vlastního počítače externisty to ale většinou nedává smysl: nechce, aby mu cizí firma spravovala zařízení, na kterém pracuje i pro jiné klienty, a vy nechcete odpovídat za jeho počítač. Navíc by to řešilo něco jiného. Intune hlídá zařízení, vy chcete hlídat soubory.

Lepší je otočit logiku. Zařízení vaší firmy (zapsaná v Intune a vyhovující pravidlům, nebo připojená do vaší domény) dostanou plný přístup. Všechno ostatní je nespravované zařízení a dostane jen omezený přístup z prohlížeče.

Co omezený přístup z prohlížeče dělá

V SharePoint admin centru je pod Policies → Access control → Unmanaged devices volba Allow limited, web-only access (omezený přístup jen přes web). Podle dokumentace Microsoftu se pak člověk na nespravovaném zařízení:

• k souborům dostane jen v prohlížeči,
• nemůže je stáhnout, vytisknout ani synchronizovat přes OneDrive,
• nedostane se k nim ani přes aplikace, včetně desktopového Wordu nebo Excelu,
• nahoře na webu uvidí lištu, že má přístup omezený.

Úpravy v prohlížeči jsou ve výchozím stavu povolené – externista tedy může dokument ve Wordu na webu normálně upravovat a komentovat. Kdo chce víc, má v PowerShellu dvě přísnější volby: -AllowEditing $false zakáže úpravy Office souborů v prohlížeči a -ReadOnlyForUnmanagedDevices $true udělá z celého webu jen čtení. Omezení jde zapnout pro celou organizaci, nebo jen pro vybrané weby či OneDrivy (Set-SPOSite … -ConditionalAccessPolicy AllowLimitedAccess).

Pro úplnost druhá krajnost: volba Block access pustí nespravované zařízení jen k chybové hlášce. To se hodí pro citlivé weby, ne pro lidi, kteří s dokumenty mají pracovat.

Co k tomu potřebujete: licence

Omezení stojí na podmíněném přístupu Microsoft Entra (Conditional Access). Ten vyžaduje licenci Microsoft Entra ID P1.

Licence	Entra ID P1	Poznámka
Microsoft 365 Business Basic	ne	P1 se dokupuje samostatně
Microsoft 365 Business Standard	ne	P1 se dokupuje samostatně
Microsoft 365 Business Premium	ano	navíc Intune pro vlastní zařízení firmy
Microsoft 365 E3 / E5	ano	E5 má P2, která P1 obsahuje

Zdroj: přehled zabezpečení Microsoft 365 pro firmy a licencování Microsoft Entra.

Tip pro externisty, kteří nepotřebují desktopový Office. Samotná licence Entra ID P1 nestačí – nemá poštu, Teams ani SharePoint, je to jen „nadstavba“ identity. Minimum je Business Basic + Entra ID P1: pošta, Teams, SharePoint, OneDrive a Office na webu a v mobilu (přehled plánů). Business Premium k tomu oproti Basic přidává desktopové aplikace Office, Intune a Defender for Office 365. Pro člověka, který k vašim souborům z nespravovaného notebooku smí jen přes prohlížeč, je desktopový Office u vašich dokumentů k ničemu – Word na počítači se k nim stejně nedostane. Vlastní zařízení firmy, která mají plný přístup, ale do Intune zapsat potřebujete, a to Business Premium (nebo E3/E5) obsahuje.

Past č. 1: nastavení platí pro všechny

Tohle je místo, kde se nejčastěji chybuje. Když volbu v SharePoint admin centru uložíte, vytvoří se v Entra nová pravidla podmíněného přístupu, která platí pro všechny uživatele. Microsoft to v dokumentaci výslovně uvádí. A zároveň se při každém dalším uložení z téhle stránky předchozí pravidla vypnou a vytvoří znovu – vaše úpravy se nepřenesou.

Co to znamená v praxi: dokud vaše vlastní notebooky nejsou zapsané v Intune a nevyhovují pravidlům, omezení dopadne i na interní lidi – a na správce. Microsoft u podobného nastavení pro blokování výslovně varuje, že vás může odříznout i od SharePoint admin centra, a doporučuje správce z pravidla vyjmout.

Doporučený postup:

1. Vytvořte skupinu „Externisté“ (bezpečnostní skupina v Entra) a dejte do ní jen externí spolupracovníky.
2. Volbu zapněte v SharePoint admin centru a hned poté v Entra admin centru → Conditional Access najděte nově vytvořená pravidla. Poznáte je například podle názvu „Use app-enforced Restrictions for browser access“.
3. Zužte je na skupinu Externisté (Users → Include → vybrané skupiny) a vyjměte nouzový správcovský účet. Microsoft cílení pravidla na vybrané uživatele nebo skupiny podporuje – omezení jde zapnout pro všechny, nebo jen pro některé uživatele či skupiny.
4. Chcete-li nejdřív jen sledovat, přepněte pravidla do režimu Report-only. V přihlašovacích protokolech Entra pak uvidíte, na koho by pravidlo dopadlo, aniž by kohokoli omezilo. Teprve potom ho zapněte naostro.
5. Na stránce Unmanaged devices už neklikejte Save. Každé další uložení pravidla vytvoří znovu pro všechny a zúžení zmizí. Změny dělejte v Entra.

Tenhle postup je náš doporučený, ne jediný možný – a vždy ho otestujte na jednom externistovi, než ho pustíte na všechny. Kdo chce mít pravidlo od začátku pod kontrolou, může ho v Entra založit ručně (cílová aplikace Office 365 SharePoint Online, relace „Use app enforced restrictions“) a omezení na straně SharePointu zapnout PowerShellem.

Past č. 2: obchvaty, na které se zapomíná

Omezení hlídá přihlášení přes SharePoint a OneDrive. Kolem něj ale vedou cesty, které je potřeba zavřít zvlášť:

• Odkazy „Kdokoli s odkazem“. Anonymní odkazy pravidla podmíněného přístupu neomezují – kdo takový odkaz má, soubor stáhne. Na webech s omezením je Microsoft doporučuje vypnout.
• Aplikace bez moderního ověřování. Staré klienty (Office starší než 2013, některé aplikace třetích stran) neumí omezení vynutit. Microsoft doporučuje v témže Access control zablokovat i Apps that don’t use modern authentication (aplikace bez moderního ověřování).
• Přílohy v poště. Omezení se týká jen SharePointu a OneDrivu. Pošle-li někdo externistovi dokument jako přílohu, ten si ho stáhne normálně. Kdo chce hlídat i poštu a Teams, potřebuje pravidlo podmíněného přístupu pro celé Office 365 – a hlavně firemní zvyk posílat odkazy místo příloh.
• Soubory v Teams. Záložka Soubory v Teams je SharePoint, takže se na ni omezení vztahuje taky. Chat v Teams ale ne.

Na co se připravit při zapnutí

• Projeví se do 24 hodin. Microsoft upozorňuje, že pravidlo nezasáhne toho, kdo je z nespravovaného zařízení už přihlášený – po zapnutí je dobré externisty požádat, aby se odhlásili a přihlásili znovu.
• PDF a obrázky. Ve výchozím režimu (WebPreviewableFiles) Microsoft varuje, že PDF a obrázky mohou hlásit nečekané „Access Denied“, protože je prohlížeč k zobrazení potřebuje stáhnout. Vyzkoušejte s typy souborů, které externisté skutečně používají.
• Vaši lidé potřebují podporovaný prohlížeč. I na spravovaném zařízení musí uživatel použít podporovanou kombinaci systému a prohlížeče, jinak dostane taky omezený přístup.
• Obrázky na stránkách webu. Kdo upravuje web z nespravovaného zařízení, nemusí vidět obrázky nahrané do webových částí – Microsoft k tomu má popsané obejití.

Co tím nevyřešíte

Buďme poctiví: omezený přístup z prohlížeče brání stažení, tisku a synchronizaci. Nezabrání tomu, aby si člověk obsah opsal nebo vyfotil obrazovku. Pro většinu malých firem je to přesně správná míra – cílem je, aby po skončení spolupráce nezůstaly na cizím disku celé složky, ne vybudovat trezor.

Kdo potřebuje víc, například blokovat kopírování textu nebo hlídat stahování podle citlivosti dokumentu, sáhne po Microsoft Defender for Cloud Apps a jeho řízení relací. Ten je ale samostatně licencovaný (nebo součástí Microsoft 365 E5) a nastavuje se výrazně složitěji.

Jak to máme v EasyPortal 365

Nastavení podmíněného přístupu je jednorázová práce, ale snadno se rozbije: někdo vytvoří anonymní odkaz, někdo klikne Uložit na špatné stránce. Proto se vyplatí ho hlídat.

• Atlas ukazuje sdílení a hosty, najde odkazy „Kdokoli s odkazem“ a umí je zrušit jedním plánem – nejdřív jen čtením připraví, co se změní, a zasáhne až po potvrzení. Ukazuje také zařízení z Intune a Entra ID včetně těch, která nevyhovují pravidlům – tedy počítače vašich lidí, které by omezený přístup dostaly taky.
• Nastavení s vámi rádi projdeme v rámci služeb – od skupiny externistů přes test v režimu Report-only až po kontrolu, že se nic neobchází.

Co si z toho odnést

• Omezený přístup jen z prohlížeče je pro externisty na vlastních noteboocích správná volba: pracují s dokumenty, ale neodnášejí si je.
• Potřebujete Entra ID P1 – v Business Premium, E3 a E5 ho máte, k Basic a Standard ho dokoupíte.
• Výchozí nastavení míří na všechny uživatele. Zužte ho na skupinu externistů, vyjměte nouzového správce a začněte v režimu Report-only.
• Zavřete obchvaty: anonymní odkazy, staré aplikace a přílohy v poště.
• Počítejte s až 24 hodinami a vyzkoušejte PDF a obrázky.

Zdroje

• IT Admins – SharePoint and OneDrive unmanaged device access controls (Microsoft Learn)
• Use app-enforced restrictions (Microsoft Learn)
• Block access to SharePoint for specific users (Microsoft Learn)
• What is Conditional Access? – License requirements (Microsoft Learn)
• Microsoft 365 for business security overview (Microsoft Learn)
• Microsoft Entra licensing (Microsoft Learn)
• Microsoft 365 and Office 365 plan options (Microsoft Learn)
• Conditional Access app control in Microsoft Defender for Cloud Apps (Microsoft Learn)