Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Die Vorabgenehmigung von Resource-Specific Consent (RSC)-Berechtigungen bietet Administratoren eine präzise Kontrolle über die RSC-Berechtigungen, die eine App bei der Installation anfordern kann. RSC-Berechtigungen werden einer App zu dem Zeitpunkt erteilt, zu dem die App installiert wird. Mithilfe von Vorabgenehmigungsrichtlinien können Administratoren im Voraus die maximalen Berechtigungen festlegen, die eine App vom Endbenutzer anfordern und denen während der Installation zugestimmt werden kann.
Damit eine RSC-Berechtigungsvorabgenehmigungsrichtlinie für eine App wirksam wird, muss der Administrator sicherstellen, dass die App in seiner Organization aktiviert (installierbar) ist. Wenn die App nicht installiert werden kann, wird die Vorabgenehmigung der Berechtigung für diese bestimmte App irrelevant. Weitere Informationen zum Aktivieren von Apps im Teams Admin Center finden Sie unter Verwalten von Apps im Teams Admin Center.
Administratoren können eine detaillierte Vorabgenehmigungsrichtlinie erstellen, die auf der App-ID, den Berechtigungen und der Vertraulichkeit der Daten basiert, auf die zugegriffen wird. Die Vorabgenehmigung von RSC-Berechtigungen ist für Administratoren gedacht, die erweiterte benutzerdefinierte Richtlinien für ihre Organization erstellen möchten.
Standardmäßig werden die Vorabgenehmigungsrichtlinien von Microsoft verwaltet, und es wird empfohlen, dass Organisationen den Status beibehalten ManagedByMicrosoft . Dieser Status ermöglicht es dem Sicherheitsteam von Microsoft, die beste Sicherheit für Ihre organization zu bieten.
Hinweis
- Die Vorabgenehmigung von RSC-Berechtigungen ist nur in der öffentlichen Entwicklervorschau verfügbar.
- Die Vorabgenehmigung von RSC-Berechtigungen und die zugehörigen Betriebsverfahren können sich ändern.
Einrichten von PowerShell zum Verwalten der Vorabgenehmigung von RSC-Berechtigungen
Die Vorabgenehmigung von RSC-Berechtigungen wird über Microsoft Graph PowerShell verwaltet. Weitere Informationen zum Verwalten von Microsoft Teams mit PowerShell finden Sie hier.
Zum Erstellen, Verwalten und Löschen von RSC-Vorabgenehmigungsrichtlinien müssen Sie dem PowerShell-Cmdlet die folgenden Berechtigungen erteilen:
TeamworkAppSettings.ReadWrite.AllPolicy.ReadWrite.AuthorizationAppCatalog.Read.AllPolicy.ReadWrite.PermissionsGrantInformationProtectionPolicy.ReadApplication.ReadWrite.All
Hinweis
Sie benötigen Berechtigungen auf globaler Administratorebene, um Graph zum ersten Mal mit Ihrer organization zu verbinden.
Im Folgenden finden Sie ein Beispiel für das PowerShell-Setup zum Verwalten von Vorabgenehmigungsrichtlinien von RSC-Berechtigungen:
Connect-MgGraph -Scopes @('TeamworkAppSettings.ReadWrite.All', 'Policy.ReadWrite.Authorization', 'AppCatalog.Read.All', 'Policy.ReadWrite.PermissionGrant', 'InformationProtectionPolicy.Read', 'Application.ReadWrite.All')
RSC-Berechtigungen für Apps in Ihrer Organization zulassen
Administratoren können vier verschiedene Zustände für ihre organization festlegen, sowohl für team- als auch für chatspezifische RSC-Berechtigungen. Abgesehen vom DisabledForAllApps Bundesstaat erlauben alle anderen Staaten RSC-Berechtigungen in unterschiedlichem Maße. Diese Zustände können über Set-MgBetaChatRscConfiguration und Set-MgBetaTeamRscConfiguration Cmdlets festgelegt werden.
Verwenden Sie beispielsweise die Set-MgBetaTeamRscConfiguration -State EnabledForAllApps Cmdlets, um RSC-Berechtigungen für alle nicht blockierten Apps in Ihrer Organization zuzulassen.
Im Folgenden werden die verschiedenen Zustände aufgeführt, die RSC-Berechtigungen in Ihrer organization zulassen und verweigern:
| Konfiguration | Beschreibung |
|---|---|
ManagedByMicrosoft |
Eine dynamische Richtlinie, die von Microsoft verwaltet wird. Sie kann basierend auf bewährten Sicherheitsmethoden aktualisiert werden. Standardmäßig aktiviert dieser Status RSC für alle nicht blockierten Apps in der organization. |
EnabledForAllApps |
Benutzer können RSC-Berechtigungen für alle nicht blockierten Apps in der organization zustimmen. |
EnabledForPreApprovedAppsOnly |
Benutzer in der organization können nur den nicht blockierten Apps zustimmen, denen auch eine explizite Vorabgenehmigungsrichtlinie zugeordnet ist. Diese Option darf nur verwendet werden, wenn der Administrator die zulässigen RSC-Berechtigungen pro App explizit einschränken möchte. |
DisabledForAllApps |
Benutzer können den RSC-Berechtigungen, die für eine App erforderlich sind, nicht zustimmen, selbst wenn die App in der organization entsperrt ist. Warnung: Dieser Status lässt die Installation von Apps, die RSC-Berechtigungen benötigen, nicht zu. |
Warnung
Wenn Sie die RSC-Konfiguration Ihres Chats oder Teams in DisabledForAllAppsändern, wird die Vorabgenehmigung in Ihrem Mandanten deaktiviert, und die Benutzer stoßen auf Fehler, wenn sie RSC-aktivierte Apps installieren.
Aktivieren Sie die RSC-Berechtigungen für alle nicht blockierten Apps in der organization.
Sie können RSC für alle nicht blockierten Apps in Ihrer Organization mithilfe von PowerShell-Cmdlets aktivieren, indem Sie den Status Ihrer RSC-Berechtigungseinstellung in EnabledForAllAppsändern. Sie können den Status für Chat- und Team-RSC-Einstellungen in Ihrer organization wie folgt festlegen:
Set-MgBetaTeamRscConfiguration -State EnabledForAllApps
Set-MgBetaChatRscConfiguration -State EnabledForAllApps
RSC nur für eine bestimmte Gruppe von Apps aktivieren
Sie können eine Vorabgenehmigungsrichtlinie für bestimmte Apps mit den Berechtigungen und Vertraulichkeitsbezeichnungen der Daten erstellen, die Sie vorab genehmigen möchten. In den folgenden Abschnitten wird gezeigt, wie Sie eine Vorabgenehmigungsrichtlinie mit und ohne angefügte Vertraulichkeitsbezeichnung erstellen.
Erstellen einer Vorabgenehmigungsrichtlinie basierend auf App-ID und Berechtigungen
Vorabgenehmigungsrichtlinien ermöglichen Benutzern in Ihrer Organization, RSC-Berechtigungen für eine bestimmte Gruppe von Apps zuzustimmen. Dies bedeutet, dass Sie bestimmen können, auf welche RSC-fähigen Apps Ihre organization zugreifen kann, ohne die RSC-Berechtigungen für alle Apps in Ihrer organization einzuschränken.
Um eine Vorabgenehmigungsrichtlinie ohne Vertraulichkeitsbezeichnung zu erstellen, stellen Sie sicher, dass Sie über die folgenden Informationen verfügen:
- Teams-App-ID
- Die RSC-Berechtigungen, die der App zugeordnet sind.
- Team- oder globale Administratorberechtigungen in Ihrem Mandanten.
Sie können PowerShell-Cmdlets verwenden, um eine Vorabgenehmigungsrichtlinie zu erstellen. Zum Erstellen des Cmdlets müssen Sie die zuvor mit dem New-MgBetaTeamAppPreApproval Befehl genannten Informationen abrufen und im Cmdlet eine der folgenden RSC-Berechtigungen angeben, die Sie vorab genehmigen möchten:
| Konfiguration | Beschreibung |
|---|---|
ResourceSpecificApplicationPermissionsAllowedForChats |
Verwenden Sie diese Konfiguration, wenn Sie eine Vorabgenehmigungsrichtlinie für RSC-Berechtigungen für einen Chat erstellen. Eine Liste aller Berechtigungen finden Sie unter RSC-Berechtigungen. |
ResourceSpecificApplicationPermissionsAllowedForTeams |
Verwenden Sie diese Konfiguration, wenn Sie eine Vorabgenehmigungsrichtlinie für RSC-Berechtigungen für ein Team erstellen. Eine Liste aller Berechtigungen finden Sie unter RSC-Berechtigungen. |
Vorabgenehmigung einer App mit Team-RSC-Berechtigungen
New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group') -TeamLevelSensitivityLabelCondition AnySensitivityLabel
Vorabgenehmigung einer App mit Chat-RSC-Berechtigungen
New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForChats @('OnlineMeeting.ReadBasic.Chat')
Vorabgenehmigung einer App mit Team- und Chat-RSC-Berechtigungen
New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForChats @('OnlineMeeting.ReadBasic.Chat') -ResourceSpecificApplicationPermissionsAllowedForTeams @(‘ChannelMessage.Read.Group’) -TeamLevelSensitivityLabelCondition AnySensitivityLabel
Warnung
Die Erstellung Ihrer Vorabgenehmigungsrichtlinie schlägt möglicherweise fehl, wenn Sie in Ihrem Cmdlet die falschen Berechtigungen mit dem falschen Berechtigungstyp verknüpfen. Stellen Sie sicher, dass die Chat-RSC-Berechtigungen mit .Chat und die Team-RSC-Berechtigungen mit .Groupenden.
Erstellen einer Vorabgenehmigungsrichtlinie basierend auf App-ID, Berechtigungen und Vertraulichkeitsbezeichnungen
Vorabgenehmigungsrichtlinien können erstellt werden, um RSC-Berechtigungen für bestimmte Vertraulichkeitsbezeichnungen in Ihrem Mandanten vorab zu genehmigen. Auf diese Weise können Sie steuern, auf welche Daten RSC-fähige Apps zugreifen können. Hier erfahren Sie, wie Sie eine Vorabgenehmigungsrichtlinie basierend auf der Vertraulichkeit der Daten erstellen.
Sie können auch eine Vorabgenehmigungsrichtlinie für bestimmte Berechtigungen zusätzlich zu bestimmten Vertraulichkeitsbezeichnungen erstellen. Sie können zulassen, dass alle RSC-Zustimmungsanforderungen für eine bestimmte Berechtigung genehmigt werden. Um eine Vorabgenehmigungsrichtlinie zu erstellen, stellen Sie sicher, dass Sie über die folgenden Informationen verfügen:
- Teams-App-ID
- Die RSC-Berechtigungen, die der App zugeordnet sind.
- Die ID der Vertraulichkeitsbezeichnung, die der Vertraulichkeitsbezeichnung zugeordnet ist. Dies ist nicht erforderlich, wenn die Richtlinie für alle Vertraulichkeitsbezeichnungen gelten soll oder wenn Sie nur Chat-RSC-Berechtigungen vorab genehmigen.
- Team- oder globale Administratorberechtigungen in Ihrem Mandanten.
Sie können PowerShell-Cmdlets verwenden, um eine Vorabgenehmigungsrichtlinie zu erstellen. Zum Erstellen des Cmdlets müssen Sie die zuvor mit dem New-MgBetaTeamAppPreApproval Befehl genannten Informationen abrufen und im Cmdlet eine der folgenden RSC-Berechtigungen angeben, die Sie vorab genehmigen möchten:
| Konfiguration | Beschreibung |
|---|---|
ResourceSpecificApplicationPermissionsAllowedForChats |
Verwenden Sie diese Konfiguration, wenn Sie eine Vorabgenehmigungsrichtlinie für RSC-Berechtigungen für einen Chat erstellen. Die Liste aller Berechtigungen finden Sie unter RSC-Berechtigungen. |
ResourceSpecificApplicationPermissionsAllowedForTeams |
Verwenden Sie diese Konfiguration, wenn Sie eine Vorabgenehmigungsrichtlinie für RSC-Berechtigungen für ein Team erstellen. Die Liste aller Berechtigungen finden Sie unter RSC-Berechtigungen. |
Sie können die SpecificSensitivityLabel Argumente verwenden, um bestimmte Vertraulichkeitsbezeichnungen zu definieren, auf die die RSC-Vorabgenehmigungsrichtlinie angewendet werden soll.
Im Folgenden finden Sie ein Beispiel für Cmdlets, die diese Argumente verwenden:
New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group') -TeamLevelSensitivityLabelCondition SpecificSensitivityLabel -SpecificSensitivityLabelIdsApplicableToTeams @('4de11089-adb9-4be8-9b7a-8336be68f3c4')
Ändern Sie die RSC-Konfiguration, um nur Apps mit benutzerdefinierten Vorabgenehmigungsrichtlinien zuzulassen
Nachdem Sie Ihre Vorabgenehmigungsrichtlinien erstellt haben, ändern Sie die RSC-Einstellungen Ihrer Organization, um die neue Richtlinie zu verwenden. Diese Einstellung ist restriktiver und kann dazu führen, dass einige Apps für Ihre Endbenutzer nicht funktionieren. Um diese Änderung vorzunehmen, ändern Sie den Status der RSC-Einstellungen Ihrer organization. Das folgende Beispiel zeigt die erforderlichen PowerShell-Cmdlets:
Set-MgBetaTeamRscConfiguration -State EnabledForPreApprovedAppsOnly
Set-MgBetaChatRscConfiguration -State EnabledForPreApprovedAppsOnly
Verwalten der vorhandenen Vorabgenehmigungsrichtlinien
Nachdem Sie eine Richtlinie für die Vorabgenehmigung erstellt haben, können Sie die Richtlinie ändern, um die Berechtigungen und die Vertraulichkeitsbezeichnung der Richtlinie zu ändern. Wenn Apps mit zusätzlichen Berechtigungen veröffentlicht werden, müssen Sie die Vorabgenehmigungsrichtlinie für diese App aktualisieren, um die neuen Berechtigungen hinzuzufügen und sicherzustellen, dass die App auf Ihrem Mandanten installiert werden kann. Sie benötigen dieselben Informationen, um eine vorhandene Vorabgenehmigungsrichtlinie zu verwalten und eine neue Vorabgenehmigungsrichtlinie zu erstellen.
Sie können auch eine vorhandene Vorabgenehmigungsrichtlinie löschen, wenn Sie die Vorabgenehmigung der RSC-Berechtigung einer vorhandenen App beenden möchten.
Aktualisieren einer vorhandenen Richtlinie für die Vorabgenehmigung
Sie können eine Vorabgenehmigungsrichtlinie mit dem Update-MgBetaTeamAppPreApproval Cmdlet aktualisieren. Wenn Sie die zu aktualisierenden Berechtigungen angeben, müssen Sie den Typ der RSC-Berechtigungen unterscheiden.
Die folgenden RSC-Konfigurationen stehen zur Verwaltung einer vorhandenen Vorabgenehmigungsrichtlinie zur Verfügung:
| Konfiguration | Beschreibung |
|---|---|
ResourceSpecificApplicationPermissionsAllowedForChats |
Verwenden Sie diese Konfiguration, wenn Sie eine Vorabgenehmigungsrichtlinie für RSC-Berechtigungen für einen Chat erstellen. Die Liste aller Berechtigungen finden Sie unter RSC-Berechtigungen. |
ResourceSpecificApplicationPermissionsAllowedForTeams |
Verwenden Sie diese Konfiguration, wenn Sie eine Vorabgenehmigungsrichtlinie für RSC-Berechtigungen für ein Team erstellen. Die Liste aller Berechtigungen finden Sie unter RSC-Berechtigungen. |
Aktualisieren der Vorabgenehmigungsrichtlinie für Chat-RSC
Update-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForChats @('OnlineMeeting.ReadBasic.Chat', 'TeamsAppInstallation.Read.Chat')
Aktualisieren der Vorabgenehmigungsrichtlinie für Team RSC
Update-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group', 'TeamsAppInstallation.Read.Group') -TeamLevelSensitivityLabelCondition AnySensitivityLabel
Wenn Sie Ihre Vorabgenehmigungsrichtlinie von einer definierten Vertraulichkeitsbezeichnung in alle Vertraulichkeitsbezeichnungen ändern möchten, müssen Sie den Wert des Arguments in Ihrer SpecificSensitivityLabel Vorabgenehmigungsrichtlinie zurücksetzen. Legen Sie dazu das AnySensitivityLabel Argument wie folgt auf Null fest:
Update-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group') -TeamLevelSensitivityLabelCondition AnySensitivityLabel -SpecificSensitivityLabelIdsApplicableToTeams $null
Hinweis
Sie müssen alle relevanten Berechtigungen in Ihr Update-MgBetaTeamAppPreApproval Cmdlet aufnehmen, auch wenn Sie sie bereits in der vorhandenen Vorabgenehmigung deklariert haben.
Löschen einer vorhandenen Vorabgenehmigungsrichtlinie
Wenn Sie die Vorabgenehmigung der RSC-Berechtigung für eine vorhandene App beenden möchten, können Sie die Vorabgenehmigungsrichtlinie für diese App löschen. Stellen Sie zum Löschen einer Vorabgenehmigungsrichtlinie sicher, dass Sie über die App-ID verfügen.
Sie können die einer App zugeordnete Vorabgenehmigungsrichtlinie mithilfe des folgenden PowerShell-Cmdlets löschen:
Remove-MgBetaTeamAppPreapproval
Remove-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e
Siehe auch
Zusammenarbeit auf GitHub
Die Quelle für diesen Inhalt finden Sie auf GitHub, wo Sie auch Issues und Pull Requests erstellen und überprüfen können. Weitere Informationen finden Sie in unserem Leitfaden für Mitwirkende.