New-ApplicationAccessPolicy
Dieses Cmdlet ist nur im cloudbasierten Dienst verfügbar.
Wichtig
App-Zugriffsrichtlinien werden durch rollenbasierte Access Control für Anwendungen ersetzt. Weitere Informationen finden Sie unter Rollenbasierte Access Control für Exchange-Anwendungen. Erstellen Sie keine neuen App-Zugriffsrichtlinien, da diese Richtlinien letztendlich eine Migration zu rollenbasierten Access Control für Anwendungen erfordern.
Verwenden Sie das Cmdlet New-ApplicationAccessPolicy, um den Zugriff auf eine bestimmte Gruppe von Postfächern durch eine Anwendung einzuschränken oder zu verweigern, die APIs (Outlook, REST, Microsoft Graph oder Exchange-Webdienste (EWS)) verwendet. Diese Richtlinien ergänzen die Berechtigungsbereiche, die von der Anwendung deklariert werden.
Informationen zu den Parametersätzen im Abschnitt zur Syntax weiter unten finden Sie unter Syntax der Exchange-Cmdlets.
Syntax
Default (Standard)
New-ApplicationAccessPolicy
-AccessRight <ApplicationAccessPolicyRight>
-AppId <String[]>
-PolicyScopeGroupId <RecipientIdParameter>
[-Confirm]
[-Description <String>]
[-WhatIf]
[<CommonParameters>]
Beschreibung
Bevor Sie dieses Cmdlet ausführen können, müssen Ihnen die entsprechenden Berechtigungen zugewiesen werden. Obwohl in diesem Artikel alle Parameter für das Cmdlet aufgeführt sind, haben Sie möglicherweise keinen Zugriff auf einige Parameter, wenn sie nicht in den Ihnen zugewiesenen Berechtigungen enthalten sind. Wie Sie herausfinden, welche Berechtigungen zur Ausführung eines bestimmten Cmdlets oder Parameters in Ihrer Organisation erforderlich sind, können Sie unter Find the permissions required to run any Exchange cmdlet nachlesen.
Sie können eine begrenzte Anzahl von Richtlinien in Ihrer organization basierend auf einem festen Speicherplatz erstellen. Wenn in Ihrer organization nicht genügend Speicherplatz für diese Richtlinien vorhanden ist, wird die folgende Fehlermeldung angezeigt: "Die Gesamtgröße der App-Zugriffsrichtlinien hat das Limit überschritten." Um die Anzahl der Richtlinien zu maximieren und den von den Richtlinien belegten Speicherplatz zu reduzieren, legen Sie eine Beschreibung mit einem Leerzeichen für die Richtlinie fest. Diese Methode lässt ungefähr 300 Richtlinien zu (gegenüber einem früheren Limit von 100 Richtlinien).
Dabei ist der bereichsbasierte Ressourcenzugriff wie Mail.Read oder Calendar. Lesen ist effektiv Um sicherzustellen, dass die Anwendung nur E-Mails oder Ereignisse innerhalb eines Postfachs lesen und nichts anderes tun kann, erlauben Anwendungszugriffsrichtlinien Administratoren, Grenzwerte zu erzwingen, die auf einer Liste von Postfächern basieren. So sollten beispielsweise Apps, die für ein Land/eine Region entwickelt wurden, keinen Zugriff auf Daten aus anderen Ländern/Regionen haben. Oder eine CRM-Integrationsanwendung sollte nur auf Kalender im Vertriebs organization und nicht in anderen Abteilungen zugreifen.
Jede API-Anforderung einer Anwendung über die Outlook-REST-APIs oder Microsoft Graph-APIs an ein Zielpostfach wird anhand der folgenden Regeln überprüft (in derselben Reihenfolge):
- Wenn mehrere Anwendungszugriffsrichtlinien für dasselbe Anwendungs- und Zielpostfachpaar vorhanden sind, wird die DenyAccess-Richtlinie gegenüber einer RestrictAccess-Richtlinie priorisiert.
- Wenn eine DenyAccess-Richtlinie für die Anwendung und das Zielpostfach vorhanden ist, wird die Zugriffsanforderung der App verweigert (auch wenn eine RestrictAccess-Richtlinie vorhanden ist).
- Wenn RestrictAccess-Richtlinien vorhanden sind, die mit der Anwendung und dem Zielpostfach übereinstimmen, wird der App der Zugriff gewährt.
- Wenn für die Anwendung Einschränkungsrichtlinien vorhanden sind und das Zielpostfach kein Mitglied dieser Richtlinien ist, wird der Anwendung der Zugriff auf das Zielpostfach verweigert.
- Wenn keine der oben genannten Bedingungen erfüllt ist, wird der Anwendung der Zugriff auf das angeforderte Zielpostfach gewährt.
Beispiele
Beispiel 1
New-ApplicationAccessPolicy -AccessRight DenyAccess -AppId "3dbc2ae1-7198-45ed-9f9f-d86ba3ec35b5", "6ac794ca-2697-4137-8754-d2a78ae47d93" -PolicyScopeGroupId "Engineering Staff" -Description "Engineering Group Policy"
In diesem Beispiel wird eine neue Anwendungszugriffsrichtlinie mit den folgenden Einstellungen erstellt:
- AccessRight: DenyAccess
- AppIDs: 3dbc2ae1-7198-45ed-9f9f-d86ba3ec35b5 and 6ac794ca-2697-4137-8754-d2a78ae47d93
- PolicyScopeGroupId: Engineering Staff
- Beschreibung: Technische Gruppenrichtlinie
Beispiel 2
New-ApplicationAccessPolicy -AccessRight RestrictAccess -AppId "e7e4dbfc-046f-4074-9b3b-2ae8f144f59b" -PolicyScopeGroupId EvenUsers@AppPolicyTest2.com -Description "Restrict this app's access to members of security group EvenUsers."
In diesem Beispiel wird eine neue Anwendungszugriffsrichtlinie mit den folgenden Einstellungen erstellt:
- AccessRight: RestrictAccess
- AppIDs: e7e4dbfc-046f-4074-9b3b-2ae8f144f59b
- PolicyScopeGroupId: EvenUsers@AppPolicyTest2.com
- Beschreibung: Beschränken Sie den Zugriff dieser App auf Mitglieder der Sicherheitsgruppe EvenUsers.
Beispiel 3
New-ApplicationAccessPolicy -AccessRight DenyAccess -AppId "e7e4dbfc-046f-4074-9b3b-2ae8f144f59b" -PolicyScopeGroupId OddUsers@AppPolicyTest2.com -Description "Deny this app access to members of security group OddUsers."
In diesem Beispiel wird eine neue Anwendungszugriffsrichtlinie mit den folgenden Einstellungen erstellt:
- AccessRight: DenyAccess
- AppIDs: e7e4dbfc-046f-4074-9b3b-2ae8f144f59b
- PolicyScopeGroupId: OddUsers@AppPolicyTest2.com
- Beschreibung: Verweigern Sie dieser App den Zugriff für Mitglieder der Sicherheitsgruppe OddUsers.
Parameter
-AccessRight
Anwendbar: Exchange Online, integriertes Sicherheits-Add-On für lokale Postfächer
Der Parameter AccessRight gibt den Einschränkungstyp an, den Sie in der Anwendungszugriffsrichtlinie zuweisen möchten. Gültige Werte sind:
- RestrictAccess: Ermöglicht der zugeordneten App nur den Zugriff auf Daten, die Postfächern zugeordnet sind, die durch den PolicyScopeGroupID-Parameter angegeben werden.
- DenyAccess: Ermöglicht der zugeordneten App nur den Zugriff auf Daten, die nicht den mit dem PolicyScopeGroupID-Parameter angegebenen Postfächern zugeordnet sind.
Parametereigenschaften
| Typ: | ApplicationAccessPolicyIdParameter |
| Standardwert: | None |
| Unterstützt Platzhalter: | False |
| Nicht anzeigen: | False |
Parametersätze
(All)
| Position: | Named |
| Obligatorisch.: | True |
| Wert aus Pipeline: | False |
| Wert aus Pipeline nach dem Eigenschaftsnamen: | False |
| Wert aus verbleibenden Argumenten: | False |
-AppId
Anwendbar: Exchange Online, integriertes Sicherheits-Add-On für lokale Postfächer
Der Parameter "Identity" gibt die GUID der Apps an, die in die Richtlinie aufgenommen werden sollen. Um den GUID-Wert einer App zu finden, führen Sie den Befehl Get-App | Format-Table -Auto DisplayName,AppId aus.
Sie können mehrere App-GUID-Werte angeben, die durch Kommas getrennt werden, oder Sie können * angeben, um alle Anwendungen anzugeben.
Parametereigenschaften
| Typ: | String[] |
| Standardwert: | None |
| Unterstützt Platzhalter: | False |
| Nicht anzeigen: | False |
Parametersätze
(All)
| Position: | Named |
| Obligatorisch.: | True |
| Wert aus Pipeline: | True |
| Wert aus Pipeline nach dem Eigenschaftsnamen: | True |
| Wert aus verbleibenden Argumenten: | False |
-Confirm
Anwendbar: Exchange Online, integriertes Sicherheits-Add-On für lokale Postfächer
Die Option "Confirm" gibt an, ob die Bestätigungsaufforderung angezeigt oder ausgeblendet werden soll. Wie sich diese Option auf das Cmdlet auswirkt, hängt davon ab, ob für das Cmdlet eine Bestätigung erforderlich ist, bevor Sie fortfahren.
- Destruktive Cmdlets (beispielsweise Remove-*-Cmdlets) verfügen über eine integrierte Pause, die Sie zwingt, den Befehl vor dem Fortfahren zu bestätigen. Für diese Cmdlets können Sie die Bestätigungsaufforderung mit genau dieser Syntax überspringen:
-Confirm:$false. - Die meisten anderen Cmdlets (beispielsweise New-*- und Set-*-Cmdlets) verfügen nicht über eine integrierte Pause. Bei diesen Cmdlets führt die Angabe des Bestätigungsschalters ohne Wert zu einer Pause, die Sie zwingt, den Befehl zu bestätigen, bevor Sie fortfahren.
Parametereigenschaften
| Typ: | SwitchParameter |
| Standardwert: | None |
| Unterstützt Platzhalter: | False |
| Nicht anzeigen: | False |
| Aliase: | vgl |
Parametersätze
(All)
| Position: | Named |
| Obligatorisch.: | False |
| Wert aus Pipeline: | False |
| Wert aus Pipeline nach dem Eigenschaftsnamen: | False |
| Wert aus verbleibenden Argumenten: | False |
-Description
Anwendbar: Exchange Online, integriertes Sicherheits-Add-On für lokale Postfächer
Der Description-Parameter gibt eine Beschreibung für die Richtlinie an. Wenn der Wert Leerzeichen enthält, setzen Sie ihn in Anführungszeichen (").
Parametereigenschaften
| Typ: | String |
| Standardwert: | None |
| Unterstützt Platzhalter: | False |
| Nicht anzeigen: | False |
Parametersätze
(All)
| Position: | Named |
| Obligatorisch.: | False |
| Wert aus Pipeline: | False |
| Wert aus Pipeline nach dem Eigenschaftsnamen: | False |
| Wert aus verbleibenden Argumenten: | False |
-PolicyScopeGroupID
Anwendbar: Exchange Online, integriertes Sicherheits-Add-On für lokale Postfächer
Der Parameter PolicyScopeGroupID gibt den Empfänger an, der in der Richtlinie definiert werden soll. Gültige Empfängertypen sind Sicherheitsprinzipale in Exchange Online (Benutzer oder Gruppen, einschließlich geschachtelter Gruppen, denen Berechtigungen zugewiesen werden können). Zum Beispiel:
- Postfächer mit zugeordneten Benutzerkonten (UserMailbox)
- E-Mail-Benutzer, auch bekannt als E-Mail-aktivierte Benutzer (MailUser)
- E-Mail-aktivierte Sicherheitsgruppen (MailUniversalSecurityGroup)
Sie können jeden Wert verwenden, der den Empfänger eindeutig bestimmt. Beispiel:
- Name
- Name
- Distinguished Name (DN)
- Anzeigename
- GUID
Führen Sie einen der folgenden Befehle aus, um zu überprüfen, ob es sich bei einem Empfänger um einen Sicherheitsprinzipal handelt: Get-Recipient -Identity <RecipientIdentity> | Select-Object IsValidSecurityPrincipal oder Get-Recipient -ResultSize unlimited | Format-Table -Auto Name,RecipientType,RecipientTypeDetails,IsValidSecurityPrincipal.
Sie können mit diesem Parameter nur Sicherheitsprinzipale angeben. Die folgenden Empfängertypen funktionieren beispielsweise nicht:
- Ermittlungspostfächer (DiscoveryMailbox)
- Dynamische Verteilergruppen (DynamicDistributionGroup)
- Verteilergruppen (MailUniversalDistributionGroup)
- E-Mail-Kontakte (MailContact)
- E-Mail-aktivierte öffentliche Ordner (PublicFolder)
- Microsoft 365-Gruppen (GroupMailbox)
- Ressourcenpostfächer (RoomMailbox oder EquipmentMailbox)
- Freigegebene Postfächer (SharedMailbox)
Wenn Sie den Umfang der Richtlinie auf freigegebene Postfächer beschränken müssen, können Sie die freigegebenen Postfächer als Mitglieder einer E-Mail-aktivierten Sicherheitsgruppe hinzufügen.
Parametereigenschaften
| Typ: | RecipientIdParameter |
| Standardwert: | None |
| Unterstützt Platzhalter: | False |
| Nicht anzeigen: | False |
Parametersätze
(All)
| Position: | Named |
| Obligatorisch.: | True |
| Wert aus Pipeline: | True |
| Wert aus Pipeline nach dem Eigenschaftsnamen: | True |
| Wert aus verbleibenden Argumenten: | False |
-WhatIf
Anwendbar: Exchange Online, integriertes Sicherheits-Add-On für lokale Postfächer
Der Schalter "WhatIf" zeigt die Funktion des Befehls an, ohne Änderungen vorzunehmen. Sie müssen keinen Wert für diese Option angeben.
Parametereigenschaften
| Typ: | SwitchParameter |
| Standardwert: | None |
| Unterstützt Platzhalter: | False |
| Nicht anzeigen: | False |
| Aliase: | Wi |
Parametersätze
(All)
| Position: | Named |
| Obligatorisch.: | False |
| Wert aus Pipeline: | False |
| Wert aus Pipeline nach dem Eigenschaftsnamen: | False |
| Wert aus verbleibenden Argumenten: | False |
CommonParameters
Dieses Cmdlet unterstützt die allgemeinen Parameter: -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction und -WarningVariable. Weitere Informationen finden Sie unter about_CommonParameters.