Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
La aprobación previa de permisos de consentimiento de Resource-Specific (RSC) proporciona a los administradores un control pormenorizado sobre los permisos RSC que una aplicación puede solicitar durante la instalación. Los permisos RSC se conceden a una aplicación en el momento en que se instala la aplicación. Mediante el uso de directivas de aprobación previa, los administradores pueden declarar con antelación los permisos máximos que una aplicación puede solicitar al usuario final y que se pueden consentir durante el tiempo de instalación.
Para que una directiva de aprobación previa de permisos RSC surta efecto para una aplicación, el administrador debe asegurarse de que la aplicación está habilitada (instalable) en su organización. Si la aplicación no se puede instalar, la aprobación previa de permisos para esa aplicación específica pierde relevancia. Para obtener más información sobre cómo habilitar aplicaciones en el Centro de Administración de Teams, consulte Administración de aplicaciones en el Centro de Administración de Teams.
Los administradores pueden crear una directiva de aprobación previa detallada basada en el id. de la aplicación, los permisos y la confidencialidad de los datos a los que se accede. La aprobación previa de los permisos RSC está diseñada para administradores que buscan crear directivas personalizadas avanzadas para su organización.
De forma predeterminada, Microsoft administra las directivas de aprobación previa y recomendamos que las organizaciones mantengan ManagedByMicrosoft el estado. Este estado permite al equipo de seguridad de Microsoft ofrecer la mejor seguridad para su organización.
Nota:
- La aprobación previa de los permisos RSC solo está disponible en la versión preliminar pública para desarrolladores.
- La aprobación previa de los permisos de RSC y sus procedimientos operativos están sujetos a cambios.
Configurar PowerShell para administrar la aprobación previa de los permisos de RSC
La aprobación previa de los permisos RSC se administra a través de Microsoft Graph PowerShell. Puede obtener más información sobre cómo administrar Microsoft Teams con PowerShell aquí.
Para crear, administrar y eliminar directivas de aprobación previa de RSC, debe conceder los siguientes permisos al cmdlet de PowerShell:
TeamworkAppSettings.ReadWrite.AllPolicy.ReadWrite.AuthorizationAppCatalog.Read.AllPolicy.ReadWrite.PermissionsGrantInformationProtectionPolicy.ReadApplication.ReadWrite.All
Nota:
Necesita privilegios de nivel de administrador global para conectar Graph con su organización por primera vez.
A continuación se muestra un ejemplo de la configuración de PowerShell para administrar las directivas de aprobación previa de los permisos RSC:
Connect-MgGraph -Scopes @('TeamworkAppSettings.ReadWrite.All', 'Policy.ReadWrite.Authorization', 'AppCatalog.Read.All', 'Policy.ReadWrite.PermissionGrant', 'InformationProtectionPolicy.Read', 'Application.ReadWrite.All')
Permitir permisos RSC para las aplicaciones de su organización
Para los permisos RSC específicos del equipo y del chat, los administradores pueden establecer cuatro estados diferentes para su organización. Aparte del DisabledForAllApps estado, todos los demás estados permiten permisos RSC en diferentes grados. Estos estados se pueden establecer mediante Set-MgBetaChatRscConfiguration y Set-MgBetaTeamRscConfiguration cmdlets.
Por ejemplo, para permitir permisos RSC para todas las aplicaciones desbloqueadas de su organización, use los Set-MgBetaTeamRscConfiguration -State EnabledForAllApps cmdlets.
A continuación se muestran los diferentes estados que permiten y deniegan permisos RSC en su organización:
| Configuración | Description |
|---|---|
ManagedByMicrosoft |
Una directiva dinámica administrada por Microsoft. Es posible que se actualice según las prácticas de seguridad recomendadas. De forma predeterminada, este estado habilita RSC para todas las aplicaciones desbloqueadas de la organización. |
EnabledForAllApps |
Los usuarios pueden dar su consentimiento a los permisos RSC para cualquier aplicación desbloqueada en la organización. |
EnabledForPreApprovedAppsOnly |
Los usuarios de la organización solo pueden dar su consentimiento a las aplicaciones desbloqueadas que también tengan asociada una directiva explícita de aprobación previa. Esta opción solo debe usarse si el administrador quiere limitar explícitamente los permisos RSC permitidos por cada aplicación. |
DisabledForAllApps |
Los usuarios no pueden dar su consentimiento a los permisos RSC requeridos por cualquier aplicación, incluso si la aplicación está desbloqueada en la organización. Advertencia: Este estado no permite la instalación de aplicaciones que necesitan permisos RSC. |
Advertencia
Si cambia la configuración de RSC del chat o del equipo a , deshabilitará la DisabledForAllAppsaprobación previa en el inquilino y los usuarios se encontrarán con errores cuando instalen aplicaciones habilitadas para RSC.
Habilitar los permisos RSC para todas las aplicaciones desbloqueadas de la organización
Puedes habilitar RSC para todas las aplicaciones desbloqueadas de tu organización mediante cmdlets de PowerShell cambiando el estado de la configuración de permisos RSC a EnabledForAllApps. Puede establecer el estado de la configuración del RSC del chat y del equipo en su organización de la siguiente manera:
Set-MgBetaTeamRscConfiguration -State EnabledForAllApps
Set-MgBetaChatRscConfiguration -State EnabledForAllApps
Habilitar RSC solo para un conjunto específico de aplicaciones
Puede crear una directiva de aprobación previa para aplicaciones específicas con los permisos y las etiquetas de confidencialidad de los datos que desea aprobar previamente. En las siguientes secciones se muestra cómo crear una directiva de aprobación previa con y sin una etiqueta de confidencialidad adjunta.
Crear una directiva de aprobación previa basada en el id. y los permisos de la aplicación
Las directivas de aprobación previa permiten a los usuarios de su organización dar su consentimiento a los permisos RSC para un conjunto específico de aplicaciones. Esto implica que puede determinar a qué aplicaciones habilitadas para RSC puede acceder su organización, sin limitar los permisos de RSC para todas las aplicaciones de su organización.
Para crear una directiva de aprobación previa sin una etiqueta de confidencialidad, asegúrese de tener la siguiente información:
- Id. de aplicación de Teams.
- Los permisos RSC asociados a la aplicación.
- Privilegios de administrador global o de equipo en el inquilino.
Puede usar cmdlets de PowerShell para crear una directiva de aprobación previa. Para crear el cmdlet, debe obtener la información mencionada anteriormente con el New-MgBetaTeamAppPreApproval comando y especificar uno de los siguientes permisos RSC que desea aprobar previamente en el cmdlet:
| Configuración | Description |
|---|---|
ResourceSpecificApplicationPermissionsAllowedForChats |
Use esta configuración al crear una directiva de aprobación previa para los permisos RSC para un chat. Para obtener una lista de todos los permisos, consulte Permisos RSC. |
ResourceSpecificApplicationPermissionsAllowedForTeams |
Use esta configuración al crear una directiva de aprobación previa para los permisos RSC de un equipo. Para obtener una lista de todos los permisos, consulte Permisos RSC. |
Aprobación previa de una aplicación con permisos RSC de equipo
New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group') -TeamLevelSensitivityLabelCondition AnySensitivityLabel
Aprobación previa de una aplicación con permisos RSC de chat
New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForChats @('OnlineMeeting.ReadBasic.Chat')
Aprobar previamente una aplicación con permisos RSC de equipo y chat
New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForChats @('OnlineMeeting.ReadBasic.Chat') -ResourceSpecificApplicationPermissionsAllowedForTeams @(‘ChannelMessage.Read.Group’) -TeamLevelSensitivityLabelCondition AnySensitivityLabel
Advertencia
Es posible que se produzca un error en la creación de la directiva de aprobación previa si vincula los permisos incorrectos con el tipo de permiso incorrecto en el cmdlet. Asegúrese de que los permisos RSC del chat finalicen con .Chat y los permisos RSC del equipo terminen con .Group.
Crear una directiva de aprobación previa basada en el id. de la aplicación, los permisos y las etiquetas de confidencialidad
Se pueden crear directivas de aprobación previa para aprobar previamente los permisos RSC en determinadas etiquetas de confidencialidad de su espacio empresarial. Esto le permite controlar los datos a los que pueden acceder las aplicaciones habilitadas para RSC. Aquí puede aprender el proceso para crear una directiva de aprobación previa en función de la confidencialidad de los datos.
También puede crear una directiva de aprobación previa para permisos específicos, además de para etiquetas de confidencialidad específicas. Puede permitir que todas las solicitudes de consentimiento RSC se aprueben para un permiso en particular. Para crear una directiva de aprobación previa, asegúrese de disponer de la siguiente información:
- Id. de aplicación de Teams.
- Los permisos RSC asociados a la aplicación.
- El identificador de etiqueta de confidencialidad asociado a la etiqueta de confidencialidad. Esto no es necesario si quiere que la directiva se aplique a todas las etiquetas de confidencialidad o si solo aprueba previamente los permisos RSC del chat.
- Privilegios de administrador global o de equipo en el inquilino.
Puede usar cmdlets de PowerShell para crear una directiva de aprobación previa. Para crear el cmdlet, debe obtener la información mencionada anteriormente con el New-MgBetaTeamAppPreApproval comando y especificar uno de los siguientes permisos RSC que desea aprobar previamente en el cmdlet:
| Configuración | Description |
|---|---|
ResourceSpecificApplicationPermissionsAllowedForChats |
Use esta configuración al crear una directiva de aprobación previa para los permisos RSC para un chat. Para obtener la lista de todos los permisos, consulte Permisos RSC. |
ResourceSpecificApplicationPermissionsAllowedForTeams |
Use esta configuración al crear una directiva de aprobación previa para los permisos RSC de un equipo. Para obtener la lista de todos los permisos, consulte Permisos RSC. |
Puede usar los SpecificSensitivityLabel argumentos para definir etiquetas de confidencialidad específicas a las que aplicar la directiva de aprobación previa de RSC.
A continuación se puede ver un ejemplo de cmdlets que usan estos argumentos:
New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group') -TeamLevelSensitivityLabelCondition SpecificSensitivityLabel -SpecificSensitivityLabelIdsApplicableToTeams @('4de11089-adb9-4be8-9b7a-8336be68f3c4')
Cambiar la configuración de RSC para permitir solo las aplicaciones con directivas de aprobación previa definidas de forma personalizada
Después de crear las directivas de aprobación previa, cambie la configuración de RSC de la organización para usar la nueva directiva. Esta configuración es más restrictiva y puede hacer que algunas aplicaciones no funcionen para los usuarios finales. Para realizar este cambio, cambie el estado de la configuración de RSC de su organización. En el ejemplo siguiente se muestran los cmdlets de PowerShell necesarios:
Set-MgBetaTeamRscConfiguration -State EnabledForPreApprovedAppsOnly
Set-MgBetaChatRscConfiguration -State EnabledForPreApprovedAppsOnly
Administrar las directivas de aprobación previa existentes
Después de crear una directiva de aprobación previa, puede modificar la directiva para cambiar los permisos y la etiqueta de confidencialidad de la directiva. Cuando se publican aplicaciones con permisos adicionales, debe actualizar la directiva de aprobación previa de esa aplicación para agregar los nuevos permisos, lo que garantiza que la aplicación se pueda instalar en el inquilino. Necesita la misma información para administrar una directiva de aprobación previa existente y crear una nueva directiva de aprobación previa.
También puede eliminar una directiva de aprobación previa existente si desea dejar de aprobar previamente el permiso RSC de una aplicación existente.
Actualizar una directiva de aprobación previa existente
Puede actualizar una directiva de aprobación previa con el Update-MgBetaTeamAppPreApproval cmdlet. Al especificar los permisos que se van a actualizar, debe distinguir el tipo de permisos RSC.
Las siguientes configuraciones de RSC están disponibles para administrar una directiva de aprobación previa existente:
| Configuración | Description |
|---|---|
ResourceSpecificApplicationPermissionsAllowedForChats |
Use esta configuración al crear una directiva de aprobación previa para los permisos RSC para un chat. Para obtener la lista de todos los permisos, consulte Permisos RSC. |
ResourceSpecificApplicationPermissionsAllowedForTeams |
Use esta configuración cuando cree una directiva de aprobación previa para los permisos RSC de un equipo, use esta configuración. Para obtener la lista de todos los permisos, consulte Permisos RSC. |
Actualizar la directiva de aprobación previa para RSC de chat
Update-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForChats @('OnlineMeeting.ReadBasic.Chat', 'TeamsAppInstallation.Read.Chat')
Actualizar la directiva de aprobación previa para el RSC del equipo
Update-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group', 'TeamsAppInstallation.Read.Group') -TeamLevelSensitivityLabelCondition AnySensitivityLabel
Si quiere cambiar la directiva de aprobación previa de una etiqueta de confidencialidad definida a todas las etiquetas de confidencialidad, debe restablecer el valor del SpecificSensitivityLabel argumento de la directiva de aprobación previa. Para ello, establezca el argumento en null de la AnySensitivityLabel siguiente manera:
Update-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group') -TeamLevelSensitivityLabelCondition AnySensitivityLabel -SpecificSensitivityLabelIdsApplicableToTeams $null
Nota:
Debe incluir todos los permisos pertinentes en Update-MgBetaTeamAppPreApproval el cmdlet, incluso si ya los ha declarado en la aprobación previa existente.
Eliminar una directiva de aprobación previa existente
Si desea dejar de aprobar previamente el permiso RSC de una aplicación existente, puede eliminar la directiva de aprobación previa para esa aplicación. Para eliminar una directiva de aprobación previa, asegúrese de tener el id. de aplicación.
Puede eliminar la directiva de aprobación previa asociada a una aplicación mediante el siguiente cmdlet de PowerShell:
Remove-MgBetaTeamAppPreapproval
Remove-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e
Vea también
Colaborar con nosotros en GitHub
El origen de este contenido se puede encontrar en GitHub, donde también puede crear y revisar problemas y solicitudes de incorporación de cambios. Para más información, consulte nuestra guía para colaboradores.