New-ApplicationAccessPolicy
Este cmdlet solo está disponible en el servicio basado en la nube.
Importante
Las directivas de acceso a aplicaciones se reemplazan por el Control de acceso control basado en roles para las aplicaciones. Para obtener más información, consulte Role Based Access Control for Exchange Applications. No cree nuevas directivas de acceso a aplicaciones, ya que eventualmente requerirán la migración a Role Based Access Control for Applications.
Use el cmdlet New-ApplicationAccessPolicy para restringir o denegar el acceso a un conjunto específico de buzones a una aplicación que use API (REST de Outlook, Microsoft Graph o servicios Web de Exchange (EWS)). Estas directivas son complementarias a los ámbitos de permisos declarados por la aplicación.
Para obtener más información acerca de los conjuntos de parámetros de la sección Sintaxis a continuación, vea Sintaxis del cmdlet de Exchange.
Sintaxis
Default (valor predeterminado)
New-ApplicationAccessPolicy
-AccessRight <ApplicationAccessPolicyRight>
-AppId <String[]>
-PolicyScopeGroupId <RecipientIdParameter>
[-Confirm]
[-Description <String>]
[-WhatIf]
[<CommonParameters>]
Description
Deberá tener asignados permisos antes de poder ejecutar este cmdlet. Aunque en este artículo se enumeran todos los parámetros del cmdlet, es posible que no tenga acceso a algunos parámetros si no se incluyen en los permisos que tiene asignados. Para obtener los permisos necesarios para ejecutar cualquier cmdlet o parámetro en su organización, consulte Find the permissions required to run any Exchange cmdlet.
Puede crear un número limitado de directivas en la organización en función de una cantidad fija de espacio. Si su organización se queda sin espacio para estas directivas, recibirá el error: "El tamaño total de las directivas de acceso a aplicaciones superó el límite". Para maximizar el número de directivas y reducir la cantidad de espacio que consumen las directivas, establezca una descripción de carácter de un espacio para la directiva. Este método permite aproximadamente 300 pólizas (frente a un límite anterior de 100 pólizas).
Mientras que el acceso a recursos basado en el ámbito como Mail.Read o Calendar. La lectura es eficaz para asegurarse de que la aplicación solo puede leer correo electrónico o eventos dentro de un buzón y no hacer nada más, las directivas de acceso a la aplicación permiten a los administradores aplicar límites basados en una lista de buzones. Por ejemplo, las aplicaciones desarrolladas para un país o región no deben tener acceso a datos de otros países o regiones. O una aplicación de integración de CRM solo debe acceder a los calendarios de la organización de ventas y no a otros departamentos.
Cada solicitud de API mediante las API de REST de Outlook o las API de Microsoft Graph a un buzón de destino realizada por una aplicación se comprueba mediante las siguientes reglas (en el mismo orden):
- Si hay varias directivas de acceso a aplicaciones para el mismo par de aplicación y buzón de destino, la directiva Denegar acceso tiene prioridad sobre una directiva RestrictAccess.
- Si existe una directiva DenyAccess para la aplicación y el buzón de destino, se deniega la solicitud de acceso de la aplicación (incluso si existe una directiva RestrictAccess).
- Si hay directivas RestrictAccess que coincidan con la aplicación y el buzón de destino, se concede acceso a la aplicación.
- Si hay directivas restrictivas para la aplicación y el buzón de destino no es miembro de esas directivas, se deniega a la aplicación el acceso al buzón de destino.
- Si no se cumple ninguna de las condiciones anteriores, se concede acceso a la aplicación al buzón de destino solicitado.
Ejemplos
Ejemplo 1
New-ApplicationAccessPolicy -AccessRight DenyAccess -AppId "3dbc2ae1-7198-45ed-9f9f-d86ba3ec35b5", "6ac794ca-2697-4137-8754-d2a78ae47d93" -PolicyScopeGroupId "Engineering Staff" -Description "Engineering Group Policy"
En este ejemplo se crea una nueva directiva de acceso a aplicaciones con la configuración siguiente:
- AccessRight: DenyAccess
- AppIDs: 3dbc2ae1-7198-45ed-9f9f-d86ba3ec35b5 and 6ac794ca-2697-4137-8754-d2a78ae47d93
- PolicyScopeGroupId: personal de ingeniería
- Descripción: ingeniería de la directiva de grupo
Ejemplo 2
New-ApplicationAccessPolicy -AccessRight RestrictAccess -AppId "e7e4dbfc-046f-4074-9b3b-2ae8f144f59b" -PolicyScopeGroupId EvenUsers@AppPolicyTest2.com -Description "Restrict this app's access to members of security group EvenUsers."
En este ejemplo se crea una nueva directiva de acceso a aplicaciones con la configuración siguiente:
- AccessRight: RestrictAccess
- AppIDs: e7e4dbfc-046f-4074-9b3b-2ae8f144f59b
- PolicyScopeGroupId: EvenUsers@AppPolicyTest2.com
- Descripción: restringir el acceso de esta aplicación a los miembros del grupo de seguridad EvenUsers.
Ejemplo 3
New-ApplicationAccessPolicy -AccessRight DenyAccess -AppId "e7e4dbfc-046f-4074-9b3b-2ae8f144f59b" -PolicyScopeGroupId OddUsers@AppPolicyTest2.com -Description "Deny this app access to members of security group OddUsers."
En este ejemplo se crea una nueva directiva de acceso a aplicaciones con la configuración siguiente:
- AccessRight: DenyAccess
- AppIDs: e7e4dbfc-046f-4074-9b3b-2ae8f144f59b
- PolicyScopeGroupId: OddUsers@AppPolicyTest2.com
- Descripción: Denegar el acceso a esta aplicación a los miembros del grupo de seguridad OddUsers.
Parámetros
-AccessRight
Aplicable: Exchange Online, complemento de seguridad integrado para buzones locales
El parámetro AccessRight especifica el tipo de restricción que desea asignar en la directiva de acceso a aplicaciones. Los valores admitidos son:
- RestrictAccess: permite que la aplicación asociada solo acceda a los datos asociados a los buzones especificados por el parámetro PolicyScopeGroupID.
- DenyAccess: permite que la aplicación asociada solo acceda a los datos que no están asociados a los buzones especificados por el parámetro PolicyScopeGroupID.
Propiedades de parámetro
| Tipo: | ApplicationAccessPolicyIdParameter |
| Valor predeterminado: | None |
| Admite caracteres comodín: | False |
| DontShow: | False |
Conjuntos de parámetros
(All)
| Posición: | Named |
| Mandatory: | True |
| Valor de la canalización: | False |
| Valor de la canalización por nombre de propiedad: | False |
| Valor de los argumentos restantes: | False |
-AppId
Aplicable: Exchange Online, complemento de seguridad integrado para buzones locales
El parámetro Identity especifica el GUID de las aplicaciones que se incluirán en la directiva. Para buscar el valor GUID de una aplicación, ejecute el comando Get-App | Format-Table -Auto DisplayName,AppId.
Puede especificar varios valores GUID de la aplicación separados por comas o puede especificar * para indicar todas las aplicaciones.
Propiedades de parámetro
| Tipo: | String[] |
| Valor predeterminado: | None |
| Admite caracteres comodín: | False |
| DontShow: | False |
Conjuntos de parámetros
(All)
| Posición: | Named |
| Mandatory: | True |
| Valor de la canalización: | True |
| Valor de la canalización por nombre de propiedad: | True |
| Valor de los argumentos restantes: | False |
-Confirm
Aplicable: Exchange Online, complemento de seguridad integrado para buzones locales
El modificador Confirm especifica si se debe mostrar u ocultar el mensaje de confirmación. Cómo afecta este modificador al cmdlet depende de si el cmdlet requiere confirmación antes de continuar.
- Los cmdlets destructivos (por ejemplo, los cmdlets Remove-*) tienen una pausa integrada que obliga a confirmar el comando antes de continuar. Para estos cmdlets, puede omitir el mensaje de confirmación mediante esta sintaxis exacta:
-Confirm:$false. - La mayoría de los otros cmdlets (por ejemplo, New-* y Set-*) no tienen una pausa integrada. Para estos cmdlets, especificar el modificador Confirm sin un valor introduce una pausa que le obliga a reconocer el comando antes de continuar.
Propiedades de parámetro
| Tipo: | SwitchParameter |
| Valor predeterminado: | None |
| Admite caracteres comodín: | False |
| DontShow: | False |
| Alias: | cf |
Conjuntos de parámetros
(All)
| Posición: | Named |
| Mandatory: | False |
| Valor de la canalización: | False |
| Valor de la canalización por nombre de propiedad: | False |
| Valor de los argumentos restantes: | False |
-Description
Aplicable: Exchange Online, complemento de seguridad integrado para buzones locales
El parámetro Description especifica una descripción para la directiva. Si el valor contiene espacios, escriba el valor entre comillas (").
Propiedades de parámetro
| Tipo: | String |
| Valor predeterminado: | None |
| Admite caracteres comodín: | False |
| DontShow: | False |
Conjuntos de parámetros
(All)
| Posición: | Named |
| Mandatory: | False |
| Valor de la canalización: | False |
| Valor de la canalización por nombre de propiedad: | False |
| Valor de los argumentos restantes: | False |
-PolicyScopeGroupID
Aplicable: Exchange Online, complemento de seguridad integrado para buzones locales
El parámetro PolicyScopeGroupID especifica el destinatario que se definirá en la directiva. Los tipos de destinatarios válidos son entidades de seguridad en Exchange Online (usuarios o grupos, incluidos los grupos anidados, que pueden tener permisos asignados). Por ejemplo:
- Buzones con cuentas de usuario asociadas (UserMailbox)
- Usuarios de correo, también conocidos como usuarios habilitados para correo (MailUser)
- Grupos de seguridad habilitados para correo (MailUniversalSecurityGroup)
Puede usar cualquier valor que identifique de forma exclusiva el destinatario. Por ejemplo:
- Nombre
- Nombre
- Nombre completo (DN)
- Nombre para mostrar
- GUID
Para comprobar que un destinatario es una entidad de seguridad, ejecute cualquiera de los siguientes comandos: Get-Recipient -Identity <RecipientIdentity> | Select-Object IsValidSecurityPrincipal o Get-Recipient -ResultSize unlimited | Format-Table -Auto Name,RecipientType,RecipientTypeDetails,IsValidSecurityPrincipal.
Solo se pueden especificar entidades de seguridad con este parámetro. Por ejemplo, los siguientes tipos de destinatarios no funcionan:
- Buzones de detección (DiscoveryMailbox)
- Grupos de distribución dinámicos (DynamicDistributionGroup)
- Grupos de distribución (MailUniversalDistributionGroup)
- Contactos de correo electrónico (MailContact)
- Carpetas públicas habilitadas para correo (PublicFolder)
- Grupos de Microsoft 365 (GroupMailbox)
- Buzones de recursos (RoomMailbox o EquipmentMailbox)
- Buzones compartidos (SharedMailbox)
Si necesita limitar el ámbito de la directiva a los buzones compartidos, puede agregar los buzones compartidos como miembros de un grupo de seguridad habilitado para correo.
Propiedades de parámetro
| Tipo: | RecipientIdParameter |
| Valor predeterminado: | None |
| Admite caracteres comodín: | False |
| DontShow: | False |
Conjuntos de parámetros
(All)
| Posición: | Named |
| Mandatory: | True |
| Valor de la canalización: | True |
| Valor de la canalización por nombre de propiedad: | True |
| Valor de los argumentos restantes: | False |
-WhatIf
Aplicable: Exchange Online, complemento de seguridad integrado para buzones locales
El modificador WhatIf muestra lo que hace el comando sin realizar ningún cambio. No es necesario especificar un valor con este modificador.
Propiedades de parámetro
| Tipo: | SwitchParameter |
| Valor predeterminado: | None |
| Admite caracteres comodín: | False |
| DontShow: | False |
| Alias: | wi |
Conjuntos de parámetros
(All)
| Posición: | Named |
| Mandatory: | False |
| Valor de la canalización: | False |
| Valor de la canalización por nombre de propiedad: | False |
| Valor de los argumentos restantes: | False |
CommonParameters
Este cmdlet admite los parámetros comunes: -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction y -WarningVariable. Para más información, consulte about_CommonParameters.