Get-SPOSiteRestrictedAppAccessControl

Get-SPOSiteRestrictedAppAccessControl
    [-Identity] <String>
    [<CommonParameters>]

Use el Get-SPOSiteRestrictedAppAccessControl cmdlet para leer la directiva completa de restricciones de aplicación almacenada para un único sitio.

Restricciones de aplicación agrega un límite de autorización de SharePoint para las aplicaciones que ya tienen consentimiento de Microsoft Entra y permisos de SharePoint. Nunca concede permisos y no reemplaza el consentimiento de Entra. Una solicitud debe pasar tanto el modelo de permisos existente como las restricciones de la aplicación.

Una directiva de sitio tiene cuatro partes:

• Habilitado : si está activada la aplicación de sitios. La aplicación del sitio solo está activada por Enable-SPOSiteRestrictedAppAccessControl. Los cambios de modo y lista son solo de configuración y conservan el estado de habilitación actual.
• Modo : el modo activo. Cuando el modo es Allow, las aplicaciones de la lista de permitidos pasan la comprobación de restricciones de aplicaciones y todas las demás aplicaciones gobernadas son denegadas por la directiva de sitio. Cuando el modo es Deny, la directiva de sitio deniega las aplicaciones de la lista de denegación y todas las demás aplicaciones gobernadas pasan la comprobación de restricciones de aplicación. Se debe configurar explícitamente un modo para poder habilitar la directiva de sitio.
• AllowList : la lista persistente que se usa cuando el modo es Allow.
• DenyList : la lista persistente que se usa cuando el modo es Deny.

Ambas listas siempre se almacenan y se pueden administrar independientemente del modo que esté activo. Solo la lista seleccionada por el modo activo participa en la aplicación del tiempo de ejecución. La lista de inactivos se conserva para futuros cambios de modo y no tiene ningún efecto en tiempo de ejecución. Una lista de permitidos activa vacía hace que la directiva de sitio deniegue todas las aplicaciones gubernamentales y de terceros controladas. Una lista de denegación activa vacía significa que la directiva de sitio no niega ninguna de ellas. El consentimiento existente de Microsoft Entra y la autorización de SharePoint siguen siendo aplicables.

AllowList y DenyList se devuelven como matrices GUID. Cada lista puede contener identificadores de aplicación concretos e identificadores de planos técnicos del agente principal, y un identificador de plano técnico se aplica a la propia aplicación de plano técnico y a todas las aplicaciones de agente actuales o futuras creadas a partir de ese modelo. El cmdlet no requiere que distinga entre los dos: cada propiedad combina sus entradas de aplicación y plano técnico escritas internamente en una lista estable y sin duplicados de GUID.

Este cmdlet realiza una lectura no almacenada en caché y siempre devuelve la directiva almacenada autoritativa en lugar de una copia almacenada en caché.

El conmutador de inquilino controla la aplicación del sitio. Mientras el conmutador de inquilino está desactivado, no se aplica ninguna directiva de sitio, incluso cuando una directiva de sitio se notifica Enabled como True. Mientras el cambio de inquilino está activado, la lista de denegación de inquilinos tiene prioridad y no puede ser invalidada por una lista de permitidos del sitio. Se usa Get-SPOTenantRestrictedAppAccessControl para leer el conmutador de inquilino y la lista de denegación de inquilinos.

La administración de restricciones de aplicación de sitio está aislada de los cmdlets y Set-SPOSite de uso Get-SPOSite general. Las restricciones de aplicación están totalmente desacopladas de las propiedades del sitio, por lo que Get-SPOSite no cargan los datos de directivas del sitio y Set-SPOSite no pueden cambiarlos. Use los cmdlets de restricciones de aplicación dedicados que se enumeran en Vínculos relacionados.

Las aplicaciones principales y propias de Microsoft se excluyen de la configuración y el cumplimiento de las restricciones de aplicaciones y nunca aparecen en una lista de sitios.

Para obtener permisos y la información más actual sobre Windows PowerShell para SharePoint Online, consulte la documentación en línea en Introducción a Shell de administración de SharePoint Online.

Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance

En este ejemplo se devuelve la directiva completa de restricciones de aplicación para el sitio de finanzas identificado por su dirección URL. El objeto devuelto incluye SiteUrl.

Get-SPOSiteRestrictedAppAccessControl -Identity 8a1e30f6-2f52-4b9e-9d1b-2e9f6c1d40aa

En este ejemplo se devuelve la misma directiva para un sitio identificado por su identificador. El objeto devuelto incluye SiteUrl, por lo que el resultado sigue siendo identificable incluso cuando la entrada es un identificador de sitio.

$policy = Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance
if ($policy.Mode -eq "Allow") {
    $policy.AllowList
} else {
    $policy.DenyList
}

En este ejemplo se devuelve solo la lista que aplica el modo activo. La otra lista se sigue almacenando y conservando, pero no tiene ningún efecto en tiempo de ejecución hasta que cambie el modo.

$tenantPolicy = Get-SPOTenantRestrictedAppAccessControl
$policy = Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance
if ($tenantPolicy.Enabled -and $policy.Enabled -and $policy.Mode -eq "Allow" -and $policy.AllowList.Count -eq 0) {
    Write-Host "Enforcement is on with an empty active allow list, which blocks all governed third-party and agentic apps."
}

En este ejemplo se identifica el estado en el que el conmutador de inquilino y la directiva de sitio están habilitados, el modo activo es y la lista de permitidos Allowactivos está vacía. En ese estado, la directiva de sitio bloquea todas las aplicaciones controladas por agentes y de terceros.

Este cmdlet admite los parámetros comunes: -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction y -WarningVariable. Para más información, consulte about_CommonParameters.

Devuelve un SPORestrictedAppAccessControlSitePolicy objeto con las siguientes propiedades.

• Este cmdlet devuelve el estado de directiva autoritativo no almacenado en caché.
• Cuando los datos de directiva almacenados tienen un formato incorrecto, el cmdlet emite una advertencia y el objeto devuelto incluye IsPolicyDataMalformed = true. La salida en buen estado omite esa propiedad.
• Ambas listas siempre se almacenan. Solo se aplica la lista seleccionada por el modo activo; La lista inactiva se conserva y no tiene ningún efecto en tiempo de ejecución.
• Cada lista tiene un máximo máximo de 100 entradas, y las dos listas combinadas tienen un máximo máximo de 200 entradas.
• Una entrada de ID de blueprint de agente principal se aplica a la propia aplicación blueprint y a todas las aplicaciones de agente actuales o futuras creadas a partir de ese blueprint.
• El conmutador de inquilino controla toda la aplicación del sitio. Mientras el cambio de inquilino esté activado, la lista de denegación de inquilinos no se puede invalidar mediante una lista de permitidos del sitio.
• La configuración y la habilitación son ortogonales: los cambios en el modo y la lista nunca activan la aplicación. Un modo debe configurarse explícitamente antes Enable-SPOSiteRestrictedAppAccessControl de que se realice correctamente.
• Se usa Get-SPOTenantRestrictedAppAccessControl para leer la directiva de nivel de inquilino.