Set-SPOSiteRestrictedAppAccessControlList

Set-SPOSiteRestrictedAppAccessControlList
    [-Identity] <String>
    -ListType <String>
    [-AddRestrictedAppIds <Guid[]>]
    [-RemoveRestrictedAppIds <Guid[]>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Use el Set-SPOSiteRestrictedAppAccessControlList cmdlet para cambiar el contenido de una lista de sitios. Las adiciones y eliminaciones se aplican en una actualización atómica que conserva la habilitación del sitio y el modo activo.

Restricciones de aplicación agrega un límite de autorización de SharePoint para las aplicaciones que ya tienen consentimiento de Microsoft Entra y permisos de SharePoint. Nunca concede permisos y no reemplaza el consentimiento de Entra. Una solicitud debe pasar tanto el modelo de permisos existente como las restricciones de la aplicación.

Se usa -ListType para identificar la lista de objetivos explícitamente. Ambas listas siempre se almacenan y se pueden administrar independientemente del modo que esté activo. Solo la lista seleccionada por el modo activo participa en la aplicación del tiempo de ejecución, por lo que agregar o quitar entradas en la lista inactiva no cambia la aplicación actual. La lista de inactivos se conserva para futuros cambios de modo.

El modo activo determina el significado del cambio en tiempo de ejecución. Cuando el modo es Allow, las aplicaciones de la lista de permitidos pasan la comprobación de restricciones de aplicaciones y todas las demás aplicaciones gobernadas son denegadas por la directiva de sitio; una lista de permitidos activa vacía hace que la directiva de sitio deniegue todas las aplicaciones de terceros y agenciales controladas. Cuando el modo es Deny, la directiva de sitio deniega las aplicaciones de la lista de denegación y todas las demás aplicaciones gobernadas pasan la comprobación de restricciones de aplicación; una lista de denegación activa vacía significa que la directiva de sitio no deniega ninguna de ellas.

Se requiere al menos uno de -AddRestrictedAppIds los o -RemoveRestrictedAppIds , no puede aparecer un identificador en ambos y las eliminaciones se aplican antes de las adiciones.

Solo debe proporcionar los identificadores de aplicación. Cada lista puede contener identificadores de aplicación concretos e identificadores de planos técnicos del agente principal, y el backend clasifica cada identificador agregado y almacena su tipo internamente. Un ID de blueprint de agente principal se aplica a la propia aplicación blueprint y a todas las aplicaciones de agente actuales o futuras creadas a partir de ese blueprint. En una lista de denegación activa, un id. de plano técnico hace que la directiva de sitio deniegue esa familia completa de aplicaciones. En una lista de permitidos activa, permite que esa familia de aplicaciones completa pase la comprobación de restricciones de aplicaciones. El consentimiento existente de Microsoft Entra y la autorización de SharePoint siguen siendo aplicables.

Al agregar identificadores, se usa la misma clasificación masiva de Microsoft Graph y exclusión propia que los cmdlets de inquilino. Se rechazan las aplicaciones principales y propias de Microsoft, se rechazan los identificadores que no se pueden clasificar y una adición masiva es todo o ninguno, por lo que no se conserva ningún conjunto parcial de identificadores.

La eliminación de entradas solo -ListType requiere y .-RemoveRestrictedAppIds La eliminación no llama a Microsoft Graph, por lo que los identificadores de aplicación eliminados u obsoletos aún se pueden quitar. Si un identificador proporcionado no está presente en la lista de destino, el cmdlet devuelve un error de validación.

La configuración y la habilitación son ortogonales: un cambio en la lista nunca activa la aplicación. Solo se activa la aplicación de sitio mediante Enable-SPOSiteRestrictedAppAccessControl, por lo que puede preparar listas y, a continuación, habilitar el sitio explícitamente. Un modo debe configurarse explícitamente antes Enable-SPOSiteRestrictedAppAccessControl de que se realice correctamente.

El conmutador de inquilino también controla la aplicación del sitio. Mientras el cambio de inquilino está activado, la lista de denegación de inquilinos tiene prioridad y no puede ser invalidada por una lista de permitidos del sitio.

La automatización puede usar el estándar -Confirm:$false. Suprimir el mensaje no omite la validación, la autorización, la auditoría o la protección propia.

La administración de restricciones de aplicación de sitio está aislada de los cmdlets y Set-SPOSite de uso Get-SPOSite general. Get-SPOSite No carga los datos de la directiva del sitio y Set-SPOSite no se pueden cambiar. Use los cmdlets de restricciones de aplicación dedicados que se enumeran en Vínculos relacionados.

Para obtener permisos y la información más actual sobre Windows PowerShell para SharePoint Online, consulte la documentación en línea en Introducción a Shell de administración de SharePoint Online.

Set-SPOSiteRestrictedAppAccessControlList -Identity https://contoso.sharepoint.com/sites/Finance -ListType AllowList -AddRestrictedAppIds 11111111-1111-1111-1111-111111111111

En este ejemplo se agrega un identificador de aplicación a la lista de permitidos del sitio de Finanzas. Se conservan la habilitación y el modo activo del sitio. Si el identificador es una aplicación principal o una aplicación principal de Microsoft, o si no se puede clasificar, se rechaza la adición.

Set-SPOSiteRestrictedAppAccessControlList -Identity https://contoso.sharepoint.com/sites/Finance -ListType DenyList -AddRestrictedAppIds 22222222-2222-2222-2222-222222222222,33333333-3333-3333-3333-333333333333 -RemoveRestrictedAppIds 44444444-4444-4444-4444-444444444444

En este ejemplo se agregan dos identificadores de aplicación y se quita un tercero en una actualización atómica. La eliminación se aplica antes de las adiciones. La habilitación del sitio y el modo activo no se modifican.

Este cmdlet admite los parámetros comunes: -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction y -WarningVariable. Para más información, consulte about_CommonParameters.

• Las adiciones y eliminaciones se aplican en una actualización atómica que conserva la habilitación del sitio y el modo activo.
• Se requiere al menos uno de -AddRestrictedAppIds los o -RemoveRestrictedAppIds , no puede aparecer un identificador en ambos y las eliminaciones se aplican antes de las adiciones.
• Cada lista tiene un máximo máximo de 100 entradas, y las dos listas combinadas tienen un máximo máximo de 200 entradas. Tanto los ID de aplicación normales como los ID de blueprint del agente principal consumen la misma cuota.
• Agregar o quitar entradas de la lista que el modo activo no aplica no cambia la aplicación actual.
• La configuración y la habilitación son ortogonales. Solo se activa la obligatoriedad del sitio mediante Enable-SPOSiteRestrictedAppAccessControl, y se debe configurar explícitamente un modo para que el cmdlet se realice correctamente.
• El conmutador de inquilino controla toda la aplicación del sitio. Mientras el cambio de inquilino esté activado, la lista de denegación de inquilinos no se puede invalidar mediante una lista de permitidos del sitio.
• Se usa Get-SPOSiteRestrictedAppAccessControl para confirmar las listas resultantes y Clear-SPOSiteRestrictedAppAccessControlList para borrar una lista completa.