Set-SPOTenantRestrictedAppAccessControlList

Set-SPOTenantRestrictedAppAccessControlList
    [-AddRestrictedAppIds <Guid[]>]
    [-RemoveRestrictedAppIds <Guid[]>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Use el Set-SPOTenantRestrictedAppAccessControlList cmdlet para cambiar la lista de denegación de todo el inquilino para las restricciones de aplicación.

Restricciones de aplicación agrega un límite de autorización de SharePoint para las aplicaciones que ya tienen consentimiento de Microsoft Entra y permisos de SharePoint. Nunca concede permisos y no reemplaza el consentimiento de Entra. Una solicitud debe pasar tanto el modelo de permisos existente como las restricciones de la aplicación.

Ambos parámetros se aplican en una actualización atómica que conserva el cambio de cumplimiento de inquilinos. Se requiere al menos uno de los siguientes -AddRestrictedAppIds o -RemoveRestrictedAppIds y el mismo identificador no puede aparecer en ambos parámetros. Las eliminaciones se aplican antes de las adiciones.

Solo debe proporcionar los identificadores de aplicación. No se identifica si un ID es una aplicación normal o un blueprint de agente principal: el backend clasifica cada ID añadido y lo almacena en la lista interna adecuada. Un id. de blueprint de agente principal en la lista de denegación de inquilinos bloquea la propia aplicación de blueprint y todas las aplicaciones de agente actuales o futuras creadas a partir de ese blueprint.

Los identificadores agregados se clasifican mediante Microsoft Graph. Se rechazan las aplicaciones propias y principales de Microsoft y los identificadores que no se pueden clasificar. Una adición masiva es todo o ninguno: si se rechaza cualquier identificador proporcionado, no se conserva ningún identificador. Las eliminaciones no usan Microsoft Graph, por lo que siempre se pueden quitar los identificadores de aplicaciones obsoletos o eliminados.

La lista combinada de denegación de inquilinos tiene un máximo máximo de 100 identificadores de aplicación.

La configuración y la habilitación son ortogonales: los cambios en la lista nunca activan o desactivan el conmutador del inquilino. Use Enable-SPOTenantRestrictedAppAccessControl y Disable-SPOTenantRestrictedAppAccessControl para cambiar la aplicación.

Quitar la última entrada deja un conmutador habilitado con una lista de denegación vacía, que no niega nada. Ese estado se permite porque es legítimo durante la limpieza, pero el cmdlet le advierte y le señala a Disable-SPOTenantRestrictedAppAccessControl o Clear-SPOTenantRestrictedAppAccessControlPolicy para desactivar explícitamente las restricciones de aplicación.

El ámbito del inquilino es de solo denegación y tiene una sola lista, por lo que no hay ningún cmdlet de modo, ningún -ListType parámetro ni un cmdlet de lista de cifrado independiente.

Administración de restricciones de aplicaciones de inquilinos está aislada de los cmdlets y Set-SPOTenant de uso Get-SPOTenant general. Restricciones de aplicación no se expone como una Tenant propiedad, por lo que Get-SPOTenant no devuelve la directiva y Set-SPOTenant no puede cambiarla.

Para obtener permisos y la información más actual sobre Windows PowerShell para SharePoint Online, consulte la documentación en línea en Introducción a Shell de administración de SharePoint Online.

Set-SPOTenantRestrictedAppAccessControlList -AddRestrictedAppIds 11111111-1111-1111-1111-111111111111

En este ejemplo se agrega un identificador de aplicación a la lista de denegación de inquilinos. El back-end clasifica la identificación y la almacena como una aplicación normal o un plano técnico del agente principal. El conmutador de cumplimiento de inquilinos no cambia.

Set-SPOTenantRestrictedAppAccessControlList -AddRestrictedAppIds 11111111-1111-1111-1111-111111111111, 22222222-2222-2222-2222-222222222222 -RemoveRestrictedAppIds 33333333-3333-3333-3333-333333333333

En este ejemplo se agregan dos identificadores de aplicación y se quita un tercero en una única actualización atómica. La eliminación se aplica antes de las adiciones. Si el identificador agregado es una aplicación principal o principal, o no se puede clasificar, se produce un error en la operación completa y no se conserva nada.

Set-SPOTenantRestrictedAppAccessControlList -RemoveRestrictedAppIds 33333333-3333-3333-3333-333333333333 -Confirm:$false

En este ejemplo se elimina un identificador de aplicación sin pedir confirmación, lo que resulta útil en la automatización. Las eliminaciones no llaman a Microsoft Graph, por lo que se puede seguir quitando un identificador de una aplicación eliminada u obsoleta. Suprimir el mensaje no omite la validación, la autorización, la auditoría o la protección propia.

Set-SPOTenantRestrictedAppAccessControlList -AddRestrictedAppIds 44444444-4444-4444-4444-444444444444 -WhatIf

En este ejemplo se muestra lo que sucedería si se agregara el id. de aplicación sin cambiar la directiva de inquilino almacenado.

Este cmdlet admite los parámetros comunes: -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction y -WarningVariable. Para más información, consulte about_CommonParameters.

Este cmdlet no devuelve un objeto de salida. Se usa Get-SPOTenantRestrictedAppAccessControl para leer la directiva de inquilino resultante.

• Las adiciones y eliminaciones se aplican como una actualización atómica. Las eliminaciones se aplican antes de las adiciones.
• Una adición masiva es de todo o ninguno. Si algún identificador proporcionado es una aplicación principal o principal, o no se puede clasificar, no se conserva ningún identificador.
• La lista combinada de denegación de inquilinos tiene un máximo máximo de 100 identificadores de aplicación.
• El administrador solo proporciona identificadores. El backend clasifica cada ID agregado y lo almacena como una aplicación normal o un plano técnico del agente principal.
• Un ID de blueprint de agente principal bloquea la aplicación de blueprint y todas las aplicaciones de agente actuales o futuras creadas a partir de ella.
• La configuración y la habilitación son ortogonales: los cambios en la lista nunca voltean el conmutador de inquilino.
• Quitar la última entrada deja un conmutador habilitado con una lista de denegación vacía que no niega nada. El cmdlet advierte y apunta a Disable-SPOTenantRestrictedAppAccessControl o Clear-SPOTenantRestrictedAppAccessControlPolicy.
• Se usa Set-SPOSiteRestrictedAppAccessControlList para cambiar las listas de un sitio individual.