Préapprobation des autorisations RSC

L’approbation préalable des autorisations RSC (Resource-Specific Consent) permet aux administrateurs de contrôler de façon granulaire les autorisations RSC qu’une application peut demander lors de l’installation. Les autorisations RSC sont accordées à une application au moment de son installation. Grâce à l’utilisation de stratégies de pré-approbation, les administrateurs peuvent déclarer à l’avance les autorisations maximales qu’une application peut demander à l’utilisateur final et obtenir un consentement au moment de l’installation.

Pour qu’une stratégie de préapprobation d’autorisation RSC prenne effet pour une application, l’administrateur doit s’assurer que l’application est activée (installable) dans son organisation. Si l’application n’est pas installable, l’approbation préalable de l’autorisation pour cette application spécifique n’est plus pertinente. Pour plus d’informations sur l’activation des applications dans Teams Administration Center, voir Gestion des applications dans Teams Administration Center.

Les administrateurs peuvent créer une stratégie de préapprobation détaillée, basée sur l’ID d’application, les autorisations et la sensibilité des données consultées. La préapprobation des autorisations RSC est conçue pour les administrateurs qui cherchent à créer des stratégies personnalisées avancées pour leur organisation.

Par défaut, les stratégies de préapprobation sont gérées par Microsoft et nous recommandons aux organisations de conserver ManagedByMicrosoft l’état. Cet état permet à l’équipe de sécurité de Microsoft de fournir la meilleure sécurité pour votre organisation.

Configurer PowerShell pour gérer la préapprobation des autorisations RSC

La préapprobation des autorisations RSC est gérée par le biais de Microsoft Graph PowerShell. Vous pouvez en savoir plus sur la gestion de Microsoft Teams avec PowerShell ici.

Pour créer, gérer et supprimer des stratégies de préapprobation RSC, vous devez accorder les autorisations suivantes à l’applet de commande PowerShell :

• TeamworkAppSettings.ReadWrite.All
• Policy.ReadWrite.Authorization
• AppCatalog.Read.All
• Policy.ReadWrite.PermissionsGrant
• InformationProtectionPolicy.Read
• Application.ReadWrite.All

Voici un exemple de configuration de PowerShell pour gérer les stratégies de préapprobation des autorisations RSC :

Connect-MgGraph -Scopes @('TeamworkAppSettings.ReadWrite.All', 'Policy.ReadWrite.Authorization', 'AppCatalog.Read.All', 'Policy.ReadWrite.PermissionGrant', 'InformationProtectionPolicy.Read', 'Application.ReadWrite.All')

Autoriser les autorisations RSC pour les applications de votre organisation

Pour les autorisations RSC spécifiques aux équipes et aux conversations, les administrateurs peuvent définir quatre états différents pour leur organisation. À l’exception de DisabledForAllApps l’État, tous les autres États autorisent les autorisations RSC à des degrés différents. Ces états peuvent être définis via des applets de Set-MgBetaChatRscConfiguration commande et Set-MgBetaTeamRscConfiguration des applets de commande.

Par exemple, pour autoriser les autorisations RSC pour toutes les applications débloquées dans votre organization, utilisez les Set-MgBetaTeamRscConfiguration -State EnabledForAllApps cmdlets.

Voici les différents états qui autorisent et interdisent les autorisations RSC dans votre organisation :

Activer les autorisations RSC pour toutes les applications débloquées dans l’organisation

Vous pouvez activer RSC pour toutes les applications non bloquées de votre organisation à l’aide d’applets de commande PowerShell en définissant l’état de votre paramètre d’autorisation RSC sur EnabledForAllApps. Vous pouvez définir l’état des paramètres RSC de conversation et d’équipe dans votre organisation comme suit :

Set-MgBetaTeamRscConfiguration -State EnabledForAllApps
Set-MgBetaChatRscConfiguration -State EnabledForAllApps

Activer RSC pour un ensemble spécifique d’applications uniquement

Vous pouvez créer une stratégie de préapprobation pour des applications spécifiques avec les autorisations et les étiquettes de confidentialité des données que vous souhaitez préapprouver. Les sections suivantes montrent comment créer une stratégie de préapprobation avec et sans étiquette de confidentialité.

Créer une stratégie de préapprobation basée sur l’ID d’application et les autorisations

Les stratégies de préapprobation permettent aux utilisateurs de votre organisation de donner leur consentement aux autorisations RSC pour un ensemble spécifique d’applications. Cela implique que vous pouvez déterminer les applications compatibles RSC auxquelles votre organisation peut accéder, sans limiter les autorisations RSC pour toutes les applications au sein de votre organisation.

Pour créer une stratégie de préapprobation sans étiquette de confidentialité, assurez-vous de disposer des informations suivantes :

• ID de l’application Teams.
• Autorisations RSC associées à l’application.
• Privilège d’administrateur général ou d’équipe dans votre client.

Vous pouvez utiliser des applets de commande PowerShell pour créer une stratégie de préapprobation. Pour créer l’applet de commande, vous devez obtenir les informations mentionnées précédemment avec la New-MgBetaTeamAppPreApproval commande et spécifier l’une des autorisations RSC suivantes que vous souhaitez préapprouver dans l’applet de commande :

Préapprouver une application avec des autorisations RSC d’équipe

New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group') -TeamLevelSensitivityLabelCondition AnySensitivityLabel

Préapprouver une application avec des autorisations RSC de conversation

New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForChats @('OnlineMeeting.ReadBasic.Chat')

Préapprouver une application avec des autorisations RSC d’équipe et de conversation

New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForChats @('OnlineMeeting.ReadBasic.Chat') -ResourceSpecificApplicationPermissionsAllowedForTeams @(‘ChannelMessage.Read.Group’) -TeamLevelSensitivityLabelCondition AnySensitivityLabel

Créer une stratégie de préapprobation basée sur l’ID d’application, les autorisations et les étiquettes de confidentialité

Vous pouvez créer des stratégies de préapprobation pour préapprouver les autorisations RSC par rapport à certaines étiquettes de confidentialité dans votre client. Cela vous permet de contrôler les données auxquelles les applications compatibles RSC peuvent accéder. Ici, vous pouvez découvrir le processus de création d’une stratégie de préapprobation en fonction de la sensibilité des données.

Vous pouvez également créer une stratégie de préapprobation pour des autorisations spécifiques en plus d’étiquettes de confidentialité spécifiques. Vous pouvez autoriser l’approbation de toutes les demandes de consentement de la RSC pour une autorisation particulière. Pour créer une stratégie de préapprobation, assurez-vous de disposer des informations suivantes :

• ID de l’application Teams.
• Autorisations RSC associées à l’application.
• ID de l’étiquette de confidentialité associé à l’étiquette de confidentialité. Cela n’est pas nécessaire si vous souhaitez que la stratégie s’applique à toutes les étiquettes de confidentialité ou si vous préapprouvez uniquement les autorisations RSC de conversation.
• Privilège d’administrateur général ou d’équipe dans votre client.

Vous pouvez utiliser des applets de commande PowerShell pour créer une stratégie de préapprobation. Pour créer l’applet de commande, vous devez obtenir les informations mentionnées précédemment avec la New-MgBetaTeamAppPreApproval commande et spécifier l’une des autorisations RSC suivantes que vous souhaitez préapprouver dans l’applet de commande :

Vous pouvez utiliser les SpecificSensitivityLabel arguments pour définir des étiquettes de confidentialité spécifiques auxquelles appliquer la stratégie de préapprobation RSC.

Voici un exemple d’applets de commande qui utilisent ces arguments :

New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group') -TeamLevelSensitivityLabelCondition SpecificSensitivityLabel -SpecificSensitivityLabelIdsApplicableToTeams @('4de11089-adb9-4be8-9b7a-8336be68f3c4')

Modifiez la configuration RSC pour autoriser uniquement les applications avec des stratégies de préapprobation définies personnalisées

Après avoir créé vos stratégies de préapprobation, modifiez les paramètres RSC de votre organisation pour utiliser la nouvelle stratégie. Ce paramètre est plus restrictif et peut entraîner le non-fonctionnement de certaines applications pour vos utilisateurs finaux. Pour effectuer cette modification, modifiez l’état des paramètres RSC de votre organisation. L’exemple suivant montre les applets de commande PowerShell requises :

Set-MgBetaTeamRscConfiguration -State EnabledForPreApprovedAppsOnly
Set-MgBetaChatRscConfiguration -State EnabledForPreApprovedAppsOnly

Gérer les stratégies de préapprobation existantes

Après avoir créé une stratégie de préapprobation, vous pouvez modifier la stratégie pour changer les autorisations et l’étiquette de confidentialité de la stratégie. Lorsque des applications sont publiées avec des autorisations supplémentaires, vous devez mettre à jour la stratégie de préapprobation pour cette application afin d’ajouter les nouvelles autorisations, en vous assurant que l’application peut être installée dans votre client. Vous avez besoin des mêmes informations pour gérer une stratégie de préapprobation existante et créer une stratégie de préapprobation.

Vous pouvez également supprimer une stratégie de préapprobation existante si vous souhaitez arrêter de préapprouver l’autorisation RSC d’une application existante.

Mettre à jour une stratégie de préapprobation existante

Vous pouvez mettre à jour une stratégie de préapprobation avec l’applet Update-MgBetaTeamAppPreApproval de commande. Lorsque vous spécifiez les autorisations à mettre à jour, vous devez distinguer le type d’autorisations RSC.

Les configurations RSC suivantes sont disponibles pour gérer une stratégie de préapprobation existante :

Mettre à jour la stratégie de préapprobation pour les conversations RSC

Update-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForChats @('OnlineMeeting.ReadBasic.Chat', 'TeamsAppInstallation.Read.Chat')

Mettre à jour la stratégie de préapprobation pour les RSC d’équipe

Update-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group', 'TeamsAppInstallation.Read.Group') -TeamLevelSensitivityLabelCondition AnySensitivityLabel

Si vous souhaitez modifier votre stratégie de préapprobation d’une étiquette de confidentialité définie à toutes les étiquettes de confidentialité, vous devez réinitialiser la valeur de l’argument SpecificSensitivityLabel dans votre stratégie de préapprobation. Pour ce faire, définissez l’argument AnySensitivityLabel sur null comme suit :

Update-MgBetaTeamAppPreapproval  -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group') -TeamLevelSensitivityLabelCondition AnySensitivityLabel -SpecificSensitivityLabelIdsApplicableToTeams $null

Supprimer une stratégie de préapprobation existante

Si vous souhaitez arrêter de préapprouver l’autorisation RSC d’une application existante, vous pouvez supprimer la stratégie de préapprobation pour cette application. Pour supprimer une stratégie de préapprobation, assurez-vous que vous disposez de l’ID d’application.

Vous pouvez supprimer la stratégie de préapprobation associée à une application à l’aide de l’applet de commande PowerShell suivante :

Remove-MgBetaTeamAppPreapproval

Remove-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e

Voir aussi

• Déclarer les exigences d’autorisation RSC pour un agent ou une application
• Tester les autorisations de consentement spécifiques aux ressources dans Teams