Set-SPOSiteRestrictedAppAccessControlList

Set-SPOSiteRestrictedAppAccessControlList
    [-Identity] <String>
    -ListType <String>
    [-AddRestrictedAppIds <Guid[]>]
    [-RemoveRestrictedAppIds <Guid[]>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Utilisez l’applet Set-SPOSiteRestrictedAppAccessControlList de commande pour modifier le contenu d’une liste de sites. Les ajouts et les suppressions sont appliqués dans une mise à jour atomique qui préserve l’activation du site et le mode actif.

Les restrictions d’application ajoutent une limite d’autorisation SharePoint pour les applications qui ont déjà le consentement de Microsoft Entra et des autorisations SharePoint. Il n’accorde jamais d’autorisations et ne remplace pas le consentement d’Entra. Une demande doit passer à la fois le modèle d’autorisation existant et les restrictions d’application.

Permet -ListType d’identifier explicitement la liste cible. Les deux listes sont toujours stockées et peuvent être gérées quel que soit le mode actif. Seule la liste sélectionnée par le mode actif participe à la mise en œuvre au moment de l’exécution, de sorte que l’ajout ou la suppression d’entrées dans la liste inactive ne modifie pas la mise en œuvre actuelle. La liste des inactifs est conservée pour de futures modifications de mode.

Le mode actif détermine la signification de la modification au moment de l’exécution. Lorsque le mode est Allow, les applications de la liste verte passent le case activée Restrictions d’application et toutes les autres applications gouvernées sont refusées par la stratégie de site ; une liste verte active vide entraîne le refus de la stratégie de site toutes les applications tierces et agentiques gouvernées. Lorsque le mode est Deny, les applications de la liste d’exclusion sont refusées par la stratégie de site et toutes les autres applications gouvernées réussissent la case activée Restrictions d’application ; une liste d’exclusion active vide signifie que la stratégie de site n’en refuse aucune.

Au moins un de -AddRestrictedAppIds ou -RemoveRestrictedAppIds est requis, un ID ne peut pas apparaître dans les deux et les suppressions sont appliquées avant les ajouts.

Vous fournissez uniquement les ID d’application. Chaque liste peut contenir à la fois des ID d’application concrets et des ID de blueprint d’agent parent, et le serveur principal classe chaque ID ajouté et stocke son type en interne. Un ID de blueprint d’agent parent s’applique à l’application de blueprint elle-même et à chaque application d’agent actuelle ou future créée à partir de ce blueprint. Dans une liste d’exclusion active, un ID de blueprint entraîne le refus de cette famille d’applications complète par la stratégie de site. Dans une liste verte active, cette famille d’applications complète réussit la case activée des restrictions d’application. Le consentement Microsoft Microsoft Entra et l’autorisation SharePoint existants s’appliquent toujours.

L’ajout d’ID utilise la même classification Microsoft Graph en bloc et l’exclusion interne que les applets de commande client. Les applications internes et principales de Microsoft sont rejetées, les ID qui ne peuvent pas être classés sont rejetés et un ajout en bloc est tout ou rien, de sorte qu’aucun ensemble partiel d’ID n’est conservé.

La suppression d’entrées ne nécessite que -ListType et -RemoveRestrictedAppIds. La suppression n’appelle pas Microsoft Graph, de sorte que les ID d’application supprimés ou périmés peuvent toujours être supprimés. Si un ID fourni n’est pas présent dans la liste cible, l’applet de commande renvoie une erreur de validation.

La configuration et l’activation sont orthogonales : une modification de liste n’active jamais l’application. L’application du site n’est activée que par Enable-SPOSiteRestrictedAppAccessControl, de sorte que vous pouvez indexer les listes, puis activer le site explicitement. Un mode doit être explicitement configuré pour réussir Enable-SPOSiteRestrictedAppAccessControl .

L’application du site est également contrôlée par le commutateur de locataire. Lorsque le commutateur de locataire est activé, la liste d’exclusion du client prévaut et ne peut pas être remplacée par une liste verte de site.

L’automatisation peut utiliser la norme -Confirm:$false. La suppression de l’invite n’empêche pas la validation, l’autorisation, l’audit ou la protection interne.

L’administration des restrictions d’application de site est isolée de l’usage Get-SPOSite général et Set-SPOSite des applets de commande. Get-SPOSite Ne charge pas les données de stratégie de site et Set-SPOSite ne peut pas les modifier. Utilisez les applets de commande dédiées aux restrictions d’application répertoriées dans les liens associés.

Pour les autorisations et informations les plus récentes sur Windows PowerShell pour SharePoint Online, consultez la documentation en ligne sur Présentation de SharePoint Online Management Shell.

Set-SPOSiteRestrictedAppAccessControlList -Identity https://contoso.sharepoint.com/sites/Finance -ListType AllowList -AddRestrictedAppIds 11111111-1111-1111-1111-111111111111

Cet exemple ajoute un ID d’application à la liste verte du site Finance. L’activation et le mode actif du site sont conservés. Si l’ID est une application interne ou principale de Microsoft, ou s’il ne peut pas être classifié, l’ajout est rejeté.

Set-SPOSiteRestrictedAppAccessControlList -Identity https://contoso.sharepoint.com/sites/Finance -ListType DenyList -AddRestrictedAppIds 22222222-2222-2222-2222-222222222222,33333333-3333-3333-3333-333333333333 -RemoveRestrictedAppIds 44444444-4444-4444-4444-444444444444

Cet exemple ajoute deux ID d’application et en supprime un troisième en une seule mise à jour atomique. La suppression est appliquée avant les ajouts. L’activation de site et le mode actif restent inchangés.

Cette applet de commande prend en charge les paramètres communs : -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction et -WarningVariable. Pour plus d’informations, consultez about_CommonParameters.

• Les ajouts et les suppressions sont appliqués dans une mise à jour atomique qui préserve l’activation du site et le mode actif.
• Au moins un de -AddRestrictedAppIds ou -RemoveRestrictedAppIds est requis, un ID ne peut pas apparaître dans les deux et les suppressions sont appliquées avant les ajouts.
• Chaque liste a un maximum absolu de 100 entrées, et les deux listes combinées ont un maximum strict de 200 entrées. Les ID d’application standard et les ID de blueprint d’agent parent consomment le même quota.
• L’ajout ou la suppression d’entrées dans la liste que le mode actif n’applique pas ne modifie pas l’application actuelle.
• La configuration et l’activation sont orthogonales. L’application du site n’est activée que par Enable-SPOSiteRestrictedAppAccessControl, et un mode doit être explicitement configuré avant que cette applet de commande réussisse.
• Le client bascule vers toutes les applications du site. Lorsque le commutateur de locataire est activé, la liste de refus du client ne peut pas être remplacée par une liste verte de site.
• Permet Get-SPOSiteRestrictedAppAccessControl de confirmer les listes résultantes et Clear-SPOSiteRestrictedAppAccessControlList d’effacer une liste entière.