Set-SPOTenantRestrictedAppAccessControlList

Set-SPOTenantRestrictedAppAccessControlList
    [-AddRestrictedAppIds <Guid[]>]
    [-RemoveRestrictedAppIds <Guid[]>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Utilisez l’applet Set-SPOTenantRestrictedAppAccessControlList de commande pour modifier la liste de refus à l’échelle du client pour les restrictions d’application.

Les restrictions d’application ajoutent une limite d’autorisation SharePoint pour les applications qui ont déjà le consentement de Microsoft Entra et des autorisations SharePoint. Il n’accorde jamais d’autorisations et ne remplace pas le consentement d’Entra. Une demande doit passer à la fois le modèle d’autorisation existant et les restrictions d’application.

Les deux paramètres sont appliqués dans une mise à jour atomique qui conserve le commutateur de mise en conformité du locataire. Au moins un de -AddRestrictedAppIds ou -RemoveRestrictedAppIds est requis, et le même ID ne peut pas apparaître dans les deux paramètres. Les suppressions sont appliquées avant les ajouts.

Vous fournissez uniquement les ID d’application. Vous n’identifiez pas si un ID est une application standard ou un blueprint d’agent parent : le backend classe chaque ID ajouté et le stocke dans la liste interne appropriée. Un ID de blueprint d’agent parent sur la liste d’exclusion des locataires bloque l’application de blueprint elle-même et chaque application d’agent actuelle ou future créée à partir de ce blueprint.

Les ID ajoutés sont classés à l’aide de Microsoft Graph. Les applications internes et principales Microsoft et les ID qui ne peuvent pas être classés sont rejetés. Un ajout en bloc est tout ou rien : si l’un des ID fournis est rejeté, aucun ID n’est conservé. Les suppressions n’utilisent pas Microsoft Graph, de sorte que les ID d’application périmés ou supprimés peuvent toujours être supprimés.

La liste de refus de client combinée a un maximum strict de 100 ID d’application.

La configuration et l’activation sont orthogonales : les modifications de liste n’activent ou ne désactivent jamais l’interrupteur de client. Utilisez Enable-SPOTenantRestrictedAppAccessControl et Disable-SPOTenantRestrictedAppAccessControl pour modifier la mise en œuvre.

La suppression de la dernière entrée laisse un commutateur activé avec une liste d’exclusion vide, qui ne refuse rien. Cet état est autorisé parce qu’il est légitime pendant le nettoyage, mais l’applet de commande vous avertit et vous indique explicitement comment désactiver les Clear-SPOTenantRestrictedAppAccessControlPolicy restrictions d’applicationDisable-SPOTenantRestrictedAppAccessControl.

L’étendue du client est refusée uniquement et comporte une liste unique. Il n’y a donc pas d’applet de commande de mode, pas -ListType de paramètre et pas d’applet de commande de liste en clair distincte.

L’administration des restrictions d’application client est isolée de l’usage Get-SPOTenant général et Set-SPOTenant des applets de commande. Les restrictions d’application ne sont pas exposées en tant que Tenant propriété, elles ne renvoient donc Get-SPOTenant pas la stratégie et Set-SPOTenant ne peuvent pas la modifier.

Pour les autorisations et informations les plus récentes sur Windows PowerShell pour SharePoint Online, consultez la documentation en ligne sur Présentation de SharePoint Online Management Shell.

Set-SPOTenantRestrictedAppAccessControlList -AddRestrictedAppIds 11111111-1111-1111-1111-111111111111

Cet exemple ajoute un ID d’application à la liste d’exclusion du client. Le serveur principal classe l’ID et le stocke sous forme d’application standard ou de blueprint d’agent parent. Le commutateur d’application du client n’est pas modifié.

Set-SPOTenantRestrictedAppAccessControlList -AddRestrictedAppIds 11111111-1111-1111-1111-111111111111, 22222222-2222-2222-2222-222222222222 -RemoveRestrictedAppIds 33333333-3333-3333-3333-333333333333

Cet exemple ajoute deux ID d’application et en supprime un troisième dans une seule mise à jour atomique. La suppression est appliquée avant les ajouts. Si l’ID ajouté est une application interne ou principale ou ne peut pas être classé, l’opération complète échoue et rien n’est conservé.

Set-SPOTenantRestrictedAppAccessControlList -RemoveRestrictedAppIds 33333333-3333-3333-3333-333333333333 -Confirm:$false

Cet exemple supprime un ID d’application sans demander de confirmation, ce qui est utile dans Automation. Les suppressions n’appellent pas Microsoft Graph, de sorte que l’ID d’une application supprimée ou obsolète peut toujours être supprimé. La suppression de l’invite n’empêche pas la validation, l’autorisation, l’audit ou la protection interne.

Set-SPOTenantRestrictedAppAccessControlList -AddRestrictedAppIds 44444444-4444-4444-4444-444444444444 -WhatIf

Cet exemple montre ce qui se passerait si l’ID d’application était ajouté, sans modifier la stratégie de locataire stockée.

Cette applet de commande prend en charge les paramètres communs : -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction et -WarningVariable. Pour plus d’informations, consultez about_CommonParameters.

Cette applet de commande ne retourne pas d’objet de sortie. Utilisez Get-SPOTenantRestrictedAppAccessControl cette fonction pour lire la stratégie de locataire résultante.

• Les ajouts et les suppressions sont appliqués comme une seule mise à jour atomique. Les suppressions sont appliquées avant les ajouts.
• Un ajout en bloc est tout ou rien. Si un ID fourni est une application interne ou principale ou ne peut pas être classifié, aucun ID n’est conservé.
• La liste de refus de client combinée a un maximum strict de 100 ID d’application.
• L’administrateur ne fournit que les identifiants. Le serveur principal classe chaque ID ajouté et le stocke sous forme d’application standard ou de blueprint d’agent parent.
• Un ID de blueprint d’agent parent bloque l’application de blueprint et toutes les applications d’agent actuelles ou futures créées à partir de celle-ci.
• La configuration et l’activation sont orthogonales : les modifications de liste n’inversent jamais le commutateur client.
• La suppression de la dernière entrée laisse un commutateur activé avec une liste d’exclusion vide qui ne refuse rien. L’applet de commande avertit et pointe vers Disable-SPOTenantRestrictedAppAccessControl ou Clear-SPOTenantRestrictedAppAccessControlPolicy.
• Permet Set-SPOSiteRestrictedAppAccessControlList de modifier les listes d’un site particulier.