Set-SPOSiteRestrictedAppAccessControlList

Set-SPOSiteRestrictedAppAccessControlList
    [-Identity] <String>
    -ListType <String>
    [-AddRestrictedAppIds <Guid[]>]
    [-RemoveRestrictedAppIds <Guid[]>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Usa il Set-SPOSiteRestrictedAppAccessControlList cmdlet per modificare il contenuto di un elenco di siti. Le aggiunte e le rimozioni vengono applicate in un aggiornamento atomico che mantiene l'abilitazione del sito e la modalità attiva.

Restrizioni applicazioni aggiunge un limite di autorizzazione SharePoint per le applicazioni che dispongono già del consenso Microsoft Entra e delle autorizzazioni SharePoint. Non concede mai autorizzazioni e non sostituisce il consenso di Entra. Una richiesta deve superare sia il modello di autorizzazione esistente che le restrizioni dell'applicazione.

Consente -ListType di identificare esplicitamente l'elenco di destinazione. Entrambe le liste vengono sempre memorizzate e possono essere gestite indipendentemente dalla modalità attiva. Solo l'elenco selezionato dalla modalità attiva partecipa all'applicazione runtime, quindi l'aggiunta o la rimozione di voci nell'elenco inattivo non modifica l'applicazione corrente. L'elenco degli inattivi viene mantenuto per le future modifiche della modalità.

La modalità attiva determina il significato della modifica in fase di esecuzione. Quando la modalità è Allow, le applicazioni nell'elenco Consenti superano il controllo Restrizioni applicazioni e tutte le altre applicazioni governate vengono negate dai criteri del sito. Un elenco Consenti attivo vuoto causa il rifiuto da parte dei criteri del sito di tutte le applicazioni di terze parti e agenti regolamentate. Quando la modalità è Deny, le applicazioni nell'elenco degli indirizzi non consentiti vengono negate dai criteri del sito e tutte le altre applicazioni governate superano il controllo delle restrizioni delle applicazioni. Un elenco degli indirizzi non consentiti attivo vuoto indica che i criteri del sito non ne negano nessuna.

Almeno uno di OR -RemoveRestrictedAppIds è obbligatorio, un ID non può apparire in entrambi e le rimozioni vengono applicate prima delle -AddRestrictedAppIds aggiunte.

L'utente fornisce solo gli ID applicazione. Ogni elenco può contenere sia ID applicazione concreta che ID blueprint agente padre e il back-end classifica ogni ID aggiunto e ne archivia il tipo internamente. Un ID blueprint agente padre si applica all'applicazione blueprint stessa e a ogni app agente corrente o futura creata da tale blueprint. In un elenco di indirizzi non consentiti attivo, un ID blueprint fa sì che i criteri del sito neghino l'intera famiglia di app. In un elenco di account consentiti attivi, consente all'intera famiglia di app di superare il controllo delle restrizioni delle applicazioni. Il consenso Microsoft Entra esistente e l'autorizzazione SharePoint continuano ad applicarsi.

L'aggiunta di ID usa la stessa classificazione in blocco di Microsoft Graph e l'esclusione di prime parti dei cmdlet del tenant. Le applicazioni Microsoft di base e di prima parte vengono rifiutate, gli ID che non possono essere classificati vengono rifiutati e un'aggiunta in blocco è tutto o nessuno, quindi non viene mantenuto alcun set parziale di ID.

La rimozione delle voci richiede solo -ListType e -RemoveRestrictedAppIds. La rimozione non chiama Microsoft Graph, quindi gli ID applicazione eliminati o non aggiornati possono comunque essere rimossi. Se un ID specificato non è presente nell'elenco di destinazione, il cmdlet restituisce un errore di convalida.

La configurazione e l'abilitazione sono ortogonali: una modifica all'elenco non attiva mai l'imposizione. L'imposizione del sito viene attivata solo da Enable-SPOSiteRestrictedAppAccessControl, quindi è possibile eseguire elenchi di gestione temporanea e quindi abilitare il sito in modo esplicito. Affinché abbia esito positivo, una modalità deve essere configurata Enable-SPOSiteRestrictedAppAccessControl in modo esplicito.

L'imposizione del sito è gestita anche dal commutatore tenant. Mentre l'opzione tenant è attivata, l'elenco degli indirizzi non consentiti del tenant ha la precedenza e non può essere sostituito da un elenco di siti consentiti.

L'automazione può utilizzare lo standard -Confirm:$false. L'eliminazione della richiesta non ignora la convalida, l'autorizzazione, il controllo o la protezione di prima parte.

L'amministrazione delle restrizioni delle applicazioni del sito è isolata dai cmdlet per utilizzo Get-SPOSite generico e Set-SPOSite dai cmdlet. Get-SPOSite Non carica i dati dei criteri del sito e Set-SPOSite non può essere modificato. Usare i cmdlet dedicati per le restrizioni delle applicazioni elencati nei collegamenti correlati.

Per le autorizzazioni e le informazioni più aggiornate su Windows PowerShell per SharePoint Online, vedere la documentazione online alla pagina Introduzione a SharePoint Online Management Shell.

Set-SPOSiteRestrictedAppAccessControlList -Identity https://contoso.sharepoint.com/sites/Finance -ListType AllowList -AddRestrictedAppIds 11111111-1111-1111-1111-111111111111

In questo esempio viene aggiunto un ID applicazione all'elenco Consenti del sito Finance. L'abilitazione e la modalità attiva del sito vengono mantenute. Se l'ID è un'applicazione di base o di prima parte di Microsoft oppure se non può essere classificato, l'aggiunta viene rifiutata.

Set-SPOSiteRestrictedAppAccessControlList -Identity https://contoso.sharepoint.com/sites/Finance -ListType DenyList -AddRestrictedAppIds 22222222-2222-2222-2222-222222222222,33333333-3333-3333-3333-333333333333 -RemoveRestrictedAppIds 44444444-4444-4444-4444-444444444444

In questo esempio vengono aggiunti due ID applicazione e ne viene rimosso un terzo in un aggiornamento atomico. La rimozione viene applicata prima delle aggiunte. L'abilitazione del sito e la modalità attiva rimangono invariate.

Questo cmdlet supporta i parametri comuni: -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction e -WarningVariable. Per altre informazioni, vedere about_CommonParameters.

• Le aggiunte e le rimozioni vengono applicate in un aggiornamento atomico che mantiene l'abilitazione del sito e la modalità attiva.
• Almeno uno di OR -RemoveRestrictedAppIds è obbligatorio, un ID non può apparire in entrambi e le rimozioni vengono applicate prima delle -AddRestrictedAppIds aggiunte.
• Ogni elenco ha un massimo di 100 voci e le due liste combinate hanno un massimo di 200 voci. Sia i normali ID applicazione che gli ID blueprint dell'agente padre consumano la stessa quota.
• L'aggiunta o la rimozione di voci nell'elenco non applicate dalla modalità attiva non modifica l'applicazione corrente.
• La configurazione e l'abilitazione sono ortogonali. L'imposizione del sito viene attivata solo da Enable-SPOSiteRestrictedAppAccessControl, e una modalità deve essere configurata in modo esplicito prima che il cmdlet abbia esito positivo.
• Il tenant cambia gate per tutte le imposizioni del sito. Mentre l'opzione tenant è attivata, l'elenco degli indirizzi non consentiti del tenant non può essere sostituito da un elenco di siti consentiti.
• Usare Get-SPOSiteRestrictedAppAccessControl per confermare gli elenchi risultanti e Clear-SPOSiteRestrictedAppAccessControlList per cancellare un elenco completo.