Set-SPOTenantRestrictedAppAccessControlList

Set-SPOTenantRestrictedAppAccessControlList
    [-AddRestrictedAppIds <Guid[]>]
    [-RemoveRestrictedAppIds <Guid[]>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Usare il Set-SPOTenantRestrictedAppAccessControlList cmdlet per modificare l'elenco degli indirizzi non consentiti a livello di tenant per le restrizioni delle applicazioni.

Restrizioni applicazioni aggiunge un limite di autorizzazione SharePoint per le applicazioni che dispongono già del consenso Microsoft Entra e delle autorizzazioni SharePoint. Non concede mai autorizzazioni e non sostituisce il consenso di Entra. Una richiesta deve superare sia il modello di autorizzazione esistente che le restrizioni dell'applicazione.

Entrambi i parametri vengono applicati in un aggiornamento atomico che mantiene l'opzione di imposizione del tenant. Almeno uno di -AddRestrictedAppIds o -RemoveRestrictedAppIds è obbligatorio e lo stesso ID non può essere presente in entrambi i parametri. Le rimozioni vengono applicate prima delle aggiunte.

L'utente fornisce solo gli ID applicazione. Non è possibile identificare se un ID è un'applicazione normale o un blueprint dell'agente padre: il backend classifica ogni ID aggiunto e lo memorizza nell'elenco interno appropriato. Un ID blueprint dell'agente padre nell'elenco degli indirizzi non consentiti del tenant blocca l'applicazione blueprint stessa e ogni app agente corrente o futura creata da tale blueprint.

Gli ID aggiunti vengono classificati usando Microsoft Graph. Le applicazioni e gli ID Microsoft proprietari e principali che non possono essere classificati vengono rifiutati. Un'aggiunta in blocco è all-or-none: se un ID fornito viene rifiutato, nessun ID viene mantenuto. Le rimozioni non usano Microsoft Graph, quindi gli ID applicazioni obsoleti o eliminati possono sempre essere rimossi.

L'elenco di indirizzi non consentiti del tenant combinato include al massimo 100 ID applicazione.

La configurazione e l'abilitazione sono ortogonali: le modifiche agli elenchi non attivano o disattivano mai l'interruttore del tenant. Usare Enable-SPOTenantRestrictedAppAccessControl e Disable-SPOTenantRestrictedAppAccessControl modificare l'applicazione.

La rimozione dell'ultima voce lascia un commutatore abilitato con un elenco di indirizzi non consentiti vuoto, che non nega nulla. Questo stato è consentito perché è legittimo durante la pulizia, ma il cmdlet avvisa e indica di disattivare Disable-SPOTenantRestrictedAppAccessControlClear-SPOTenantRestrictedAppAccessControlPolicy esplicitamente le restrizioni dell'applicazione.

L'ambito del tenant è solo nega e ha un singolo elenco, quindi non esiste alcun cmdlet mode, nessun -ListType parametro o nessun cmdlet di cancellazione separato.

L'amministrazione delle restrizioni delle applicazioni del tenant è isolata dai cmdlet per utilizzo Get-SPOTenant generico e Set-SPOTenant dai cmdlet. Restrizioni applicazioni non è esposto come Tenant proprietà, quindi Get-SPOTenant non restituisce il criterio e Set-SPOTenant non può cambiarlo.

Per le autorizzazioni e le informazioni più aggiornate su Windows PowerShell per SharePoint Online, vedere la documentazione online alla pagina Introduzione a SharePoint Online Management Shell.

Set-SPOTenantRestrictedAppAccessControlList -AddRestrictedAppIds 11111111-1111-1111-1111-111111111111

In questo esempio viene aggiunto un ID applicazione all'elenco degli indirizzi non consentiti del tenant. Il back-end classifica l'ID e lo archivia come applicazione normale o come blueprint dell'agente padre. Il parametro di imposizione del tenant non viene modificato.

Set-SPOTenantRestrictedAppAccessControlList -AddRestrictedAppIds 11111111-1111-1111-1111-111111111111, 22222222-2222-2222-2222-222222222222 -RemoveRestrictedAppIds 33333333-3333-3333-3333-333333333333

In questo esempio vengono aggiunti due ID applicazione e ne viene rimosso un terzo in un singolo aggiornamento atomico. La rimozione viene applicata prima delle aggiunte. Se l'ID aggiunto è un'applicazione di base o di prima parte o non può essere classificata, l'operazione completa ha esito negativo e non viene mantenuto nulla.

Set-SPOTenantRestrictedAppAccessControlList -RemoveRestrictedAppIds 33333333-3333-3333-3333-333333333333 -Confirm:$false

In questo esempio viene rimosso un ID applicazione senza chiedere conferma, il che è utile nell'automazione. Le rimozioni non chiamano Microsoft Graph, quindi è comunque possibile rimuovere un ID per un'applicazione eliminata o non aggiornata. L'eliminazione della richiesta non ignora la convalida, l'autorizzazione, il controllo o la protezione di prima parte.

Set-SPOTenantRestrictedAppAccessControlList -AddRestrictedAppIds 44444444-4444-4444-4444-444444444444 -WhatIf

Questo esempio mostra cosa accadrebbe se l'ID applicazione venisse aggiunto, senza cambiare i criteri del tenant archiviato.

Questo cmdlet supporta i parametri comuni: -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction e -WarningVariable. Per altre informazioni, vedere about_CommonParameters.

Questo cmdlet non restituisce un oggetto di output. Usare Get-SPOTenantRestrictedAppAccessControl per leggere i criteri tenant risultanti.

• Le aggiunte e le rimozioni vengono applicate come un unico aggiornamento atomico. Le rimozioni vengono applicate prima delle aggiunte.
• Un'aggiunta in blocco è tutto o nessuno. Se un ID fornito è un'applicazione di base o di prima parte o non può essere classificato, nessun ID viene mantenuto.
• L'elenco di indirizzi non consentiti del tenant combinato include al massimo 100 ID applicazione.
• L'amministratore fornisce solo gli ID. Il back-end classifica ogni ID aggiunto e lo archivia come applicazione normale o blueprint dell'agente padre.
• Un ID blueprint agente padre blocca l'applicazione blueprint e ogni app agente corrente o futura creata da essa.
• La configurazione e l'abilitazione sono ortogonali: le modifiche agli elenchi non capovolgono mai l'interruttore del tenant.
• La rimozione dell'ultima voce lascia un commutatore abilitato con un elenco di indirizzi non consentiti vuoto che non nega nulla. Il cmdlet avvisa e punta a Disable-SPOTenantRestrictedAppAccessControl o Clear-SPOTenantRestrictedAppAccessControlPolicy.
• Consente Set-SPOSiteRestrictedAppAccessControlList di modificare gli elenchi per un singolo sito.