Clear-SPOSiteRestrictedAppAccessControlList

Clear-SPOSiteRestrictedAppAccessControlList
    -Identity <String>
    -ListType <String>
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Clear-SPOSiteRestrictedAppAccessControlList コマンドレットを使用して、単一サイトの許可リストまたは拒否リストをクリアします。 1 つのリストをクリアすると、もう 1 つのリスト、アクティブ モード、サイトの有効化が保持されます。 完全なポリシーを削除するには、 Clear-SPOSiteRestrictedAppAccessControlPolicy を使用します。

サイトには両方のリストが格納されますが、アクティブ モードで選択されたリストのみが強制に参加します。

• 許可モードでは 、許可リストが適用されます。 リストされたアプリケーションはアプリケーション制限チェックに合格し、他のすべての管理対象アプリケーションはサイト ポリシーによって拒否されます。
• 拒否 モードでは、拒否リストが適用されます。 リストされたアプリケーションはサイト ポリシーによって拒否され、他のすべての管理対象アプリケーションはアプリケーションの制限チェックに合格します。

クリアされたリストがアクティブ モードで適用されているものである場合、コマンドレットは確認の前に警告を出力します。 アクティブな許可リストをクリアすると、サイト ポリシーは管理対象のすべてのサードパーティおよびエージェント アプリケーションを拒否します。 アクティブな拒否リストをクリアすると、サイト ポリシーが管理対象のアプリケーションを拒否しなくなったことを意味します。 この警告は、アプリケーション制限ポリシーの決定についてのみ説明するものであり、アプリケーションにアクセス権が付与されることを意味するものではありません。 既存の Microsoft Entra の同意と SharePoint の承認は引き続き適用されます。 警告には、変更が直ちに有効になるのか、または次に強制が有効になったときに有効になるのかについても記載されています。

非アクティブなリストをクリアしても現在の使用停止措置は変更されませんが、 -WhatIf と -Confirmは引き続きサポートされ、監査されます。

構成と有効化は 対照的です。 リストの変更は強制をオンにしないので、有効になっていないサイト上のリストをクリアすると、サイトは無効のままになり、次回 Enable-SPOSiteRestrictedAppAccessControlで強制が有効になるまで変更が段階的に使用されます。 これにより、未構成のサイトに単一の ID を追加すると、許可リストが直ちにアクティブ化され、他のすべてのアプリケーションがブロックされるという危険なケースを回避できます。

テナントの切り替えは、すべてのサイトの強制をゲートします。 テナントの切り替えがオフの間、サイトポリシーは効果がなく、テナント拒否リストはサイト許可リストによってオーバーライドできないため、サイト拒否リストをクリアしても、テナントが拒否したアプリケーションへのアクセスが復元されることはありません。

アプリケーションの制限により、Microsoft Entra の同意と SharePoint のアクセス許可が既に付与されているアプリケーションに対して、SharePoint 承認の境界が追加されます。 アクセス許可は付与されず、Entra の同意に取って代わるものでもありません。 要求は、既存のアクセス許可モデルとアプリケーション制限の両方を通過する必要があります。

サイト アプリケーションの制限の管理は、汎用の Get-SPOSite および Set-SPOSite コマンドレットから分離されています。 アプリケーションの制限は SiteProperties から完全に切り離されているため、 Get-SPOSite はサイト ポリシー データを読み込まず、 Set-SPOSite 変更できません。 関連リンクに記載されている専用のアプリケーション制限コマンドレットを使用します。

SharePoint Online の Windows PowerShell のアクセス許可と最新の情報については、「SharePoint Online 管理シェルの概要」を参照してください。

Clear-SPOSiteRestrictedAppAccessControlList -Identity "https://contoso.sharepoint.com/sites/Finance" -ListType DenyList

この例では、財務サイトの拒否リストをクリアします。 許可リスト、アクティブ モード、サイトの有効化が保持されます。 Denyがアクティブ モードの場合、コマンドレットは、サイト ポリシーがそのリスト内の管理対象アプリケーションを拒否しなくなったことを警告します。 既存の Microsoft Entra の同意と SharePoint の承認は引き続き適用されます。

Clear-SPOSiteRestrictedAppAccessControlList -Identity "e1b2c3d4-5678-4abc-9def-0123456789ab" -ListType AllowList -WhatIf

この例では、サイト ID でサイトを識別し、ポリシーを変更せずに許可リストをクリアするプレビューを行います。 すべてのサイト アプリケーション制限コマンドレットは、サイト URL またはサイト ID として -Identity を受け入れます。

$url = "https://contoso.sharepoint.com/sites/Finance"
Clear-SPOSiteRestrictedAppAccessControlList -Identity $url -ListType AllowList
Set-SPOSiteRestrictedAppAccessControlList -Identity $url -ListType AllowList -AddRestrictedAppIds "11111111-1111-1111-1111-111111111111"

この例では、許可リストを最初から再構築します。 リストの変更は構成のみで行われるため、どちらのコマンドもサイトが有効になっているかどうかは変更されません。

Clear-SPOSiteRestrictedAppAccessControlList -Identity "https://contoso.sharepoint.com/sites/Finance" -ListType DenyList -Confirm:$false

この例では、オートメーションで使用するために、対話型の確認プロンプトなしで拒否リストをクリアします。 -Confirm:$false を使用しても、検証、承認、監査、またはファースト パーティ保護がバイパスされることはありません。

このコマンドレットは、共通パラメーター -Debug、-ErrorAction、-ErrorVariable、-InformationAction、-InformationVariable、-OutBuffer、-OutVariable、-PipelineVariable、-ProgressAction、-Verbose、-WarningAction、-WarningVariable をサポートします。 詳細については、「about_CommonParameters」を参照してください。

このコマンドレットはオブジェクトを返しません。 Get-SPOSiteRestrictedAppAccessControl を使用して、結果のポリシーを読み取ります。

• 1 つのリストをクリアすると、もう 1 つのリスト、アクティブ モード、サイトの有効化が保持されます。
• アクティブ モードが適用するリストをクリアすると、アプリケーションの制限ポリシーの決定が変わります。 アクティブな許可リストが空の場合、サイト ポリシーはすべての管理対象のサードパーティおよびエージェント アプリケーションを拒否します。 空のアクティブな拒否リストは、サイト ポリシーによってそれらのどれも拒否されていないことを意味します。 既存の Microsoft Entra の同意と SharePoint の承認は引き続き適用されます。 コマンドレットは、変更が直ちに有効になるか、または次に強制が有効になったときに有効になるかを確認する前に警告し、を示します。
• 非アクティブなリストをクリアしても現在の強制は変更されませんが、操作は引き続き -WhatIf と -Confirm をサポートし、監査されます。
• リストの変更は強制をオンにしません。 サイトの強制は、 Enable-SPOSiteRestrictedAppAccessControlによってのみ有効になります。
• テナントの切り替えは、すべてのサイトの強制をゲートするため、テナントの切り替えがオフの間はサイト ポリシーは効果がありません。 テナント拒否リストは、サイト許可リストによってオーバーライドできません。
• アプリケーションの制限では、アクセス許可は付与されません。 要求は引き続き、既存の SharePoint 承認に合格する必要があります。
• このコマンドレットは、ConfirmImpact.High での-WhatIfと-Confirmをサポートします。 -Confirm:$false 自動化に許可されており、検証、承認、監査、またはファースト パーティ保護をバイパスしません。