Clear-SPOSiteRestrictedAppAccessControlPolicy

Clear-SPOSiteRestrictedAppAccessControlPolicy
    -Identity <String>
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Clear-SPOSiteRestrictedAppAccessControlPolicy コマンドレットを使用して、サイトを未構成の状態に戻します。 コマンドレットは、強制を無効にし、アクティブ モードと両方のリストを削除し、保存されているサイト ポリシーをクリアします。 ポリシーがクリアされると、サイトは構成されていないサイトと同じ状態になり、強制が無効になり、エントリがありません。

消去は無効化とは異なります。 Disable-SPOSiteRestrictedAppAccessControl 強制をオフにしますが、アクティブ モードと両方のリストは保持されるため、同じ構成を後で再度有効にすることができます。 構成を削除する場合にも Clear-SPOSiteRestrictedAppAccessControlPolicy を使用します。 1 つのリストのみをクリアし、他のリスト、モード、サイトの有効化を保持するには、 Clear-SPOSiteRestrictedAppAccessControlList を使用します。

モードはリストと共に削除されるため、モードが設定されるまで、クリアされたサイトを再び有効にすることはできません。 Enable-SPOSiteRestrictedAppAccessControl モードが設定されていない場合は失敗します。モード None で有効にした場合は、バックエンドが拒否する唯一の組み合わせです。 Set-SPOSiteRestrictedAppAccessControlMode と Set-SPOSiteRestrictedAppAccessControlList を使用してポリシーを再構築し、明示的に有効にします。 構成と有効化は 2 行的です。モードとリストの変更によって強制がオンになることはないため、管理者はポリシーをステージングして有効にすることができます。 これにより、未構成のサイトに単一の ID を追加すると、許可リストが直ちにアクティブ化され、他のすべてのアプリケーションがブロックされるという危険なケースを回避できます。

サイト ポリシーをクリアすると、そのサイトにのみ影響します。 テナントの切り替えは、すべてのサイトの強制をゲートし、テナント拒否リストはサイト許可リストによってオーバーライドできないため、サイト ポリシーをクリアしても、テナントが拒否したアプリケーションへのアクセスが復元されることはありません。 テナント スコープには Clear-SPOTenantRestrictedAppAccessControlPolicy を使用します。

アプリケーションの制限により、Microsoft Entra の同意と SharePoint のアクセス許可が既に付与されているアプリケーションに対して、SharePoint 承認の境界が追加されます。 アクセス許可は付与されず、Entra の同意に取って代わるものでもありません。 要求は、既存のアクセス許可モデルとアプリケーションの制限の両方を通過する必要があるため、サイト ポリシーをクリアしても、まだ持っていないアプリケーションのアクセスは許可されません。

サイト アプリケーションの制限の管理は、汎用の Get-SPOSite および Set-SPOSite コマンドレットから分離されています。 アプリケーションの制限は SiteProperties から完全に切り離されているため、 Get-SPOSite はサイト ポリシー データを読み込まず、 Set-SPOSite 変更できません。 関連リンクに記載されている専用のアプリケーション制限コマンドレットを使用します。

SharePoint Online の Windows PowerShell のアクセス許可と最新の情報については、「SharePoint Online 管理シェルの概要」を参照してください。

Clear-SPOSiteRestrictedAppAccessControlPolicy -Identity "https://contoso.sharepoint.com/sites/Finance"

この例では、ファイナンス サイトから完全なアプリケーション制限ポリシーを削除します。 強制を無効にし、アクティブ モード、許可リスト、拒否リストが削除されます。

Clear-SPOSiteRestrictedAppAccessControlPolicy -Identity "e1b2c3d4-5678-4abc-9def-0123456789ab" -WhatIf

この例では、サイト ID でサイトを識別し、ポリシーを変更せずに変更をプレビューします。 すべてのサイト アプリケーション制限コマンドレットは、サイト URL またはサイト ID として -Identity を受け入れます。

$url = "https://contoso.sharepoint.com/sites/Finance"
Clear-SPOSiteRestrictedAppAccessControlPolicy -Identity $url -Confirm:$false
Set-SPOSiteRestrictedAppAccessControlMode -Identity $url -Mode Deny
Set-SPOSiteRestrictedAppAccessControlList -Identity $url -ListType DenyList -AddRestrictedAppIds "11111111-1111-1111-1111-111111111111"
Enable-SPOSiteRestrictedAppAccessControl -Identity $url

この例では、既存のポリシーを削除し、最初から再構築します。 ポリシーがクリアされるとモードが削除されるため、モードを有効にする前に、サイトにモードを割り当てる必要があります。

このコマンドレットは、共通パラメーター -Debug、-ErrorAction、-ErrorVariable、-InformationAction、-InformationVariable、-OutBuffer、-OutVariable、-PipelineVariable、-ProgressAction、-Verbose、-WarningAction、-WarningVariable をサポートします。 詳細については、「about_CommonParameters」を参照してください。

このコマンドレットはオブジェクトを返しません。 Get-SPOSiteRestrictedAppAccessControl を使用して、サイトが構成されていないことを確認します。

• サイト ポリシーをクリアすると、適用が無効になり、アクティブ モードと両方のリストが削除され、保存されているサイト ポリシーがクリアされます。 クリアされたサイトは、構成されていないサイトと区別できません。
• 後で使用できるように構成を保持するには、代わりに Disable-SPOSiteRestrictedAppAccessControl を使用します。 アクティブ モードと両方のリストが保持されます。
• 1 つのリストのみをクリアするには、 Clear-SPOSiteRestrictedAppAccessControlList を使用します。これにより、もう 1 つのリスト、アクティブ モード、およびサイトの有効化が保持されます。
• クリアした後は、モードが設定されるまでサイトを有効にすることはできません。 Enable-SPOSiteRestrictedAppAccessControl モードが設定されていない場合は失敗します。
• テナントの切り替えは、すべてのサイトの強制をゲートするため、テナントの切り替えがオフの間はサイト ポリシーは効果がありません。 テナント拒否リストは、サイト許可リストによってオーバーライドできません。
• アプリケーションの制限では、アクセス許可は付与されません。 要求は引き続き、既存の SharePoint 承認に合格する必要があります。
• このコマンドレットは、ConfirmImpact.High での-WhatIfと-Confirmをサポートします。 -Confirm:$false 自動化に許可されており、検証、承認、監査、またはファースト パーティ保護をバイパスしません。