Enable-SPOSiteRestrictedAppAccessControl

Enable-SPOSiteRestrictedAppAccessControl
    -Identity <String>
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Enable-SPOSiteRestrictedAppAccessControl コマンドレットを使用して、1 つのサイトに対するアプリケーション制限の適用を有効にします。 モードは既に Set-SPOSiteRestrictedAppAccessControlMode で構成されている必要があります。モードが設定されていない場合、コマンドレットは失敗します。

サイトの強制は、このコマンドレットによってのみ有効になります。 構成と有効化は独立しています。モードとリストの変更による強制はオンになりません。 管理者は、 Set-SPOSiteRestrictedAppAccessControlMode と Set-SPOSiteRestrictedAppAccessControlList を使用してポリシーをステージングし、明示的に有効にすることができます。

アクティブ モードによって、サイト ポリシーの決定が決まります。

• 許可 - 許可リストに含まれるアプリケーションは、アプリケーションの制限のチェックに合格し、管理対象の他のすべてのアプリケーションはサイト ポリシーによって拒否されます。 アクティブな許可リストが空の場合、サイト ポリシーはすべての管理対象のサードパーティおよびエージェント アプリケーションを拒否します。
• 拒否 - 拒否リストのアプリケーションはサイト ポリシーによって拒否され、他のすべての管理対象アプリケーションはアプリケーションの制限チェックに合格します。

非アクティブ リストは保持され、実行時への影響はありません。

テナントの切り替えは、すべてのサイトの強制をゲートします。 テナントの切り替えがオフの間、サイトポリシーは効果がなく、テナント拒否リストをサイト許可リストによって上書きすることはできません。 サイト ポリシーを利用する前に、 Get-SPOTenantRestrictedAppAccessControl を使用してテナントの切り替えを確認します。

アプリケーションの制限により、Microsoft Entra の同意と SharePoint のアクセス許可が既に付与されているアプリケーションに対して、SharePoint 承認の境界が追加されます。 アクセス許可を付与することはなく、Microsoft Entra の同意に代わるものでもありません。 要求は、既存のアクセス許可モデルとアプリケーション制限の両方を通過する必要があります。

サイト アプリケーションの制限の管理は、汎用の Get-SPOSite および Set-SPOSite コマンドレットから分離されています。 アプリケーションの制限は SiteProperties から完全に切り離されているため、 Get-SPOSite はサイト ポリシー データを読み込まず、 Set-SPOSite 変更できません。 関連リンクに記載されている専用のアプリケーション制限コマンドレットを使用します。

Microsoft のファースト パーティおよびコア アプリケーションは、アプリケーションの制限の構成と適用の対象外です。

SharePoint Online の Windows PowerShell のアクセス許可と最新の情報については、「SharePoint Online 管理シェルの概要」を参照してください。

Enable-SPOSiteRestrictedAppAccessControl -Identity "https://contoso.sharepoint.com/sites/Finance"

この例では、URL で識別されるファイナンス サイトに対するアプリケーション制限の適用を有効にします。 強制では、サイトで既に構成されているモードとリストが使用されます。

Enable-SPOSiteRestrictedAppAccessControl -Identity "e1b2c3d4-5678-4abc-9def-0123456789ab"

この例では、ID で識別されるサイトへの強制を有効にします。 すべてのサイト アプリケーション制限コマンドレットは、サイト URL またはサイト ID として -Identity を受け入れます。

$url = "https://contoso.sharepoint.com/sites/Finance"
Set-SPOSiteRestrictedAppAccessControlMode -Identity $url -Mode Allow
Set-SPOSiteRestrictedAppAccessControlList -Identity $url -ListType AllowList -AddRestrictedAppIds "11111111-1111-1111-1111-111111111111"
Enable-SPOSiteRestrictedAppAccessControl -Identity $url

この例では、モードと許可リストを構成し、ポリシーを明示的に有効にします。 モードとリストの変更では強制はオンになりません。このため、最後のコマンドが実行されるまで何も強制されません。 許可リストに含まれるアプリケーションは、アプリケーションの制限チェックに合格します。他のすべての管理対象アプリケーションは、サイト ポリシーによって拒否されます。 既存の Microsoft Entra の同意と SharePoint の承認は引き続き適用されます。

Enable-SPOSiteRestrictedAppAccessControl -Identity "https://contoso.sharepoint.com/sites/Finance" -Confirm:$false

この例では、自動化で使用するために、対話型の確認プロンプトなしで強制を有効にします。 -Confirm:$false を使用しても、検証、承認、監査、またはファースト パーティ保護がバイパスされることはありません。

このコマンドレットは、共通パラメーター -Debug、-ErrorAction、-ErrorVariable、-InformationAction、-InformationVariable、-OutBuffer、-OutVariable、-PipelineVariable、-ProgressAction、-Verbose、-WarningAction、-WarningVariable をサポートします。 詳細については、「about_CommonParameters」を参照してください。

このコマンドレットはオブジェクトを返しません。 Get-SPOSiteRestrictedAppAccessControl を使用して、結果のポリシーを読み取ります。

• サイトでモードが構成されていない場合、このコマンドレットは失敗します。 ポリシーを有効にする前に、モードを Allow または Deny に設定します。
• サイトの強制は、このコマンドレットによってのみ有効になります。 モードとリストの変更により、現在の有効化状態が保持されます。
• アクティブな許可リストが空の場合、サイト ポリシーはすべての管理対象のサードパーティおよびエージェント アプリケーションを拒否します。 サイトを有効にする前に、アクティブなリストを Get-SPOSiteRestrictedAppAccessControl で確認します。
• Deny モードでは、拒否リストに表示されるアプリケーションはサイト ポリシーによって拒否されます。 他のすべての管理対象アプリケーションは、アプリケーションの制限チェックに合格します。
• テナントの切り替えは、すべてのサイトの強制をゲートするため、テナントの切り替えがオフの間はサイト ポリシーは効果がありません。 テナント拒否リストは、サイト許可リストによってオーバーライドできません。
• アプリケーションの制限では、アクセス許可は付与されません。 要求は引き続き、既存の SharePoint 承認に合格する必要があります。
• このコマンドレットは、ConfirmImpact.High での-WhatIfと-Confirmをサポートします。 -Confirm:$false 自動化に許可されており、検証、承認、監査、またはファースト パーティ保護をバイパスしません。