Set-SPOSiteRestrictedAppAccessControlList

Set-SPOSiteRestrictedAppAccessControlList
    [-Identity] <String>
    -ListType <String>
    [-AddRestrictedAppIds <Guid[]>]
    [-RemoveRestrictedAppIds <Guid[]>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Set-SPOSiteRestrictedAppAccessControlList コマンドレットを使用して、1 つのサイト リストの内容を変更します。 追加と削除は、サイトの有効化とアクティブ モードを維持する 1 つのアトミック更新プログラムで適用されます。

アプリケーションの制限により、Microsoft Entra の同意と SharePoint のアクセス許可が既に付与されているアプリケーションに対して、SharePoint 承認の境界が追加されます。 アクセス許可は付与されず、Entra の同意に取って代わるものでもありません。 要求は、既存のアクセス許可モデルとアプリケーション制限の両方を通過する必要があります。

-ListType を使用して、ターゲット リストを明示的に識別します。 どちらのリストも常に格納され、アクティブなモードに関係なく管理できます。 アクティブ モードで選択されたリストのみが実行時の強制に参加するため、非アクティブ リスト内のエントリを追加または削除しても、現在の強制は変更されません。 非アクティブ リストは、将来のモード変更のために保持されます。

アクティブ モードによって、実行時の変更の意味が決まります。 モードがAllowの場合、許可リスト内のアプリケーションはアプリケーションの制限チェックを通過し、他のすべての管理対象アプリケーションはサイト ポリシーによって拒否されます。アクティブな許可リストが空の場合、サイト ポリシーは管理対象のすべてのサードパーティおよびエージェント アプリケーションを拒否します。 モードがDenyの場合、拒否リスト内のアプリケーションはサイト ポリシーによって拒否され、他のすべての管理対象アプリケーションはアプリケーション制限チェックに合格します。空のアクティブな拒否リストは、サイト ポリシーがそれらのどれも拒否しないことを意味します。

-AddRestrictedAppIds または -RemoveRestrictedAppIds のうち少なくとも 1 つが必要であり、ID を両方に表示することはできず、削除は追加の前に適用されます。

アプリケーション ID のみを指定します。 各リストには、具体的なアプリケーション ID と親エージェント ブループリント ID の両方を含めることができ、バックエンドは追加された各 ID を分類し、そのタイプを内部に保存します。 親エージェント ブループリント ID は、ブループリント アプリケーション自体と、そのブループリントから作成される現在または将来のすべてのエージェント アプリに適用されます。 アクティブな拒否リストでは、ブループリント ID により、サイト ポリシーはその完全なアプリ ファミリを拒否します。 アクティブな許可リストでは、アプリ ファミリ全体がアプリケーションの制限チェックに合格します。 既存の Microsoft Entra の同意と SharePoint の承認は引き続き適用されます。

ID を追加すると、テナント コマンドレットと同じ一括 Microsoft Graph 分類とファーストパーティの除外が使用されます。 Microsoft のファースト パーティとコア アプリケーションは拒否され、分類できない ID は拒否され、一括追加は all-or none となるため、ID の部分的なセットは保持されません。

エントリを削除するには、 -ListType と -RemoveRestrictedAppIdsのみが必要です。 削除しても Microsoft Graph は呼び出されないため、削除されたアプリケーション ID や古いアプリケーション ID は引き続き削除できます。 指定した ID がターゲット リストに存在しない場合、コマンドレットは検証エラーを返します。

構成と有効化は 2 対行して行われます。リストの変更によって強制が有効になることはありません。 サイトの強制は Enable-SPOSiteRestrictedAppAccessControl によってのみ有効になるので、リストをステージングしてから、サイトを明示的に有効にできます。 Enable-SPOSiteRestrictedAppAccessControlが成功する前に、モードを明示的に構成する必要があります。

サイトの施行もテナント スイッチによって制限されます。 テナントの切り替えがオンになっている間は、テナント拒否リストが優先され、サイト許可リストによってオーバーライドすることはできません。

オートメーションでは標準 -Confirm:$falseを使用できます。 プロンプトを非表示にしても、検証、承認、監査、またはファースト パーティ保護はバイパスされません。

サイト アプリケーションの制限の管理は、汎用の Get-SPOSite および Set-SPOSite コマンドレットから分離されています。 Get-SPOSite サイト ポリシー データは読み込まれず、 Set-SPOSite は変更できません。 関連リンクに記載されている専用のアプリケーション制限コマンドレットを使用します。

SharePoint Online の Windows PowerShell のアクセス許可と最新の情報については、「SharePoint Online 管理シェルの概要」を参照してください。

Set-SPOSiteRestrictedAppAccessControlList -Identity https://contoso.sharepoint.com/sites/Finance -ListType AllowList -AddRestrictedAppIds 11111111-1111-1111-1111-111111111111

この例では、1 つのアプリケーション ID を財務サイトの許可リストに追加します。 サイトの有効化とアクティブ モードは保持されます。 ID が Microsoft のファースト パーティまたはコア アプリケーションである場合、または分類できない場合、追加は拒否されます。

Set-SPOSiteRestrictedAppAccessControlList -Identity https://contoso.sharepoint.com/sites/Finance -ListType DenyList -AddRestrictedAppIds 22222222-2222-2222-2222-222222222222,33333333-3333-3333-3333-333333333333 -RemoveRestrictedAppIds 44444444-4444-4444-4444-444444444444

この例では、1 回のアトミック更新で 2 つのアプリケーション ID を追加し、3 つ目のアプリケーション ID を削除します。 削除は、追加の前に適用されます。 サイトの有効化とアクティブ モードは変更されません。

このコマンドレットは、共通パラメーター -Debug、-ErrorAction、-ErrorVariable、-InformationAction、-InformationVariable、-OutBuffer、-OutVariable、-PipelineVariable、-ProgressAction、-Verbose、-WarningAction、-WarningVariable をサポートします。 詳細については、「about_CommonParameters」を参照してください。

• 追加と削除は、サイトの有効化とアクティブ モードを維持する 1 つのアトミック更新プログラムで適用されます。
• -AddRestrictedAppIds または -RemoveRestrictedAppIds のうち少なくとも 1 つが必要であり、ID を両方に表示することはできず、削除は追加の前に適用されます。
• 各リストには 100 エントリのハード最大があり、2 つのリストを合わせると 200 エントリのハード最大があります。 通常のアプリケーション ID と親エージェント ブループリント ID の両方が同じクォータを消費します。
• アクティブ モードで適用されないエントリをリストで追加または削除しても、現在の適用は変更されません。
• 構成と有効化は 対照的です。 サイトの強制は Enable-SPOSiteRestrictedAppAccessControlによってのみ有効になり、そのコマンドレットが成功する前にモードを明示的に構成する必要があります。
• テナントの切り替えは、すべてのサイトの強制をゲートします。 テナントの切り替えがオンになっている間は、テナント拒否リストをサイト許可リストで上書きすることはできません。
• Get-SPOSiteRestrictedAppAccessControl を使用して結果のリストを確認し、Clear-SPOSiteRestrictedAppAccessControlList を使用してリスト全体をクリアします。