Set-SPOTenantRestrictedAppAccessControlList

Set-SPOTenantRestrictedAppAccessControlList
    [-AddRestrictedAppIds <Guid[]>]
    [-RemoveRestrictedAppIds <Guid[]>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Set-SPOTenantRestrictedAppAccessControlList コマンドレットを使用して、アプリケーション制限のテナント全体の拒否リストを変更します。

アプリケーションの制限により、Microsoft Entra の同意と SharePoint のアクセス許可が既に付与されているアプリケーションに対して、SharePoint 承認の境界が追加されます。 アクセス許可は付与されず、Entra の同意に取って代わるものでもありません。 要求は、既存のアクセス許可モデルとアプリケーション制限の両方を通過する必要があります。

どちらのパラメーターも、テナントの強制スイッチを保持する 1 つのアトミック更新プログラムに適用されます。 -AddRestrictedAppIdsまたは -RemoveRestrictedAppIds のうち少なくとも 1 つが必要であり、両方のパラメーターに同じ ID を指定することはできません。 削除は、追加の前に適用されます。

アプリケーション ID のみを指定します。 ID が通常のアプリケーションか親エージェントのブループリントかは識別できません。バックエンドは、追加された各 ID を分類し、適切な内部リストに保存します。 テナント拒否リストの親エージェント ブループリント ID は、ブループリント アプリケーション自体と、そのブループリントから作成される現在または将来のすべてのエージェント アプリをブロックします。

追加された ID は、Microsoft Graph を使用して分類されます。 分類できない Microsoft のファースト パーティおよびコア アプリケーションと ID は拒否されます。 一括追加はオールオアネーブルです。指定した ID が拒否された場合、ID は保持されません。 削除では Microsoft Graph が使用されないため、古いアプリケーション ID や削除されたアプリケーション ID はいつでも削除できます。

結合されたテナント拒否リストには、アプリケーション ID のハード最大数は 100 個です。

構成と有効化は 2 対立しています。リストの変更は、テナント スイッチのオンとオフを切り替えることはありません。 Enable-SPOTenantRestrictedAppAccessControl と Disable-SPOTenantRestrictedAppAccessControl を使用して使用停止措置を変更します。

最後のエントリを削除すると、何も拒否されない空の拒否リストを持つ有効なスイッチが残ります。 この状態は、クリーンアップ中は正当であるため許可されますが、コマンドレットは、アプリケーションの制限を明示的にオフにするための Disable-SPOTenantRestrictedAppAccessControl または Clear-SPOTenantRestrictedAppAccessControlPolicy を警告し、指示します。

テナント スコープは拒否のみで、リストが 1 つあるため、モード コマンドレット、 -ListType パラメーター、および個別のクリア リスト コマンドレットはありません。

テナント アプリケーションの制限の管理は、汎用の Get-SPOTenant および Set-SPOTenant コマンドレットから分離されています。 Application Restrictions は Tenant プロパティとして公開されないため、 Get-SPOTenant はポリシーを返さず、 Set-SPOTenant を変更できません。

SharePoint Online の Windows PowerShell のアクセス許可と最新の情報については、「SharePoint Online 管理シェルの概要」を参照してください。

Set-SPOTenantRestrictedAppAccessControlList -AddRestrictedAppIds 11111111-1111-1111-1111-111111111111

この例では、1 つのアプリケーション ID をテナント拒否リストに追加します。 バックエンドは ID を分類し、通常のアプリケーションまたは親エージェントのブループリントとして保存します。 テナントの強制スイッチは変更されません。

Set-SPOTenantRestrictedAppAccessControlList -AddRestrictedAppIds 11111111-1111-1111-1111-111111111111, 22222222-2222-2222-2222-222222222222 -RemoveRestrictedAppIds 33333333-3333-3333-3333-333333333333

この例では、1 回のアトミック更新で 2 つのアプリケーション ID を追加し、3 つ目のアプリケーション ID を削除します。 削除は、追加の前に適用されます。 追加された ID のいずれかがファースト パーティまたはコア アプリケーションであるか、分類できない場合、操作全体は失敗し、何も保持されません。

Set-SPOTenantRestrictedAppAccessControlList -RemoveRestrictedAppIds 33333333-3333-3333-3333-333333333333 -Confirm:$false

この例では、確認を要求せずにアプリケーション ID を削除します。これは自動化に役立ちます。 削除は Microsoft Graph を呼び出さないため、削除されたアプリケーションまたは古いアプリケーションの ID は引き続き削除できます。 プロンプトを非表示にしても、検証、承認、監査、またはファースト パーティ保護はバイパスされません。

Set-SPOTenantRestrictedAppAccessControlList -AddRestrictedAppIds 44444444-4444-4444-4444-444444444444 -WhatIf

この例は、保存されているテナント ポリシーを変更せずにアプリケーション ID が追加された場合の動作を示しています。

このコマンドレットは、共通パラメーター -Debug、-ErrorAction、-ErrorVariable、-InformationAction、-InformationVariable、-OutBuffer、-OutVariable、-PipelineVariable、-ProgressAction、-Verbose、-WarningAction、-WarningVariable をサポートします。 詳細については、「about_CommonParameters」を参照してください。

このコマンドレットは出力オブジェクトを返しません。 Get-SPOTenantRestrictedAppAccessControl を使用して、結果のテナント ポリシーを読み取ります。

• 追加と削除は、1 つのアトミック更新として適用されます。 削除は、追加の前に適用されます。
• 一括追加は、オールオアネーションです。 指定された ID がファースト パーティまたはコア アプリケーションである場合、または分類できない場合、ID は保持されません。
• 結合されたテナント拒否リストには、アプリケーション ID のハード最大数は 100 個です。
• 管理者は ID のみを指定します。 バックエンドは、追加された各IDを分類し、通常のアプリケーションまたは親エージェントのブループリントとして保存します。
• 親エージェント ブループリント ID は、ブループリント アプリケーションと、ブループリント アプリケーションから作成される現在または将来のすべてのエージェント アプリをブロックします。
• 構成と有効化は 対照的です。リストの変更はテナント スイッチを切り替えることはありません。
• 最後のエントリを削除すると、何も拒否しない空の拒否リストを持つ有効なスイッチが残ります。 コマンドレットは警告を発し、 Disable-SPOTenantRestrictedAppAccessControl または Clear-SPOTenantRestrictedAppAccessControlPolicyをポイントします。
• Set-SPOSiteRestrictedAppAccessControlList を使用して、個々のサイトの一覧を変更します。