Set-SPOSiteRestrictedAppAccessControlList

Set-SPOSiteRestrictedAppAccessControlList
    [-Identity] <String>
    -ListType <String>
    [-AddRestrictedAppIds <Guid[]>]
    [-RemoveRestrictedAppIds <Guid[]>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

Use o Set-SPOSiteRestrictedAppAccessControlList cmdlet para alterar o conteúdo de uma lista de sites. As adições e remoções são aplicadas em uma atualização atômica que preserva a habilitação do site e o modo ativo.

As Restrições de Aplicativo adicionam um limite de autorização do SharePoint para aplicativos que já têm permissões do SharePoint e consentimento do Microsoft Entra. Ele nunca concede permissões e não substitui o consentimento do Entra. Uma solicitação deve passar pelo modelo de permissão existente e pelas Restrições de Aplicativo.

Use -ListType para identificar a lista de destino explicitamente. Ambas as listas são sempre armazenadas e podem ser gerenciadas, independentemente de qual modo está ativo. Somente a lista selecionada pelo modo ativo participa da imposição de runtime, portanto, adicionar ou remover entradas na lista inativa não altera a imposição atual. A lista inativa é preservada para futuras alterações de modo.

O modo ativo determina o que a alteração significa em tempo de execução. Quando o modo é Allow, os aplicativos na lista de permissões passam na marca de Restrições de Aplicativos e todos os outros aplicativos controlados são negados pela política do site; uma lista de permissões ativa vazia faz com que a política do site negue todos os aplicativos controlados de terceiros e agentes. Quando o modo é Deny, os aplicativos na lista de negações são negados pela política do site e todos os outros aplicativos controlados passam na marca de Restrições de Aplicativos; uma lista de negações ativa vazia significa que a política do site não nega nenhum deles.

Pelo menos um dos ou -RemoveRestrictedAppIds é obrigatório, uma ID não pode aparecer em ambos e as remoções são aplicadas antes das -AddRestrictedAppIds adições.

Você fornece apenas IDs de aplicativo. Cada lista pode conter IDs de aplicativo concretas e IDs de blueprint de agente pai, e o back-end classifica cada ID adicionada e armazena seu tipo internamente. Uma ID de blueprint de agente pai se aplica ao próprio aplicativo de blueprint e a cada aplicativo de agente atual ou futuro criado a partir desse blueprint. Em uma lista de negações ativa, uma ID de blueprint faz com que a política do site negue essa família de aplicativos completa. Em uma lista de permissões ativa, ele permite que toda a família de aplicativos passe na marca de Restrições de Aplicativo. O consentimento existente do Microsoft Entra e a autorização do SharePoint ainda se aplicam.

A adição de IDs usa a mesma classificação em massa do Microsoft Graph e exclusão de primeira parte que os cmdlets de locatário. Os aplicativos próprios e principais da Microsoft são rejeitados, as IDs que não podem ser classificadas são rejeitadas e uma adição em massa é tudo ou nada, portanto, nenhum conjunto parcial de IDs é mantido.

A remoção de entradas requer apenas -ListType e -RemoveRestrictedAppIds. A remoção não chama o Microsoft Graph, portanto, as IDs de aplicativos excluídas ou obsoletas ainda podem ser removidas. Se uma ID fornecida não estiver presente na lista de destino, o cmdlet retornará um erro de validação.

A configuração e a habilitação são ortogonais: uma mudança de lista nunca ativa a imposição. A imposição do site é ativada apenas por Enable-SPOSiteRestrictedAppAccessControl, para que você possa preparar listas e habilitar o site explicitamente. Um modo deve ser configurado explicitamente antes Enable-SPOSiteRestrictedAppAccessControl de ser bem-sucedido.

A imposição do site também é controlada pelo comutador de locatário. Enquanto a opção de locatário estiver ativada, a lista de negação de locatário tem precedência e não pode ser substituída por uma lista de permissões de site.

A automação pode usar o padrão -Confirm:$false. Suprimir o prompt não ignora a validação, autorização, auditoria ou proteção de terceiros.

A administração de Restrições de Aplicativos do Site é isolada dos cmdlets e Set-SPOSite de uso Get-SPOSite geral. Get-SPOSite Não carrega dados da política do site e Set-SPOSite não pode alterá-los. Use os cmdlets de Restrições de Aplicativos dedicados listados em Links Relacionados.

Para obter permissões e as informações mais recentes sobre o Windows PowerShell do SharePoint Online, consulte a documentação on-line em Introdução ao Shell de gerenciamento do SharePoint Online..

Set-SPOSiteRestrictedAppAccessControlList -Identity https://contoso.sharepoint.com/sites/Finance -ListType AllowList -AddRestrictedAppIds 11111111-1111-1111-1111-111111111111

Este exemplo adiciona uma ID de aplicativo à lista de permissões do site de Finanças. A habilitação e o modo ativo do site são preservados. Se a ID for um aplicativo principal ou próprio da Microsoft, ou se não puder ser classificada, o add será rejeitado.

Set-SPOSiteRestrictedAppAccessControlList -Identity https://contoso.sharepoint.com/sites/Finance -ListType DenyList -AddRestrictedAppIds 22222222-2222-2222-2222-222222222222,33333333-3333-3333-3333-333333333333 -RemoveRestrictedAppIds 44444444-4444-4444-4444-444444444444

Este exemplo adiciona duas IDs de aplicativo e remove uma terceira em uma atualização atômica. A remoção é aplicada antes das adições. A habilitação do site e o modo ativo permanecem inalterados.

Este cmdlet dá suporte aos parâmetros comuns: -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction e -WarningVariable. Para obter mais informações, confira about_CommonParameters.

• As adições e remoções são aplicadas em uma atualização atômica que preserva a habilitação do site e o modo ativo.
• Pelo menos um dos ou -RemoveRestrictedAppIds é obrigatório, uma ID não pode aparecer em ambos e as remoções são aplicadas antes das -AddRestrictedAppIds adições.
• Cada lista tem um máximo de 100 entradas, e as duas listas combinadas têm um máximo de 200 entradas. As IDs de aplicativo regulares e as IDs de blueprint do agente pai consomem a mesma cota.
• Adicionar ou remover entradas na lista que o modo ativo não impõe não altera a imposição atual.
• A configuração e a ativação são ortogonais. A imposição do site é ativada apenas por Enable-SPOSiteRestrictedAppAccessControl, e um modo deve ser explicitamente configurado antes que esse cmdlet seja bem-sucedido.
• A opção de locatário bloqueia toda a imposição do site. Enquanto a opção de locatário estiver ativada, a lista de negação de locatário não pode ser substituída por uma lista de permissões de site.
• Use Get-SPOSiteRestrictedAppAccessControl para confirmar as listas resultantes e Clear-SPOSiteRestrictedAppAccessControlList limpar uma lista inteira.