Bloquear os Locatários do PowerShell para EDU

Visão Geral

Por padrão no Microsoft 365, qualquer usuário membro no Microsoft Entra ID pode usar ferramentas comuns para se conectar ao locatário e exibir/baixar detalhes do usuário e informações do diretório. Este artigo explica como bloquear várias ferramentas comuns que podem ser usadas para essa finalidade.

Bloqueando o PowerShell

Para bloquear a ID do aplicativo PowerShell, siga as instruções:

Bloquear o PowerShell para todos, menos para mim

Esse script bloqueia o PowerShell para todos no locatário, exceto para a pessoa que executa o script. Use com cuidado para garantir que você não bloqueie usuários (por exemplo, administradores de TI) que precisarão de acesso.

1. Baixe o script do PowerShell localizado aqui e salve em c:\temp

2. Inicie o PowerShell e execute o cmd:

   Set-Location c:\temp

3. Digite o cmd e pressione enter

   .\Block-PowerShell_for_everyone_except_me.ps1

4. Se tentarem autenticar usando o módulo do PowerShell do Azure AD v2, eles receberão um erro semelhante ao mostrado:

   

Bloquear o PowerShell para todos, exceto uma lista de administradores

Esse script bloqueia o PowerShell para todos no locatário, exceto para uma lista de usuários especificados no arquivo CSV. Marque novamente se a sua lista está correta.

1. Baixe o script do PowerShell localizado aqui e o arquivo CSV de exemplo localizado aqui e salve ambos em c:\temp

2. Abra o CSV e atualize a lista UserPrincipalName com cada administrador que exija acesso ao PowerShell. Depois de atualizado, salve e feche o arquivo CSV.

   

3. Inicie o PowerShell e execute o cmd:

   Set-Location c:\temp

4. Digite o cmd e pressione enter.

   .\Block-PowerShell_for_everyone_except_a_list_of_admins.ps1

Bloquear o Microsoft Graph PowerShell para todos, menos para mim

Esse script bloqueia o módulo Microsoft Graph PowerShell para todos no locatário, exceto a pessoa que executa o script. Use com cuidado.

1. Baixe o script do PowerShell localizado aqui e salve em c:\temp

2. Inicie o PowerShell e execute o cmd:

   Set-Location c:\temp

3. Digite o cmd e pressione enter

   .\Block-PowerShell_for_everyone_except_me.ps1

4. Se alguém tentar autenticar usando o módulo MS Graph PowerShell, receberá um erro semelhante a:

   

Bloquear o Microsoft Graph PowerShell para todos, exceto uma lista de usuários

Esse script bloqueia o módulo Microsoft Graph PowerShell para todos no locatário, exceto para uma lista de usuários especificados no arquivo CSV. Use com cuidado.

1. Baixe o script do PowerShell localizado aqui e o arquivo CSV de exemplo localizado aqui e salve ambos em c:\temp

2. Abra o CSV e atualize a lista UserPrincipalName com cada administrador que exija acesso ao PowerShell. Depois de atualizado, salve e feche o arquivo CSV.

   

3. Inicie o PowerShell e execute o cmd:

   Set-Location c:\temp

4. Digite cmd e pressione enter

   .\Block-MS_Graph_module_for_everyone_except_a_list_of_admins.ps1

Bloqueando o MS Graph Explorer

Para bloquear o MS Graph Explorer para usuários direcionados, siga as instruções para configurar a Política de Acesso Condicional.

O Acesso Condicional no Microsoft Entra ID requer o Microsoft Entra ID P1.

1. Vá para o Acesso Condicional no centro de administração do Microsoft Entra.

2. Selecione Nova política.

3. Forneça um nome para a política como Block Graph Explorer.

4. Selecione os usuários aos quais aplicar a política e os administradores a serem excluídos da política.

   

   

5. Selecione os aplicativos do Graph Explorer.

   

6. Selecione a opção Bloquear Acesso e altere a política para Ativado.

   

7. Selecione Criar.

Bloquear o módulo MSOL

Para bloquear o Módulo MSOL do PowerShell para usuários finais, siga as instruções:

1. Faça login no MS Graph Explorer.

2. Selecione o botão de entrada no painel de navegação esquerdo.

   

3. No Construtor de consultas, selecione PATCH no primeiro menu suspenso e selecione o segundo menu suspenso beta.

   

4. Na barra com a URL, insira a cadeia de caracteres listada:

   https://graph.microsoft.com/beta/policies/authorizationPolicy/authorizationPolicy

   

5. No bloco de texto Corpo da Solicitação, insira o código e selecione Executar consulta.

   {"blockMsolPowerShell": true}

   

6. Depois que "blockMsolPowerShell" for definido como verdadeiro, os usuários receberão este erro se tentarem chamar qualquer cmdlet MSOL:

   

Bloqueando o PowerShell do Exchange Online

Para bloquear o acesso ao PowerShell no Exchange Online, siga as instruções no link:

Habilitar ou desabilitar o acesso ao Exchange Online PowerShell

Controlar o acesso ao PowerShell do Intune

Por padrão, depois que um administrador de TI consente com o aplicativo Microsoft Intune PowerShell do Microsoft Entra para acesso a um locatário, todos os usuários recebem acesso. Os usuários que recebem acesso ao aplicativo Microsoft Intune PowerShell ainda estão limitados por suas permissões das funções do Microsoft Entra ou do controle de acesso baseado em funções do Intune, mas com acesso ao PowerShell podem realizar exportações em massa de dados. Você pode alterar facilmente o Registro do Aplicativo para que apenas usuários específicos possam usar o Microsoft Intune PowerShell.

Limitar o acesso

Para limitar o acesso do usuário, você pode alterar o aplicativo para exigir atribuição de usuário. Para fazer isso:

1. Abra o Microsoft Entra Administração Console.

2. Selecione em Aplicativos Empresariais.

3. Localize e selecione o PowerShell do Microsoft Intune na lista.

4. Selecione Propriedades.

5. Alterar Atribuição de usuário obrigatória? para Sim.

   

6. Selecione Salvar.

Adicionar ou remover usuários

Para adicionar ou remover usuários do aplicativo Microsoft Intune PowerShell:

1. Abra o Microsoft Entra Administração Console.

2. Selecione em Aplicativos Empresariais.

3. Localize e selecione o PowerShell do Microsoft Intune na lista.

4. Selecione Usuários e grupos.

5. Modifique o acesso conforme necessário.