New-ApplicationAccessPolicy
Esse cmdlet só está disponível no serviço baseado em nuvem.
Importante
As Políticas de Acesso ao Aplicativo são substituídas pelo Controle de Acesso Baseado em Função para Aplicativos. Para saber mais, consulte Controle de Acesso Baseado em Função para Aplicativos do Exchange. Não crie novas Políticas de Acesso ao Aplicativo, pois essas políticas eventualmente exigirão migração para o Controle de Acesso Baseado em Função para aplicativos.
Use o cmdlet New-ApplicationAccessPolicy para restringir ou negar o acesso a um conjunto específico de caixas de correio por um aplicativo que usa APIs (Outlook REST, Microsoft Graph ou Serviços Web do Exchange (EWS)). Essas políticas são complementares aos escopos de permissão declarados pelo aplicativo.
Para saber mais sobre os conjuntos de parâmetros na seção Sintaxe, abaixo, consulte Exchange cmdlet syntax.
Sintaxe
Default (Default)
New-ApplicationAccessPolicy
-AccessRight <ApplicationAccessPolicyRight>
-AppId <String[]>
-PolicyScopeGroupId <RecipientIdParameter>
[-Confirm]
[-Description <String>]
[-WhatIf]
[<CommonParameters>]
Description
Para executar esse cmdlet, você precisa ter permissões. Embora este artigo liste todos os parâmetros do cmdlet, talvez você não tenha acesso a alguns parâmetros se eles não estiverem incluídos nas permissões atribuídas a você. Para localizar as permissões necessárias para executar qualquer cmdlet ou parâmetro em sua organização, confira Find the permissions required to run any Exchange cmdlet.
Você pode criar um número limitado de políticas em sua organização com base em uma quantidade fixa de espaço. Se sua organização ficar sem espaço para essas políticas, você receberá o erro: "O tamanho total das Políticas de Acesso ao Aplicativo excedeu o limite". Para maximizar o número de políticas e reduzir a quantidade de espaço consumido pelas políticas, defina uma descrição de caractere de um espaço para a política. Este método permite aproximadamente 300 políticas (contra um limite anterior de 100 políticas).
Enquanto o acesso a recursos baseados em escopo, como Mail.Read ou Calendar. A leitura é eficaz para garantir que o aplicativo só possa ler emails ou eventos em uma caixa de correio e não fazer mais nada, as políticas de acesso do aplicativo permitem que os administradores imponham limites baseados em uma lista de caixas de correio. Por exemplo, aplicativos desenvolvidos para um país/região não devem ter acesso a dados de outros países/regiões. Ou, ou um aplicativo de integração de CRM só deve acessar calendários na organização de vendas e em nenhum outro departamento.
Cada solicitação de API usando as APIs REST do Outlook ou APIs do Microsoft Graph para uma caixa de correio de destino feita por um aplicativo é verificada usando as seguintes regras (na mesma ordem):
- Se houver várias políticas de acesso ao aplicativo para o mesmo par de aplicativo e caixa de correio de destino, a política DenyAccess será priorizada em relação a uma política RestrictAccess.
- Se existir uma política DenyAccess para o aplicativo e a caixa de correio de destino, a solicitação de acesso do aplicativo será negada (mesmo que exista uma política RestrictAccess).
- Se houver alguma política RestrictAccess que corresponda ao aplicativo e à caixa de correio de destino, o aplicativo receberá acesso.
- Se houver alguma política Restrita para o Aplicativo e a Caixa de Correio de Destino não for membro dessas políticas, o aplicativo terá acesso negado à caixa de correio de destino.
- Se nenhuma das condições acima for atendida, o aplicativo receberá acesso à caixa de correio de destino solicitada.
Exemplos
Exemplo 1
New-ApplicationAccessPolicy -AccessRight DenyAccess -AppId "3dbc2ae1-7198-45ed-9f9f-d86ba3ec35b5", "6ac794ca-2697-4137-8754-d2a78ae47d93" -PolicyScopeGroupId "Engineering Staff" -Description "Engineering Group Policy"
Este exemplo cria uma nova política de acesso ao aplicativo com as seguintes configurações:
- AccessRight: DenyAccess
- IDs de aplicativo: 3dbc2ae1-7198-45ed-9f9f-d86ba3ec35b5 e 6ac794ca-2697-4137-8754-d2a78ae47d93
- PolicyScopeGroupId: equipe de engenharia
- Descrição: Engenharia de Política de Grupo
Exemplo 2
New-ApplicationAccessPolicy -AccessRight RestrictAccess -AppId "e7e4dbfc-046f-4074-9b3b-2ae8f144f59b" -PolicyScopeGroupId EvenUsers@AppPolicyTest2.com -Description "Restrict this app's access to members of security group EvenUsers."
Este exemplo cria uma nova política de acesso ao aplicativo com as seguintes configurações:
- AccessRight: RestrictAccess
- AppIDs: e7e4dbfc-046f-4074-9b3b-2ae8f144f59b
- PolicyScopeGroupId: EvenUsers@AppPolicyTest2.com
- Descrição: restrinja o acesso deste aplicativo aos membros do grupo de segurança EvenUsers.
Exemplo 3
New-ApplicationAccessPolicy -AccessRight DenyAccess -AppId "e7e4dbfc-046f-4074-9b3b-2ae8f144f59b" -PolicyScopeGroupId OddUsers@AppPolicyTest2.com -Description "Deny this app access to members of security group OddUsers."
Este exemplo cria uma nova política de acesso ao aplicativo com as seguintes configurações:
- AccessRight: DenyAccess
- AppIDs: e7e4dbfc-046f-4074-9b3b-2ae8f144f59b
- PolicyScopeGroupId: OddUsers@AppPolicyTest2.com
- Descrição: negue o acesso deste aplicativo a membros do grupo de segurança OddUsers.
Parâmetros
-AccessRight
Aplicável: Exchange Online, complemento de segurança interno para caixas de correio locais
O parâmetro AccessRight especifica o tipo de restrição que você deseja atribuir na política de acesso ao aplicativo. Os valores válidos são:
- RestrictAccess: permite que o aplicativo associado acesse apenas dados associados a caixas de correio especificadas pelo parâmetro PolicyScopeGroupID.
- DenyAccess: permite que o aplicativo associado acesse apenas dados que não estejam associados a caixas de correio especificadas pelo parâmetro PolicyScopeGroupID.
Propriedades do parâmetro
| Tipo: | ApplicationAccessPolicyIdParameter |
| Valor padrão: | None |
| Dá suporte a curingas: | False |
| DontShow: | False |
Conjuntos de parâmetros
(All)
| Cargo: | Named |
| Obrigatório: | True |
| Valor do pipeline: | False |
| Valor do pipeline pelo nome da propriedade: | False |
| Valor dos argumentos restantes: | False |
-AppId
Aplicável: Exchange Online, complemento de segurança interno para caixas de correio locais
O parâmetro Identity especifica o GUID dos aplicativos a serem incluídos na política. Para encontrar o valor de GUID de um aplicativo, execute o comando Get-App | Format-Table -Auto DisplayName,AppId.
Você pode especificar vários valores de GUID de aplicativo separados por vírgulas ou pode especificar * para indicar todos os aplicativos.
Propriedades do parâmetro
| Tipo: | String[] |
| Valor padrão: | None |
| Dá suporte a curingas: | False |
| DontShow: | False |
Conjuntos de parâmetros
(All)
| Cargo: | Named |
| Obrigatório: | True |
| Valor do pipeline: | True |
| Valor do pipeline pelo nome da propriedade: | True |
| Valor dos argumentos restantes: | False |
-Confirm
Aplicável: Exchange Online, complemento de segurança interno para caixas de correio locais
A opção Confirm especifica se a solicitação de confirmação deve ser mostrada ou ocultada. A forma como essa opção afeta o cmdlet depende se o cmdlet requer confirmação antes de continuar.
- Cmdlets destrutivos (por exemplo, Remover- cmdlets) têm uma pausa interna que força você a confirmar o comando antes de continuar. Para estes cmdlets, você pode pular o pedido de confirmação usando esta sintaxe exata:
-Confirm:$false. - A maioria dos outros cmdlets (por exemplo, New- e Set-) não tem uma pausa interna. Para esses cmdlets, especificar a opção Confirm sem um valor introduz uma pausa que força você a reconhecer o comando antes de continuar.
Propriedades do parâmetro
| Tipo: | SwitchParameter |
| Valor padrão: | None |
| Dá suporte a curingas: | False |
| DontShow: | False |
| Aliases: | cf |
Conjuntos de parâmetros
(All)
| Cargo: | Named |
| Obrigatório: | False |
| Valor do pipeline: | False |
| Valor do pipeline pelo nome da propriedade: | False |
| Valor dos argumentos restantes: | False |
-Description
Aplicável: Exchange Online, complemento de segurança interno para caixas de correio locais
O parâmetro Description especifica uma descrição para a política. Se o valor contiver espaços, coloque-o entre aspas (").
Propriedades do parâmetro
| Tipo: | String |
| Valor padrão: | None |
| Dá suporte a curingas: | False |
| DontShow: | False |
Conjuntos de parâmetros
(All)
| Cargo: | Named |
| Obrigatório: | False |
| Valor do pipeline: | False |
| Valor do pipeline pelo nome da propriedade: | False |
| Valor dos argumentos restantes: | False |
-PolicyScopeGroupID
Aplicável: Exchange Online, complemento de segurança interno para caixas de correio locais
O parâmetro PolicyScopeGroupID especifica o destinatário a ser definido na política. Os tipos de destinatários válidos são entidades de segurança no Exchange Online (usuários ou grupos, incluindo grupos aninhados, que podem ter permissões atribuídas a eles). Por exemplo:
- Caixas de correio com contas de usuário associadas (UserMailbox)
- Usuários de email, também conhecidos como usuários habilitados para email (MailUser)
- Grupos de segurança habilitados para email (MailUniversalSecurityGroup)
É possível usar qualquer valor que identifique o destinatário com exclusividade. Por exemplo:
- Nome
- Nome
- Nome diferenciado (DN)
- Nome para exibição
- GUID
Para verificar se um destinatário é uma entidade de segurança, execute um dos seguintes comandos: Get-Recipient -Identity <RecipientIdentity> | Select-Object IsValidSecurityPrincipal ou Get-Recipient -ResultSize unlimited | Format-Table -Auto Name,RecipientType,RecipientTypeDetails,IsValidSecurityPrincipal.
Você só pode especificar entidades de segurança com esse parâmetro. Por exemplo, os seguintes tipos de destinatários não funcionam:
- Caixas de correio de descoberta (DiscoveryMailbox)
- Grupos dinâmicos de distribuição (DynamicDistributionGroup)
- Grupos de distribuição (MailUniversalDistributionGroup)
- Contatos de email (MailContact)
- Pastas públicas habilitadas para email (PublicFolder)
- Grupos do Microsoft 365 (GroupMailbox)
- Caixas de correio de recursos (RoomMailbox ou EquipmentMailbox)
- Caixas de correio compartilhadas (SharedMailbox)
Se você precisar definir o escopo da política para caixas de correio compartilhadas, poderá adicionar as caixas de correio compartilhadas como membros de um grupo de segurança habilitado para email.
Propriedades do parâmetro
| Tipo: | RecipientIdParameter |
| Valor padrão: | None |
| Dá suporte a curingas: | False |
| DontShow: | False |
Conjuntos de parâmetros
(All)
| Cargo: | Named |
| Obrigatório: | True |
| Valor do pipeline: | True |
| Valor do pipeline pelo nome da propriedade: | True |
| Valor dos argumentos restantes: | False |
-WhatIf
Aplicável: Exchange Online, complemento de segurança interno para caixas de correio locais
A opção WhatIf mostra o que o comando faz sem fazer nenhuma alteração. Não é preciso especificar um valor com essa opção.
Propriedades do parâmetro
| Tipo: | SwitchParameter |
| Valor padrão: | None |
| Dá suporte a curingas: | False |
| DontShow: | False |
| Aliases: | wi |
Conjuntos de parâmetros
(All)
| Cargo: | Named |
| Obrigatório: | False |
| Valor do pipeline: | False |
| Valor do pipeline pelo nome da propriedade: | False |
| Valor dos argumentos restantes: | False |
CommonParameters
Este cmdlet dá suporte aos parâmetros comuns: -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction e -WarningVariable. Para obter mais informações, confira about_CommonParameters.