組織中的商務使用者可能安裝的許多第三方生產力應用程式會要求存取使用者資訊和資料的權限，並代表其他雲端應用程式中的使用者登入，例如 Microsoft 365、Google Workspace 和 Salesforce。 當使用者安裝這些應用程式時，他們通常會點擊接受，而無需仔細查看提示中的詳細信息，包括向應用程式授予權限。 缺乏權限審查的情況，因為 IT 可能缺乏足夠的洞察力，無法權衡應用程式的安全風險與其帶來的生產力效益。 由於接受第三方應用程式權限對貴組織構成潛在安全風險，因此監控使用者授予的應用程式權限可為您提供必要的可見度和控制，以保護您的使用者和應用程式。
Microsoft Defender for Cloud Apps 應用程式許可權可讓您查看哪些使用者安裝的 OAuth 應用程式可以存取 Microsoft 365 資料、Google Workspace 資料和 Salesforce 資料。 Defender for Cloud Apps 會告訴您應用程式具有哪些許可權，以及哪些使用者授與這些應用程式存取其 Microsoft 365、Google Workspace 和 Salesforce 帳戶的存取權。 應用程式權限可協助您決定允許使用者存取哪些應用程式，以及要禁止哪些應用程式。
如需詳細資訊，請參閱 調查有風險的 OAuth 應用程式。
注意事項
以下範例和截圖來自 OAuth 應用程式 頁面，該頁面用於未開啟應用程式治理時使用。
如果你使用 Microsoft Defender 預覽功能並開啟應用程式治理，則可從應用程式治理頁面取得 OAuth 應用程式權限管理。
如需詳細資訊，請參閱 Microsoft Defender for Cloud Apps 中的應用程式控管。
必要條件
您必須已將一個或多個支援的平台連接到 Microsoft Defender for Cloud Apps，包括 Microsoft 365、Google Workspace 或 Salesforce。
使用 OAuth 應用程式頁面
OAuth 應用程式頁面會顯示你連接應用程式中應用程式權限的資訊。
要進入 OAuth 應用程式 頁面：
在 Microsoft Defender 入口網站的 [雲端應用程式] 底下，選取 [OAuth 應用程式]。
OAuth 應用程式頁面提供下列有關已授與權限的每個 OAuth 應用程式的資訊。 Defender for Cloud Apps 只會識別要求委派許可權的應用程式。
| 項目 | 這表示什麼 | 適用於 |
|---|---|---|
| 應用程式查詢列中的基本圖示 | 在基本檢視中切換到查詢。 | Microsoft 365、Google Workspace、Salesforce |
| 應用程式查詢列中的進階圖示 | 切換至「進階」視圖中的查詢。 | Microsoft 365、Google Workspace、Salesforce |
| 打開或關閉應用程序列表中的所有詳細信息圖標 | 查看有關每個應用程序的更多或更少的詳細信息。 | |
| 應用程式清單中的匯出圖示 | 匯出 CSV 檔案，其中包含應用程式清單、每個應用程式的使用者數量、與應用程式相關聯的權限、權限層級、應用程式狀態和社群使用層級。 | Microsoft 365、Google Workspace、Salesforce |
| 應用程式 | 應用程式的名稱。 選取名稱以檢視更多資訊，包括描述、發行者（適用於 Microsoft 365）、應用程式網站和 ID。 | Microsoft 365、Google Workspace、Salesforce |
| 授權者 | 授權此應用程式存取其應用程式帳戶並授予應用程式權限的使用者數量。 選取號碼以檢視詳細資訊，包括使用者電子郵件清單，以及管理員先前是否同意應用程式。 | Microsoft 365、Google Workspace、Salesforce |
| 權限層級 | 權限層級圖示和文字，指出高、中或低。 這個層級表示 OAuth 應用程式對連接應用程式資料的存取權限。 例如，「低」可能表示 OAuth 應用程式只能存取使用者的個人資料和姓名。 選取層級以檢視詳細資訊，包括授與應用程式的權限、社群使用或 治理記錄中的相關活動。 | Microsoft 365、Google Workspace |
| 應用程式狀態 | 系統管理員可以將應用程式標示為已核准、已禁止，或將應用程式列為未決定。 | Microsoft 365、Google Workspace、Salesforce |
| 供社群使用 | 向您展示該應用程序在所有用戶中的受歡迎程度， (常見、不常見、罕見) | Microsoft 365、Google Workspace、Salesforce |
| 最近一次授權 | 使用者授與此應用程式權限的最近日期。 | Microsoft 365、Salesforce |
| 發行者 | 提供應用程式的廠商名稱。 發行者驗證 - 發行者驗證可協助系統管理員和使用者瞭解與 Microsoft 身分識別平台整合的應用程式開發人員的真實性。 如需詳細資訊，請參閱 發行者驗證。 |
Microsoft 365 |
| 上次使用 | 組織中任何人使用此應用程式的最近日期。 | Salesforce |
禁止或核准應用程式
要禁止或批准應用程式，請執行以下步驟：
在 [應用程式控管] 頁面的 [Google] 或 [Salesforce] 索引標籤上，選取應用程式以開啟 [應用程式] 抽屜，以檢視有關應用程式及其授與權限的詳細資訊。
- 選取 [許可權] 以檢視已授與應用程式的許可權的完整清單。
- 在 社群使用下，您可以檢視應用程式在其他組織中的常見程度。
- 選取 [ 應用程式活動 ] 以檢視與此應用程式相關的活動記錄檔中列出的活動。
若要禁止應用程式，請選取表格中應用程式列結尾的禁止圖示。
- 您可以選擇是否要告訴用戶他們安裝和授權的應用程序已被禁止。 通知會讓使用者知道應用程式將停用，且他們無法存取已連線的應用程式。 如果您不想讓他們知道，請在對話方塊中取消選取 「通知授予此禁止應用程式存取權限的使用者 」。
- 建議您讓應用程式使用者知道他們的應用程式即將被禁止使用。
在 [輸入自訂通知訊息] 方塊中輸入您要傳送給應用程式使用者的訊息。 選取 [ 禁止應用程式] 以傳送郵件，然後禁止連線的應用程式使用者使用該應用程式。
若要核准應用程式，請選取表格中資料列結尾的核准圖示。
- 圖示會變成綠色，且應用程式已核准供所有連線的應用程式使用者使用。
- 當您將應用程式標示為已核准時，對使用者沒有任何影響。 綠色已核准圖示幫助你辨識已核查的應用程式，並與尚未審核的應用程式區分開來。
查詢 OAuth 應用程式
您可以在 「基本」 檢視或 「進階 」檢視中查詢 OAuth 應用程式。 從一或多個下拉式清單中選取值，以在「基本」檢視中顯示特定應用程式。 在進階檢視中，使用 選取篩選器 下拉式清單來縮小搜尋範圍。 請將運算子 (等於或不等於) 新增至選取值來完成查詢。
選擇 Add a filter （新增篩選器 ） 圖示以新增其他篩選器，以進一步精簡您的查詢。 過濾器會自動應用，應用程序列表會更新。
選擇篩選器旁邊的 [移除篩選器 ] 圖示以移除篩選器。
OAuth 應用程式稽核
Defender for Cloud Apps 會稽核所有 OAuth 授權活動，以提供已執行活動的完整監視和調查。 您也可以匯出授權特定 OAuth 應用程式的使用者詳細資料，為您提供有關使用者的其他資訊，然後您可以使用這些資訊進行進一步分析。
若要匯出日誌，請執行下列步驟：
在 [應用程式控管] 頁面的 [Google] 或 [Salesforce] 索引標籤上，在顯示相關應用程式的列上，在 [授權者] 底下，選取顯示授權應用程式的使用者數目的連結。
在快顯視窗中，選取 匯出。
針對 OAuth 應用程式提出回饋
如果您的組織中發現看似惡意的 OAuth 應用程式，您可以傳送 Defender for Cloud Apps 小組意見反應，讓我們知道。 此功能使您能夠成為我們安全社區的一部分，並增強 OAuth 應用程序風險評分和分析。
在 [應用程式控管] 頁面的 [Google] 或 [Salesforce] 索引標籤上，選取應用程式資料列結尾的三個點，然後選取 [報告應用程式]。
在 [ 報告此應用程式 ] 畫面中，您可以選擇要將應用程式報告為惡意，或報告 Defender for Cloud Apps 感知應用程式方式的其他問題。 例如，您可以使用 [ 不正確的發行者]、[ 不正確的許可權] 或 [其他]。 您提交的資料將用於更新應用程式的風險評分和有關應用程式的其他分析。
後續步驟
如果您遇到任何問題，我們隨時為您提供協助。 若要就您的產品問題取得協助或支援，請提交支援單。