Get-SPOSiteRestrictedAppAccessControl

Modul:
Microsoft.Online.SharePoint.PowerShell Module

Gibt die vollständige Richtlinie für Anwendungseinschränkungen auf Websiteebene für eine Website zurück, einschließlich Aktivierung, aktivem Modus sowie Zulassungsliste und Verweigerungsliste.

Syntax

Default (Standard) 

Get-SPOSiteRestrictedAppAccessControl
    [-Identity] <String>
    [<CommonParameters>]

Beschreibung

Verwenden Sie das Get-SPOSiteRestrictedAppAccessControl Cmdlet, um die vollständige Richtlinie für Anwendungseinschränkungen zu lesen, die für eine einzelne Site gespeichert ist.

"Anwendungseinschränkungen" fügt eine SharePoint-Autorisierungsgrenze für Anwendungen hinzu, die bereits über Microsoft Entra-Zustimmung und SharePoint-Berechtigungen verfügen. Sie erteilt niemals Berechtigungen und ersetzt nicht die Zustimmung von Entra. Eine Anforderung muss sowohl das vorhandene Berechtigungsmodell als auch Anwendungseinschränkungen erfüllen.

Eine Websiterichtlinie besteht aus vier Teilen:

  • Aktiviert : Ist die Site-Erzwingung aktiviert? Die Websiteerzwingung kann nur durch aktiviert werden Enable-SPOSiteRestrictedAppAccessControl. Modus- und Listenänderungen sind nur für die Konfiguration gedacht und behalten den aktuellen Aktivierungsstatus bei.
  • Modus – der aktive Modus. Wenn der Modus ist Allow, bestehen Anwendungen in der Zulassungsliste die Überprüfung der Anwendungseinschränkungen, und alle anderen gesteuerten Anwendungen werden von der Websiterichtlinie abgelehnt. Wenn der Modus ist Deny, werden Anwendungen in der Verweigerungsliste von der Standortrichtlinie abgelehnt, und alle anderen gesteuerten Anwendungen bestehen die Prüfung auf Anwendungseinschränkungen. Ein Modus muss explizit konfiguriert werden, bevor die Websiterichtlinie aktiviert werden kann.
  • AllowList – die persistente Liste, die verwendet wird Allow, wenn der Modus ist.
  • DenyList - die persistente Liste, die verwendet wird Deny, wenn der Modus ist.

Beide Listen werden immer gespeichert und können unabhängig davon verwaltet werden, welcher Modus aktiv ist. Nur die vom aktiven Modus ausgewählte Liste nimmt an der Laufzeiterzwingung teil. Die Liste der inaktiven Benutzer bleibt für künftige Modusänderungen erhalten und hat keine Auswirkungen auf die Laufzeit. Eine leere aktive Zulassungsliste führt dazu, dass die Websiterichtlinie alle gesteuerten Anwendungen von Drittanbietern und Agenten ablehnt. Eine leere aktive Verweigerungsliste bedeutet, dass die Websiterichtlinie keine von ihnen ablehnt. Vorhandene Microsoft Entra-Zustimmung und SharePoint-Autorisierung gelten weiterhin.

AllowList und DenyList werden als GUID-Arrays zurückgegeben. Jede Liste kann sowohl konkrete Anwendungs-IDs als auch übergeordnete Agent-Blaupausen-IDs enthalten, und eine Blaupausen-ID gilt für die Blaupausenanwendung selbst und für jede aktuelle oder zukünftige Agenten-App, die aus dieser Blaupause erstellt wurde. Im Cmdlet müssen Sie nicht zwischen den beiden unterscheiden: Jede Eigenschaft führt ihre intern typisierten Anwendungs- und Blaupauseneinträge in einer stabilen, duplikatfreien Liste von GUIDs zusammen.

Dieses Cmdlet führt einen nicht zwischengespeicherten Lesevorgang durch und gibt immer die autorisierend gespeicherte Richtlinie anstelle einer zwischengespeicherten Kopie zurück.

Die Erzwingung der Website wird durch den Mandantenschalter begrenzt. Während der Mandantenwechsel deaktiviert ist, wird keine Standortrichtlinie erzwungen, auch wenn eine Standortrichtlinie als gemeldet Enabled wird True. Während der Mandantenwechsel aktiviert ist, hat die Mandantenverweigerungsliste Vorrang und kann nicht durch eine Websitezulassungsliste außer Kraft gesetzt werden. Wird verwendet Get-SPOTenantRestrictedAppAccessControl , um den Mandantenschalter und die Mandantenverweigerungsliste zu lesen.

Die Verwaltung von Site-Anwendungseinschränkungen ist isoliert von allgemeinen und Get-SPOSiteSet-SPOSite Cmdlets. "Anwendungseinschränkungen" ist vollständig von den Websiteeigenschaften entkoppelt, lädt also Get-SPOSite keine Websiterichtliniendaten und Set-SPOSite kann diese nicht ändern. Verwenden Sie die dedizierten Cmdlets für Anwendungseinschränkungen, die unter "Verwandte Links" aufgeführt sind.

Microsoft-Erstanbieter- und -Hauptanwendungen sind von der Konfiguration und Durchsetzung von Anwendungsbeschränkungen ausgeschlossen und werden nie in einer Websiteliste angezeigt.

Angaben zu Berechtigungen sowie die aktuellsten Informationen zu Windows PowerShell für SharePoint Online finden Sie in der Onlinedokumentation unter Einführung in die SharePoint Online-Verwaltungsshell.

Beispiele

Beispiel 1

Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance

Dieses Beispiel gibt die vollständige Richtlinie für Anwendungseinschränkungen für die Finanzwebsite zurück, die durch ihre URL identifiziert wird. Das zurückgegebene Objekt enthält SiteUrl.

Beispiel 2

Get-SPOSiteRestrictedAppAccessControl -Identity 8a1e30f6-2f52-4b9e-9d1b-2e9f6c1d40aa

Dieses Beispiel gibt dieselbe Richtlinie für eine Website zurück, die durch ihre ID identifiziert wird. Das zurückgegebene Objekt enthält SiteUrl, sodass das Ergebnis identifizierbar bleibt, auch wenn die Eingabe eine Standort-ID ist.

Beispiel 3

$policy = Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance
if ($policy.Mode -eq "Allow") {
    $policy.AllowList
} else {
    $policy.DenyList
}

In diesem Beispiel wird nur die Liste zurückgegeben, die vom aktiven Modus erzwungen wird. Die andere Liste wird weiterhin gespeichert und beibehalten, hat jedoch keine Laufzeitauswirkung, bis Sie den Modus ändern.

Beispiel 4

$tenantPolicy = Get-SPOTenantRestrictedAppAccessControl
$policy = Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance
if ($tenantPolicy.Enabled -and $policy.Enabled -and $policy.Mode -eq "Allow" -and $policy.AllowList.Count -eq 0) {
    Write-Host "Enforcement is on with an empty active allow list, which blocks all governed third-party and agentic apps."
}

In diesem Beispiel wird der Status identifiziert, in dem der Mandantenschalter und die Standortrichtlinie aktiviert sind, der aktive Modus ist Allowund die aktive Zulassungsliste leer ist. In diesem Zustand blockiert die Websiterichtlinie alle gesteuerten Apps von Drittanbietern und Agents.

Parameter

-Identity

Anwendbar: SharePoint Online

Gibt die zu lesende Site an. Sie können entweder die Website-URL oder die Website-ID angeben.

Parametereigenschaften

Typ:System.String
Standardwert:None
Unterstützt Platzhalter:False
Nicht anzeigen:False

Parametersätze

(All)
Position:0
Obligatorisch.:True
Wert aus Pipeline:True
Wert aus Pipeline nach dem Eigenschaftsnamen:False
Wert aus verbleibenden Argumenten:False

CommonParameters

Dieses Cmdlet unterstützt die allgemeinen Parameter: -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction und -WarningVariable. Weitere Informationen finden Sie unter about_CommonParameters.

Eingaben

System.String

Ausgaben

SPORestrictedAppAccessControlSitePolicy

Gibt ein SPORestrictedAppAccessControlSitePolicy Objekt mit den folgenden Eigenschaften zurück.

Eigenschaft Typ Beschreibung
SiteUrl Zeichenfolge Die URL der Website, zu der die Richtlinie gehört. Mit dieser Eigenschaft bleiben Ergebnisse identifizierbar, wenn Websites an das Cmdlet weitergeleitet werden oder wenn die Eingabe eine Website-ID ist.
Enabled Boolean Gibt an, ob die Siteerzwingung aktiviert ist. Die Erzwingung von Websites wird auch durch den Mandantenwechsel gesteuert.
Mode Zeichenfolge Der aktive Modus Allow oder Deny. Es wird nur die in diesem Modus ausgewählte Liste erzwungen.
AllowList Guid[] Die persistente Zulassungsliste, zurückgegeben als eine stabile, duplikatfreie Liste von Anwendungs-IDs und Blaupausen-IDs des übergeordneten Agents.
DenyList Guid[] Die persistente Verweigerungsliste, zurückgegeben als eine stabile, duplikatfreie Liste von Anwendungs-IDs und Blaupausen-IDs des übergeordneten Agents.

Hinweise

  • Dieses Cmdlet gibt den autorisierenden, nicht zwischengespeicherten Richtlinienstatus zurück.
  • Wenn die gespeicherten Richtliniendaten fehlerhaft sind, gibt das Cmdlet eine Warnung aus, und das zurückgegebene Objekt enthält IsPolicyDataMalformed = true. Bei einer fehlerfreien Ausgabe wird diese Eigenschaft ausgelassen.
  • Beide Listen werden immer gespeichert. Es wird nur die vom aktiven Modus ausgewählte Liste erzwungen. Die inaktive Liste wird beibehalten und hat keine Laufzeitauswirkungen.
  • Jede Liste hat ein hartes Maximum von 100 Einträgen, und die beiden Listen zusammen haben ein hartes Maximum von 200 Einträgen.
  • Ein übergeordneter Agent-Blaupausen-ID-Eintrag gilt für die Blaupausenanwendung selbst und für jede aktuelle oder zukünftige Agenten-App, die aus dieser Blaupause erstellt wurde.
  • Der Mandantenschalter führt alle Standorterzwingungsgates. Während der Mandantenwechsel aktiviert ist, kann die Verweigerungsliste des Mandanten nicht durch eine Websitezulassungsliste außer Kraft gesetzt werden.
  • Konfiguration und Aktivierung sind orthogonal: Modus- und Listenänderungen aktivieren nie die Erzwingung. Ein Modus muss explizit konfiguriert werden, bevor Enable-SPOSiteRestrictedAppAccessControl er erfolgreich ist.
  • Wird verwendet Get-SPOTenantRestrictedAppAccessControl , um die Richtlinie auf Mandantenebene zu lesen.