Get-SPOTenantRestrictedAppAccessControl

Modul:
Microsoft.Online.SharePoint.PowerShell Module

Gibt die Richtlinie für Anwendungseinschränkungen auf Mandantenebene zurück, einschließlich des Mandanten-Erzwingungsschalters und der mandantenweiten Verweigerungsliste mit eingeschränkten Anwendungs-IDs.

Syntax

Default (Standard) 

Get-SPOTenantRestrictedAppAccessControl

Beschreibung

Verwenden Sie das Get-SPOTenantRestrictedAppAccessControl Cmdlet, um die vollständige Richtlinie für Anwendungseinschränkungen des Mandanten für Ihre organization zu lesen.

"Anwendungseinschränkungen" fügt eine SharePoint-Autorisierungsgrenze für Anwendungen hinzu, die bereits über Microsoft Entra-Zustimmung und SharePoint-Berechtigungen verfügen. Sie erteilt niemals Berechtigungen und ersetzt nicht die Zustimmung von Entra. Eine Anforderung muss sowohl das vorhandene Berechtigungsmodell als auch Anwendungseinschränkungen erfüllen.

Die Mandantenrichtlinie besteht aus zwei Teilen:

  • Aktiviert – der Master-Erzwingungsschalter für Anwendungseinschränkungen. Wenn dieser Schalter deaktiviert ist, werden die Verweigerungsliste des Mandanten und alle Richtlinien auf Websiteebene nicht erzwungen. Die gespeicherte Mandanten- und Standortkonfiguration wird beibehalten. Wenn der Switch wieder aktiviert wird, setzen der Mandant die Verweigerungsliste und die Standortrichtlinien, deren Flag auf Standortebene Enabled ist True , die Erzwingung mit derselben Konfiguration fort.
  • RestrictedAppIds : die mandantenweite Verweigerungsliste. Wenn der Schalter aktiviert ist, werden Anwendungen in dieser Liste abgelehnt, und die Liste kann nicht durch eine Zulassungsliste auf Websiteebene außer Kraft gesetzt werden.

Die Verweigerungsliste des Mandanten kann sowohl konkrete Anwendungs-IDs als auch Blaupausen-IDs des übergeordneten Agenten enthalten. Eine Blueprint-ID gilt für die Blueprint-Anwendung selbst und für jede aktuelle oder zukünftige Agent-App, die aus dieser Blaupause erstellt wurde. Im Cmdlet müssen Sie nicht zwischen den beiden unterscheiden: RestrictedAppIds Führt die intern eingegebenen Einträge in einer stabilen, duplikatfreien Guid[]Tabelle zusammen.

Dieses Cmdlet gibt den autorisierenden, nicht zwischengespeicherten Richtlinienstatus zurück.

Die Verwaltung von Mandantenanwendungseinschränkungen ist isoliert von allgemeinen Anwendungen Get-SPOTenant und Set-SPOTenant Cmdlets. Anwendungseinschränkungen werden nicht als Tenant Eigenschaft verfügbar gemacht, geben Get-SPOTenant also die Richtlinie nicht zurück und Set-SPOTenant können sie nicht ändern. Verwenden Sie die dedizierten Cmdlets für Anwendungseinschränkungen, die unter "Verwandte Links" aufgeführt sind.

Microsoft-Erstanbieter- und -Kernanwendungen sind von der Konfiguration und Durchsetzung von Anwendungsbeschränkungen ausgeschlossen und werden nie in der Verweigerungsliste des Mandanten angezeigt.

Angaben zu Berechtigungen sowie die aktuellsten Informationen zu Windows PowerShell für SharePoint Online finden Sie in der Onlinedokumentation unter Einführung in die SharePoint Online-Verwaltungsshell.

Beispiele

Beispiel 1

Get-SPOTenantRestrictedAppAccessControl

Dieses Beispiel gibt die vollständige Richtlinie für Anwendungseinschränkungen des Mandanten zurück und zeigt, ob die Erzwingung aktiviert ist und welche Anwendungs-IDs sich in der Verweigerungsliste des Mandanten befinden.

Beispiel 2

(Get-SPOTenantRestrictedAppAccessControl).RestrictedAppIds

In diesem Beispiel werden nur die eingeschränkten Anwendungs-IDs aus der Verweigerungsliste des Mandanten zurückgegeben.

Beispiel 3

$policy = Get-SPOTenantRestrictedAppAccessControl
if (-not $policy.Enabled) {
    Write-Host "Application Restrictions enforcement is off. Site policies aren't enforced."
}

In diesem Beispiel wird die Mandantenrichtlinie in einer Variablen gespeichert und der Master-Switch überprüft. Da der Mandanten-Switch die gesamte Erzwingung auf Standortebene begleitet, bedeutet ein deaktivierter Switch, dass keine Standortrichtlinie erzwungen wird, einschließlich Richtlinien, deren Kennzeichnung auf Standortebene Enabled ist True.

Beispiel 4

$policy = Get-SPOTenantRestrictedAppAccessControl
if ($policy.Enabled -and $policy.RestrictedAppIds.Count -eq 0) {
    Write-Host "Enforcement is on, but the tenant deny list is empty and denies nothing."
}

In diesem Beispiel wird ein aktivierter Mandantenschalter mit einer leeren Mandantenverweigerungsliste identifiziert. Dieser Status ist gültig. Die Verweigerungsliste des Mandanten verweigert nichts, bis eine Anwendungs-ID hinzugefügt wird. Websiterichtlinien, deren Kennzeichnung auf Standortebene Enabled ist True , können weiterhin durchgesetzt werden.

Eingaben

None

Ausgaben

SPORestrictedAppAccessControlTenantPolicy

Gibt ein SPORestrictedAppAccessControlTenantPolicy Objekt mit den folgenden Eigenschaften zurück.

Eigenschaft Typ Beschreibung
Enabled Boolean Gibt an, ob der Erzwingungsschalter für Anwendungseinschränkungen des Mandanten aktiviert ist. Wenn False, werden die Verweigerungsliste des Mandanten und alle Richtlinien auf Standortebene nicht erzwungen.
RestrictedAppIds Guid[] Die mandantenweite Verweigerungsliste, zurückgegeben als eine stabile, duplikatfreie Liste von Anwendungs-IDs und Blaupausen-IDs des übergeordneten Agents.

Hinweise

  • Der Mandanten-Switch ist der Master-Erzwingungsswitch für Anwendungseinschränkungen. Durch das Deaktivieren wird die Erzwingung für alle Websiterichtlinien beendet, deren Flag auf Websiteebene Enabled ist True, nicht nur für die Verweigerungsliste des Mandanten.
  • Während der Mandantenwechsel aktiviert ist, hat die Mandantenverweigerungsliste Vorrang vor der Websiterichtlinie und kann nicht durch eine Websitezulassungsliste außer Kraft gesetzt werden.
  • Der Mandantenbereich ist verweigerungsfähig und verfügt über eine einzelne Liste, sodass es keinen Modus und keine Listentypauswahl im Mandantenbereich gibt.
  • Die Verweigerungsliste des Mandanten hat ein hartes Maximum von 100 Anwendungs-IDs.
  • Konfiguration und Aktivierung sind unabhängig: Durch das Ändern der Verweigerungsliste wird der Mandantenwechsel niemals aktiviert oder deaktiviert.
  • Wird verwendet Get-SPOSiteRestrictedAppAccessControl , um die Richtlinie für eine einzelne Website zu lesen.