Get-SPOSiteRestrictedAppAccessControl

Module:
Microsoft.Online.SharePoint.PowerShell Module

Renvoie la stratégie complète des restrictions d’application au niveau du site pour un site, y compris l’activation, le mode actif et les listes verte et interdite.

Syntaxe

Default (Par défaut) 

Get-SPOSiteRestrictedAppAccessControl
    [-Identity] <String>
    [<CommonParameters>]

Description

Utilisez l’applet Get-SPOSiteRestrictedAppAccessControl de commande pour lire la stratégie complète de restrictions d’application stockée pour un seul site.

Les restrictions d’application ajoutent une limite d’autorisation SharePoint pour les applications qui ont déjà le consentement de Microsoft Entra et des autorisations SharePoint. Il n’accorde jamais d’autorisations et ne remplace pas le consentement d’Entra. Une demande doit passer à la fois le modèle d’autorisation existant et les restrictions d’application.

Une stratégie de site comporte quatre parties :

  • Activé : si l’application du site est activée. L’application du site est activée uniquement par Enable-SPOSiteRestrictedAppAccessControl. Les modifications de mode et de liste sont uniquement liées à la configuration et conservent l’état d’activation actuel.
  • Mode : le mode actif. Lorsque le mode est Allow, les applications de la liste verte réussissent le case activée Restrictions d’application et toutes les autres applications gouvernées sont refusées par la stratégie de site. Lorsque le mode est Deny, les applications de la liste d’exclusion sont refusées par la stratégie de site et toutes les autres applications gouvernées réussissent la case activée Restrictions d’application. Un mode doit être explicitement configuré avant que la stratégie de site puisse être activée.
  • Liste verte : liste persistante utilisée lorsque le mode est Allow.
  • DenyList : liste persistante utilisée lorsque le mode est Deny.

Les deux listes sont toujours stockées et peuvent être gérées quel que soit le mode actif. Seule la liste sélectionnée par le mode actif participe à la mise en œuvre au moment de l’exécution. La liste des inactifs est conservée pour les modifications de mode ultérieures et n’a aucun effet d’exécution. Une liste verte active vide entraîne le refus de toutes les applications tierces et agentiques gouvernées par la stratégie du site. Une liste d’exclusion active vide signifie que la stratégie de site n’en refuse aucune. Le consentement Microsoft Microsoft Entra et l’autorisation SharePoint existants s’appliquent toujours.

AllowList et DenyList sont retournées sous forme de tableaux GUID. Chaque liste peut contenir à la fois des ID d’application concrets et des ID de blueprint d’agent parent. Un ID de blueprint s’applique à l’application blueprint elle-même et à chaque application agent actuelle ou future créée à partir de ce blueprint. L’applet de commande ne vous oblige pas à faire la distinction entre les deux : chaque propriété fusionne ses entrées d’application et de blueprint typées en interne en une liste de GUID stable et sans doublon.

Cette applet de commande effectue une lecture non mise en cache et renvoie toujours la stratégie stockée faisant autorité plutôt qu’une copie mise en cache.

L’application du site est contrôlée par le commutateur de locataire. Lorsque le commutateur de locataire est désactivé, aucune stratégie de site n’est appliquée, même lorsqu’une stratégie de site indique Enabled .True Lorsque le commutateur de locataire est activé, la liste d’exclusion du client prévaut et ne peut pas être remplacée par une liste verte de site. Permet Get-SPOTenantRestrictedAppAccessControl de lire le commutateur de locataire et la liste de refus de client.

L’administration des restrictions d’application de site est isolée de l’usage Get-SPOSite général et Set-SPOSite des applets de commande. Les restrictions d’application sont entièrement découplées des propriétés du site, Get-SPOSite elles ne chargent donc pas les données de stratégie du site et Set-SPOSite ne peuvent pas les modifier. Utilisez les applets de commande dédiées aux restrictions d’application répertoriées dans les liens associés.

Les applications internes et principales de Microsoft sont exclues de la configuration et de l’application des restrictions d’application et n’apparaissent jamais dans une liste de sites.

Pour les autorisations et informations les plus récentes sur Windows PowerShell pour SharePoint Online, consultez la documentation en ligne sur Présentation de SharePoint Online Management Shell.

Exemples

Exemple 1

Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance

Cet exemple retourne la stratégie de restrictions d’application complète pour le site Finance identifié par son URL. L’objet renvoyé comprend SiteUrl.

Exemple 2

Get-SPOSiteRestrictedAppAccessControl -Identity 8a1e30f6-2f52-4b9e-9d1b-2e9f6c1d40aa

Cet exemple retourne la même stratégie pour un site identifié par son ID. L’objet renvoyé inclut SiteUrl, de sorte que le résultat reste identifiable même lorsque l’entrée est un ID de site.

Exemple 3

$policy = Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance
if ($policy.Mode -eq "Allow") {
    $policy.AllowList
} else {
    $policy.DenyList
}

Cet exemple renvoie uniquement la liste que le mode actif applique. L’autre liste est toujours stockée et conservée, mais elle n’a aucun effet d’exécution tant que vous n’avez pas changé de mode.

Exemple 4

$tenantPolicy = Get-SPOTenantRestrictedAppAccessControl
$policy = Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance
if ($tenantPolicy.Enabled -and $policy.Enabled -and $policy.Mode -eq "Allow" -and $policy.AllowList.Count -eq 0) {
    Write-Host "Enforcement is on with an empty active allow list, which blocks all governed third-party and agentic apps."
}

Cet exemple identifie l’état où le commutateur client et la stratégie de site sont activés, le mode actif est Allowet la liste verte active est vide. Dans cet état, la stratégie de site bloque toutes les applications tierces et agentiques gouvernées.

Paramètres

-Identity

Applicable : SharePoint Online

Spécifie le site à lire. Vous pouvez spécifier l’URL ou l’ID du site.

Propriétés du paramètre

Type:System.String
Valeur par défaut:None
Prend en charge les caractères génériques:False
DontShow:False

Jeux de paramètres

(All)
Position:0
Obligatoire:True
Valeur du pipeline:True
Valeur du pipeline par nom de propriété:False
Valeur des arguments restants:False

CommonParameters

Cette applet de commande prend en charge les paramètres communs : -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction et -WarningVariable. Pour plus d’informations, consultez about_CommonParameters.

Entrées

System.String

Sorties

SPORestrictedAppAccessControlSitePolicy

Renvoie un SPORestrictedAppAccessControlSitePolicy objet avec les propriétés suivantes.

Propriété Type Description
SiteUrl String URL du site auquel la stratégie appartient. Cette propriété permet d’identifier les résultats lorsque les sites sont redirigés vers l’applet de commande ou lorsque l’entrée est un ID de site.
Enabled Boolean Indique si l’application du site est activée. L’application du site est également contrôlée par le commutateur de locataire.
Mode String Le mode actif, Allow ou Deny. Seule la liste sélectionnée par ce mode est appliquée.
AllowList Guid[] Liste verte persistante, retournée sous la forme d’une liste stable et sans doublon d’ID d’application et d’ID de blueprint d’agent parent.
DenyList Guid[] Liste de refus persistante, retournée sous la forme d’une liste stable et sans doublon d’ID d’application et d’ID de blueprint d’agent parent.

Notes

  • Cette applet de commande retourne l’état de stratégie faisant autorité et non mis en cache.
  • Lorsque les données de stratégie stockées sont incorrectes, l’applet de commande émet un avertissement et l’objet renvoyé inclut IsPolicyDataMalformed = true. La sortie saine omet cette propriété.
  • Les deux listes sont toujours stockées. Seule la liste sélectionnée par le mode actif est appliquée ; La liste des inactifs est conservée et n’a aucun effet d’exécution.
  • Chaque liste a un maximum absolu de 100 entrées, et les deux listes combinées ont un maximum strict de 200 entrées.
  • Une entrée d’ID de blueprint d’agent parent s’applique à l’application blueprint elle-même et à toutes les applications d’agent actuelles ou futures créées à partir de ce blueprint.
  • Le client bascule vers toutes les applications du site. Lorsque le commutateur de locataire est activé, la liste de refus du client ne peut pas être remplacée par une liste verte de site.
  • La configuration et l’activation sont orthogonales : les modifications de mode et de liste ne sont jamais activées. Un mode doit être explicitement configuré pour réussir Enable-SPOSiteRestrictedAppAccessControl .
  • Permet Get-SPOTenantRestrictedAppAccessControl de lire la stratégie au niveau du locataire.