Get-SPOSiteRestrictedAppAccessControl

Modulo:
Microsoft.Online.SharePoint.PowerShell Module

Restituisce il criterio completo di restrizioni delle applicazioni a livello di sito per un sito, inclusi abilitazione, modalità attiva e sia l'elenco Consenti che l'elenco degli indirizzi non consentiti.

Sintassi

Default (Impostazione predefinita) 

Get-SPOSiteRestrictedAppAccessControl
    [-Identity] <String>
    [<CommonParameters>]

Descrizione

Usare il Get-SPOSiteRestrictedAppAccessControl cmdlet per leggere i criteri di restrizione delle applicazioni completi archiviati per un singolo sito.

Restrizioni applicazioni aggiunge un limite di autorizzazione SharePoint per le applicazioni che dispongono già del consenso Microsoft Entra e delle autorizzazioni SharePoint. Non concede mai autorizzazioni e non sostituisce il consenso di Entra. Una richiesta deve superare sia il modello di autorizzazione esistente che le restrizioni dell'applicazione.

I criteri del sito sono costituiti da quattro parti:

  • Abilitato : indica se l'imposizione del sito è attivata. L'imposizione del sito è attivata solo da Enable-SPOSiteRestrictedAppAccessControl. Le modifiche alla modalità e all'elenco sono solo di configurazione e mantengono lo stato di abilitazione corrente.
  • Modalità : la modalità attiva. Quando la modalità è Allow, le applicazioni nell'elenco Consenti superano il controllo Restrizioni applicazioni e tutte le altre applicazioni governate vengono negate dai criteri del sito. Quando la modalità è Deny, le applicazioni nell'elenco degli indirizzi non consentiti vengono negate dai criteri del sito e tutte le altre applicazioni governate superano il controllo Restrizioni applicazioni. Prima di abilitare i criteri del sito, è necessario configurare in modo esplicito una modalità.
  • AllowList - l'elenco permanente utilizzato quando la modalità è Allow.
  • DenyList - la lista permanente utilizzata quando la modalità è Deny.

Entrambe le liste vengono sempre memorizzate e possono essere gestite indipendentemente dalla modalità attiva. Solo l'elenco selezionato dalla modalità attiva partecipa all'applicazione runtime. L'elenco degli inattivi viene mantenuto per le future modifiche della modalità e non ha alcun effetto di runtime. Un elenco di indirizzi consentiti attivi vuoto causa il rifiuto da parte dei criteri del sito di tutte le applicazioni di terze parti e agenti regolate. Un elenco di indirizzi non consentiti attivo vuoto indica che i criteri del sito non ne negano nessuno. Il consenso Microsoft Entra esistente e l'autorizzazione SharePoint continuano ad applicarsi.

AllowList e DenyList vengono restituiti come matrici GUID. Ogni elenco può contenere sia ID applicazione concreta che ID blueprint agente padre, inoltre un ID blueprint si applica all'applicazione blueprint stessa e a ogni app agente corrente o futura creata da tale blueprint. Il cmdlet non richiede di distinguere i due: ogni proprietà unisce le voci dell'applicazione e del progetto tipizzate internamente in un elenco stabile e privo di duplicati di GUID.

Questo cmdlet esegue una lettura non memorizzata nella cache e restituisce sempre i criteri archiviati autorevoli anziché una copia memorizzata nella cache.

L'imposizione del sito è gestita dal commutatore tenant. Mentre l'opzione tenant è disattivata, non viene applicato alcun criterio del sito, anche quando un criterio del sito viene segnalato Enabled come True. Mentre l'opzione tenant è attivata, l'elenco degli indirizzi non consentiti del tenant ha la precedenza e non può essere sostituito da un elenco di siti consentiti. Usare Get-SPOTenantRestrictedAppAccessControl per leggere il parametro tenant e l'elenco degli indirizzi non consentiti del tenant.

L'amministrazione delle restrizioni delle applicazioni del sito è isolata dai cmdlet per utilizzo Get-SPOSite generico e Set-SPOSite dai cmdlet. Le restrizioni dell'applicazione sono completamente separate dalle proprietà del sito, quindi Get-SPOSite non caricano i dati dei criteri del sito e Set-SPOSite non possono essere modificati. Usare i cmdlet dedicati per le restrizioni delle applicazioni elencati nei collegamenti correlati.

Le applicazioni Microsoft di base e di prima parte sono escluse dalla configurazione e dall'applicazione delle restrizioni delle applicazioni e non vengono mai visualizzate in un elenco di siti.

Per le autorizzazioni e le informazioni più aggiornate su Windows PowerShell per SharePoint Online, vedere la documentazione online alla pagina Introduzione a SharePoint Online Management Shell.

Esempio

Esempio 1

Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance

In questo esempio viene restituito il criterio completo di Application Restrictions per il sito finanziario identificato dal relativo URL. L'oggetto restituito include SiteUrl.

Esempio 2

Get-SPOSiteRestrictedAppAccessControl -Identity 8a1e30f6-2f52-4b9e-9d1b-2e9f6c1d40aa

In questo esempio vengono restituiti gli stessi criteri per un sito identificato dal relativo ID. L'oggetto restituito include SiteUrl, quindi il risultato rimane identificabile anche quando l'input è un ID sito.

Esempio 3

$policy = Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance
if ($policy.Mode -eq "Allow") {
    $policy.AllowList
} else {
    $policy.DenyList
}

In questo esempio viene restituito solo l'elenco applicato dalla modalità attiva. L'altro elenco viene comunque memorizzato e conservato, ma non ha alcun effetto di runtime fino a quando non si cambia modalità.

Esempio 4

$tenantPolicy = Get-SPOTenantRestrictedAppAccessControl
$policy = Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance
if ($tenantPolicy.Enabled -and $policy.Enabled -and $policy.Mode -eq "Allow" -and $policy.AllowList.Count -eq 0) {
    Write-Host "Enforcement is on with an empty active allow list, which blocks all governed third-party and agentic apps."
}

In questo esempio viene identificato lo stato in cui il commutatore tenant e i criteri sito sono abilitati, la modalità attiva è Allowe l'elenco Consenti attivo è vuoto. In questo stato, i criteri del sito bloccano tutte le app di terze parti e agenti regolate.

Parametri

-Identity

Applicabile: SharePoint Online

Specifica il sito da leggere. Puoi specificare l'URL del sito o l'ID del sito.

Proprietà dei parametri

Tipo:System.String
Valore predefinito:None
Supporta i caratteri jolly:False
DontShow:False

Set di parametri

(All)
Posizione:0
Obbligatorio:True
Valore dalla pipeline:True
Valore dalla pipeline in base al nome della proprietà:False
Valore dagli argomenti rimanenti:False

CommonParameters

Questo cmdlet supporta i parametri comuni: -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction e -WarningVariable. Per altre informazioni, vedere about_CommonParameters.

Input

System.String

Output

SPORestrictedAppAccessControlSitePolicy

Restituisce un SPORestrictedAppAccessControlSitePolicy oggetto con le proprietà seguenti.

Proprietà Tipo Descrizione
SiteUrl Stringa URL del sito a cui appartengono i criteri. Questa proprietà mantiene i risultati identificabili quando i siti vengono inseriti tramite pipe nel cmdlet o quando l'input è un ID di sito.
Enabled Booleano Indica se l'imposizione del sito è attivata. L'imposizione del sito è gestita anche dal commutatore tenant.
Mode Stringa La modalità attiva, Allow o Deny. Viene applicato solo l'elenco selezionato in questa modalità.
AllowList Guid[] L'elenco di indirizzi consentiti persistenti, restituito come un elenco stabile e privo di duplicati di ID applicazione e ID blueprint agente padre.
DenyList Guid[] L'elenco degli indirizzi non consentiti persistenti, restituito come un elenco stabile e privo di duplicati di ID applicazione e ID blueprint dell'agente padre.

Note

  • Questo cmdlet restituisce lo stato autorevole dei criteri non memorizzati nella cache.
  • Quando i dati dei criteri archiviati non sono corretti, il cmdlet genera un avviso e l'oggetto restituito include IsPolicyDataMalformed = true. L'output sano omette questa proprietà.
  • Entrambi gli elenchi vengono sempre archiviati. Viene applicato solo l'elenco selezionato dalla modalità attiva; L'elenco inattivo viene mantenuto e non ha alcun effetto di runtime.
  • Ogni elenco ha un massimo di 100 voci e le due liste combinate hanno un massimo di 200 voci.
  • Una voce dell'ID blueprint dell'agente principale si applica all'applicazione blueprint stessa e a ogni app agente corrente o futura creata da tale blueprint.
  • Il tenant cambia gate per tutte le imposizioni del sito. Mentre l'opzione tenant è attivata, l'elenco degli indirizzi non consentiti del tenant non può essere sostituito da un elenco di siti consentiti.
  • La configurazione e l'abilitazione sono ortogonali: le modifiche alla modalità e all'elenco non attivano mai l'imposizione. Affinché abbia esito positivo, una modalità deve essere configurata Enable-SPOSiteRestrictedAppAccessControl in modo esplicito.
  • Usare Get-SPOTenantRestrictedAppAccessControl per leggere i criteri a livello di tenant.