Get-SPOSiteRestrictedAppAccessControl

モジュール:
Microsoft.Online.SharePoint.PowerShell Module

有効化、アクティブ モード、許可リストと拒否リストの両方を含む、サイトの完全なサイト レベルのアプリケーション制限ポリシーを返します。

構文

Default (既定) 

Get-SPOSiteRestrictedAppAccessControl
    [-Identity] <String>
    [<CommonParameters>]

説明

Get-SPOSiteRestrictedAppAccessControl コマンドレットを使用して、単一サイト用に保存されている完全なアプリケーション制限ポリシーを読み取ります。

アプリケーションの制限により、Microsoft Entra の同意と SharePoint のアクセス許可が既に付与されているアプリケーションに対して、SharePoint 承認の境界が追加されます。 アクセス許可は付与されず、Entra の同意に取って代わるものでもありません。 要求は、既存のアクセス許可モデルとアプリケーション制限の両方を通過する必要があります。

サイト ポリシーは、次の 4 つの部分で構成されています。

  • 有効 - サイトの強制が有効になっているかどうか。 サイトの強制は、 Enable-SPOSiteRestrictedAppAccessControlによってのみ有効になります。 モードとリストの変更は構成のみで、現在の有効化状態が保持されます。
  • モード - アクティブ モード。 モードがAllowの場合、許可リスト内のアプリケーションはアプリケーション制限チェックに合格し、他のすべての管理対象アプリケーションはサイト ポリシーによって拒否されます。 モードがDenyの場合、拒否リスト内のアプリケーションはサイト ポリシーによって拒否され、他のすべての管理対象アプリケーションはアプリケーションの制限チェックに合格します。 サイト ポリシーを有効にする前に、モードを明示的に構成する必要があります。
  • AllowList - モードが Allowのときに使用される永続リスト。
  • 拒否リスト - モードが Denyのときに使用される永続リスト。

どちらのリストも常に格納され、アクティブなモードに関係なく管理できます。 アクティブ モードで選択されたリストのみが、実行時の強制に参加します。 非アクティブ リストは、将来のモード変更のために保持され、実行時への影響はありません。 アクティブな許可リストが空の場合、サイト ポリシーはすべての管理対象のサードパーティおよびエージェント アプリケーションを拒否します。 空のアクティブな拒否リストは、サイト ポリシーによってそれらのどれも拒否されていないことを意味します。 既存の Microsoft Entra の同意と SharePoint の承認は引き続き適用されます。

AllowList DenyList は GUID 配列として返されます。 各リストには、具体的なアプリケーション ID と親エージェント ブループリント ID の両方を含めることができ、ブループリント ID はブループリント アプリケーション自体と、そのブループリントから作成される現在または将来のすべてのエージェント アプリケーションに適用されます。 このコマンドレットでは、2 つを区別する必要はありません。各プロパティは、内部的に型指定されたアプリケーションとブループリントのエントリを、1 つの安定した重複のない GUID の一覧にマージします。

このコマンドレットは、キャッシュされていない読み取りを実行し、キャッシュされたコピーではなく、信頼できる保存されたポリシーを常に返します。

サイトの適用は、テナント スイッチによって制限されます。 テナントの切り替えがオフになっている間は、サイトポリシーがTrueとしてEnabledを報告する場合でも、サイトポリシーは適用されません。 テナントの切り替えがオンになっている間は、テナント拒否リストが優先され、サイト許可リストによってオーバーライドすることはできません。 Get-SPOTenantRestrictedAppAccessControl を使用して、テナントの切り替えとテナント拒否リストを読み取ります。

サイト アプリケーションの制限の管理は、汎用の Get-SPOSite および Set-SPOSite コマンドレットから分離されています。 アプリケーションの制限はサイトのプロパティから完全に切り離されているため、 Get-SPOSite はサイト ポリシー データを読み込まず、 Set-SPOSite はこれを変更できません。 関連リンクに記載されている専用のアプリケーション制限コマンドレットを使用します。

Microsoft のファースト パーティおよびコア アプリケーションは、アプリケーションの制限の構成と適用の対象外となり、サイト一覧に表示されません。

SharePoint Online の Windows PowerShell のアクセス許可と最新の情報については、「SharePoint Online 管理シェルの概要」を参照してください。

例

例 1

Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance

この例では、URL で識別されるファイナンス サイトの完全なアプリケーション制限ポリシーを返します。 返されるオブジェクトには SiteUrl が含まれます。

例 2

Get-SPOSiteRestrictedAppAccessControl -Identity 8a1e30f6-2f52-4b9e-9d1b-2e9f6c1d40aa

この例では、ID で識別されるサイトに対して同じポリシーを返します。 返されるオブジェクトには SiteUrl が含まれているため、入力がサイト ID の場合でも結果は識別可能なままです。

例 3

$policy = Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance
if ($policy.Mode -eq "Allow") {
    $policy.AllowList
} else {
    $policy.DenyList
}

この例では、アクティブ モードが適用するリストのみを返します。 もう 1 つのリストは引き続き保存および保持されますが、モードを変更するまで実行時には効果がありません。

例 4

$tenantPolicy = Get-SPOTenantRestrictedAppAccessControl
$policy = Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance
if ($tenantPolicy.Enabled -and $policy.Enabled -and $policy.Mode -eq "Allow" -and $policy.AllowList.Count -eq 0) {
    Write-Host "Enforcement is on with an empty active allow list, which blocks all governed third-party and agentic apps."
}

この例では、テナント スイッチとサイト ポリシーが有効になっていて、アクティブ モードが Allowで、アクティブな許可リストが空になっている状態を識別します。 この状態では、サイト ポリシーによって、管理対象のすべてのサードパーティおよびエージェント アプリがブロックされます。

パラメーター

-Identity

適用対象: SharePoint Online

読み取るサイトを指定します。 サイト URL またはサイト ID のいずれかを指定できます。

パラメーターのプロパティ

型:System.String
規定値:None
ワイルドカードのサポート:False
DontShow:False

パラメーター セット

(All)
配置:0
必須:True
パイプラインからの値:True
プロパティ名別のパイプラインからの値:False
残りの引数からの値:False

CommonParameters

このコマンドレットは、共通パラメーター -Debug、-ErrorAction、-ErrorVariable、-InformationAction、-InformationVariable、-OutBuffer、-OutVariable、-PipelineVariable、-ProgressAction、-Verbose、-WarningAction、-WarningVariable をサポートします。 詳細については、「about_CommonParameters」を参照してください。

入力

System.String

出力

SPORestrictedAppAccessControlSitePolicy

次のプロパティを持つ SPORestrictedAppAccessControlSitePolicy オブジェクトを返します。

プロパティ 型 説明
SiteUrl 文字列 ポリシーが属するサイトの URL。 このプロパティにより、サイトがコマンドレットにパイプされているとき、または入力がサイト ID であるときに結果を識別できます。
Enabled ブール型 サイトの強制が有効になっているかどうかを示します。 サイトの施行もテナント スイッチによって制限されます。
Mode 文字列 アクティブ モード ( Allow または Deny)。 このモードで選択したリストのみが適用されます。
AllowList GUID[] 永続的な許可リスト。アプリケーション ID と親エージェント ブループリント ID の重複のない 1 つの安定したリストとして返されます。
DenyList GUID[] 永続的な拒否リストは、アプリケーション ID と親エージェント ブループリント ID の重複のない 1 つの安定したリストとして返されます。

メモ

  • このコマンドレットは、権限のあるキャッシュされていないポリシー状態を返します。
  • 保存されているポリシー データの形式が正しくない場合、コマンドレットは警告を発し、返されるオブジェクトには IsPolicyDataMalformed = true が含まれます。 正常な出力では、そのプロパティが省略されます。
  • 両方のリストが常に格納されます。 アクティブ モードで選択したリストのみが適用されます。非アクティブ リストは保持され、実行時への影響はありません。
  • 各リストには 100 エントリのハード最大があり、2 つのリストを合わせると 200 エントリのハード最大があります。
  • 親エージェント ブループリント ID エントリは、ブループリント アプリケーション自体と、そのブループリントから作成される現在または将来のすべてのエージェント アプリケーションに適用されます。
  • テナントの切り替えは、すべてのサイトの強制をゲートします。 テナントの切り替えがオンになっている間は、テナント拒否リストをサイト許可リストで上書きすることはできません。
  • 構成と有効化は 2 対行して、モードとリストの変更による強制はオンになりません。 Enable-SPOSiteRestrictedAppAccessControlが成功する前に、モードを明示的に構成する必要があります。
  • Get-SPOTenantRestrictedAppAccessControl を使用して、テナント レベルのポリシーを読み取ります。