Get-SPOTenantRestrictedAppAccessControl

モジュール:
Microsoft.Online.SharePoint.PowerShell Module

テナント レベルのアプリケーション制限ポリシー (テナント強制スイッチや制限されたアプリケーション ID のテナント全体の拒否リストなど) を返します。

構文

Default (既定) 

Get-SPOTenantRestrictedAppAccessControl

説明

Get-SPOTenantRestrictedAppAccessControl コマンドレットを使用して、organizationの完全なテナント アプリケーション制限ポリシーを読み取ります。

アプリケーションの制限により、Microsoft Entra の同意と SharePoint のアクセス許可が既に付与されているアプリケーションに対して、SharePoint 承認の境界が追加されます。 アクセス許可は付与されず、Entra の同意に取って代わるものでもありません。 要求は、既存のアクセス許可モデルとアプリケーション制限の両方を通過する必要があります。

テナント ポリシーには、次の 2 つの部分があります。

  • 有効 - アプリケーション制限のマスター強制スイッチ。 このスイッチがオフの場合、テナント拒否リストが表示され、すべてのサイトレベルのポリシーは適用されません。 保存されているテナントとサイトの構成は保持されます。 スイッチが再びオンになると、サイト レベルの Enabled フラグが True テナント拒否リストとサイト ポリシーは、同じ構成で適用を再開します。
  • RestrictedAppIds - テナント全体の拒否リスト。 スイッチがオンの場合、このリストのアプリケーションは拒否され、サイトレベルの許可リストによってリストをオーバーライドすることはできません。

テナント拒否リストには、具体的なアプリケーション ID と親エージェント ブループリント ID の両方を含めることができます。 ブループリント ID は、ブループリント アプリケーション自体と、そのブループリントから作成される現在または将来のすべてのエージェント アプリに適用されます。 このコマンドレットでは、2 つを区別する必要はありません。 RestrictedAppIds 内部で入力されたエントリを、重複のない 1 つの安定した Guid[]に結合します。

このコマンドレットは、権限のあるキャッシュされていないポリシー状態を返します。

テナント アプリケーションの制限の管理は、汎用の Get-SPOTenant および Set-SPOTenant コマンドレットから分離されています。 Application Restrictions は Tenant プロパティとして公開されないため、 Get-SPOTenant はポリシーを返さず、 Set-SPOTenant を変更できません。 関連リンクに記載されている専用のアプリケーション制限コマンドレットを使用します。

Microsoft のファースト パーティおよびコア アプリケーションは、アプリケーションの制限の構成と適用から除外され、テナント拒否リストには表示されません。

SharePoint Online の Windows PowerShell のアクセス許可と最新の情報については、「SharePoint Online 管理シェルの概要」を参照してください。

例

例 1

Get-SPOTenantRestrictedAppAccessControl

この例では、強制が有効になっているかどうかと、テナント拒否リストにあるアプリケーション ID を示す、完全なテナントのアプリケーション制限ポリシーを返します。

例 2

(Get-SPOTenantRestrictedAppAccessControl).RestrictedAppIds

この例では、テナント拒否リストから制限されたアプリケーション ID のみを返します。

例 3

$policy = Get-SPOTenantRestrictedAppAccessControl
if (-not $policy.Enabled) {
    Write-Host "Application Restrictions enforcement is off. Site policies aren't enforced."
}

この例では、テナント ポリシーを変数に格納し、マスター スイッチを確認します。 テナント スイッチはすべてのサイト レベルの強制をゲートするため、無効なスイッチは、サイト レベルの Enabled フラグが True のポリシーを含め、サイト ポリシーが適用されないことを意味します。

例 4

$policy = Get-SPOTenantRestrictedAppAccessControl
if ($policy.Enabled -and $policy.RestrictedAppIds.Count -eq 0) {
    Write-Host "Enforcement is on, but the tenant deny list is empty and denies nothing."
}

この例では、空のテナント拒否リストを持つ有効なテナント スイッチを識別します。 この状態は有効です。 テナント拒否リストは、アプリケーション ID が追加されるまで何も拒否しません。サイトレベルの Enabled フラグが True であるサイトポリシーは引き続き適用できます。

入力

None

出力

SPORestrictedAppAccessControlTenantPolicy

次のプロパティを持つ SPORestrictedAppAccessControlTenantPolicy オブジェクトを返します。

プロパティ 型 説明
Enabled ブール型 テナントのアプリケーション制限の適用スイッチがオンになっているかどうかを示します。 Falseすると、テナント拒否リストとすべてのサイトレベル ポリシーは適用されません。
RestrictedAppIds GUID[] テナント全体の拒否リスト。アプリケーション ID と親エージェント ブループリント ID の 1 つの安定した重複のないリストとして返されます。

メモ

  • テナント スイッチは、アプリケーション制限のマスター強制スイッチです。 オフにすると、テナント拒否リストだけでなく、サイト レベルの Enabled フラグが Trueのすべてのサイト ポリシーに対する適用が停止します。
  • テナントの切り替えがオンになっている間は、テナント拒否リストはサイト ポリシーよりも優先され、サイト許可リストによって上書きすることはできません。
  • テナント スコープは拒否のみで、1 つのリストがあるため、テナント スコープではモードとリストの種類を選択できます。
  • テナント拒否リストのアプリケーション ID のハード最大数は 100 個です。
  • 構成と有効化は独立しています。拒否リストを変更しても、テナントの切り替えがオンまたはオフになることはありません。
  • Get-SPOSiteRestrictedAppAccessControl を使用して、個々のサイトのポリシーを読み取ります。