Set-SPOSiteRestrictedAppAccessControlMode

モジュール:
Microsoft.Online.SharePoint.PowerShell Module

サイト レベルのアプリケーション制限ポリシーのアクティブ モードを Allow または Deny に設定し、サイトの有効化と両方のリストを保持します。

構文

Default (既定) 

Set-SPOSiteRestrictedAppAccessControlMode
    [-Identity] <String>
    -Mode <String>
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

説明

Set-SPOSiteRestrictedAppAccessControlMode コマンドレットを使用して、サイトに適用するリストを変更します。 このコマンドレットは、アクティブ モードのみを変更します。 サイトの有効化と、許可リストと拒否リストの両方が保持されます。

アプリケーションの制限により、Microsoft Entra の同意と SharePoint のアクセス許可が既に付与されているアプリケーションに対して、SharePoint 承認の境界が追加されます。 アクセス許可は付与されず、Entra の同意に取って代わるものでもありません。 要求は、既存のアクセス許可モデルとアプリケーション制限の両方を通過する必要があります。

アクティブ モードでは、強制するリストが選択されます。

  • 許可 - 許可リストに含まれるアプリケーションは、アプリケーションの制限のチェックに合格し、管理対象の他のすべてのアプリケーションはサイト ポリシーによって拒否されます。 アクティブな許可リストが空の場合、サイト ポリシーはすべての管理対象のサードパーティおよびエージェント アプリケーションを拒否します。
  • 拒否 - 拒否リストのアプリケーションはサイト ポリシーによって拒否され、他のすべての管理対象アプリケーションはアプリケーションの制限チェックに合格します。 空のアクティブな拒否リストは、サイト ポリシーによってそれらのどれも拒否されていないことを意味します。

どちらのリストも常に格納され、アクティブなモードに関係なく管理できます。 アクティブ モードで選択されたリストのみが、実行時の強制に参加します。 非アクティブ リストは、将来のモード変更のために保持され、実行時への影響はありません。 サイト ポリシーを有効にする前に、モードを明示的に構成する必要があります。

モードの切り替えによって、サイト上のすべての管理対象アプリケーションの有効な決定が変更される可能性があるため、コマンドレットは変更を行う前に警告を表示します。 この警告では、現在のモード、ターゲット モード、新しくアクティブな保持リストのサイズ、および新しい既定の決定が示され、両方のリストが保持されることが明確に示されます。 コマンドレットは確認を求めます。 -WhatIf を使用すると、ポリシーを変更せずに同じ影響を表示できます。

構成と有効化は 2 対行的です。モードを変更しても強制が有効になることはありません。 サイトの強制は Enable-SPOSiteRestrictedAppAccessControl によってのみ有効になるので、モードとリストをステージングしてから、サイトを明示的に有効にできます。 バックエンドが拒否する唯一の組み合わせは、モード None で有効になります。

サイトの施行もテナント スイッチによって制限されます。 テナントの切り替えがオンになっている間は、テナント拒否リストが優先され、サイト許可リストによってオーバーライドすることはできません。

オートメーションでは標準 -Confirm:$falseを使用できます。 プロンプトを非表示にしても、検証、承認、監査、またはファースト パーティ保護はバイパスされません。

サイト アプリケーションの制限の管理は、汎用の Get-SPOSite および Set-SPOSite コマンドレットから分離されています。 Get-SPOSite サイト ポリシー データは読み込まれず、 Set-SPOSite は変更できません。 関連リンクに記載されている専用のアプリケーション制限コマンドレットを使用します。

SharePoint Online の Windows PowerShell のアクセス許可と最新の情報については、「SharePoint Online 管理シェルの概要」を参照してください。

例

例 1

Set-SPOSiteRestrictedAppAccessControlMode -Identity https://contoso.sharepoint.com/sites/Finance -Mode Allow

この例では、Finance サイトのアクティブ モードを Allow に設定します。 サイトの許可リストに含まれるアプリケーションは、アプリケーションの制限のチェックに合格し、管理対象の他のすべてのアプリケーションはサイト ポリシーによって拒否されます。 既存の Microsoft Entra の同意と SharePoint の承認は引き続き適用されます。 拒否リストは保持されますが、非アクティブになります。 コマンドレットはモード スイッチ警告を表示し、変更を適用する前に確認を求めます。

例 2

Set-SPOSiteRestrictedAppAccessControlMode -Identity https://contoso.sharepoint.com/sites/Finance -Mode Deny -WhatIf

この例では、現在のモード、ターゲット モード、新しくアクティブな拒否リストのサイズ、新しい既定の決定など、財務サイトを Deny に切り替えた場合の影響を、ポリシーを変更せずに表示します。

例 3

Set-SPOSiteRestrictedAppAccessControlMode -Identity 8a1e30f6-2f52-4b9e-9d1b-2e9f6c1d40aa -Mode Deny -Confirm:$false

この例では、ID によって識別されるサイトを、自動化で使用するために、プロンプトを表示せずに Deny に切り替えます。 プロンプトを非表示にしても、検証、承認、監査、またはファースト パーティ保護はバイパスされません。

例 4

Set-SPOSiteRestrictedAppAccessControlMode -Identity https://contoso.sharepoint.com/sites/Finance -Mode Allow
Enable-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance

この例では、最初にモードをステージングしてから、明示的に強制を有効にします。 モードを変更しても、それ自体で強制が有効になることはありません。

パラメーター

-Confirm

適用対象: SharePoint Online

コマンドレットを実行する前に確認メッセージを表示します。 このコマンドレットは ConfirmImpact.High を使用するため、既定でプロンプトが表示されます。 -Confirm:$false を使用して、オートメーションでプロンプトを非表示にします。

パラメーターのプロパティ

型:System.Management.Automation.SwitchParameter
規定値:None
ワイルドカードのサポート:False
DontShow:False
エイリアス:Cf

パラメーター セット

(All)
配置:Named
必須:False
パイプラインからの値:False
プロパティ名別のパイプラインからの値:False
残りの引数からの値:False

-Identity

適用対象: SharePoint Online

構成するサイトを指定します。 サイト URL またはサイト ID のいずれかを指定できます。

パラメーターのプロパティ

型:System.String
規定値:None
ワイルドカードのサポート:False
DontShow:False

パラメーター セット

(All)
配置:0
必須:True
パイプラインからの値:True
プロパティ名別のパイプラインからの値:False
残りの引数からの値:False

-Mode

適用対象: SharePoint Online

サイト ポリシーのアクティブ モードを指定します。 有効な値は Allow と Deny です。

モードがAllowの場合、許可リスト内のアプリケーションはアプリケーション制限チェックに合格し、他のすべての管理対象アプリケーションはサイト ポリシーによって拒否されます。 モードがDenyの場合、拒否リスト内のアプリケーションはサイト ポリシーによって拒否され、他のすべての管理対象アプリケーションはアプリケーションの制限チェックに合格します。 どちらのリストもどちらの方法でも保持されます。 既存の Microsoft Entra の同意と SharePoint の承認は引き続き適用されます。

パラメーターのプロパティ

型:System.String
規定値:None
指定可能な値:Allow, Deny
ワイルドカードのサポート:False
DontShow:False

パラメーター セット

(All)
配置:Named
必須:True
パイプラインからの値:False
プロパティ名別のパイプラインからの値:False
残りの引数からの値:False

-WhatIf

適用対象: SharePoint Online

コマンドレットが実行されるとどうなるかを示します。 コマンドレットは実行されません。 -WhatIf ポリシーを変更せずに、確認の警告と同じモード スイッチの影響を表示します。

パラメーターのプロパティ

型:System.Management.Automation.SwitchParameter
規定値:None
ワイルドカードのサポート:False
DontShow:False
エイリアス:wi

パラメーター セット

(All)
配置:Named
必須:False
パイプラインからの値:False
プロパティ名別のパイプラインからの値:False
残りの引数からの値:False

CommonParameters

このコマンドレットは、共通パラメーター -Debug、-ErrorAction、-ErrorVariable、-InformationAction、-InformationVariable、-OutBuffer、-OutVariable、-PipelineVariable、-ProgressAction、-Verbose、-WarningAction、-WarningVariable をサポートします。 詳細については、「about_CommonParameters」を参照してください。

入力

System.String

出力

None

メモ

  • モードを変更すると、アクティブ モードのみが変更されます。 サイトの有効化と両方のリストが保持されます。
  • 切り替えの前に、コマンドレットは、現在のモード、ターゲット モード、新しくアクティブな保存リストのサイズ、および新しい既定の決定で警告します。
  • 警告には、両方のリストが保持されている旨が表示され、コマンドレットは確認を求めます。
  • アクティブな許可リストが空の場合、サイト ポリシーはすべての管理対象のサードパーティおよびエージェント アプリケーションを拒否します。 空のアクティブな拒否リストは、サイト ポリシーによってそれらのどれも拒否されていないことを意味します。 既存の Microsoft Entra の同意と SharePoint の承認は引き続き適用されます。
  • 構成と有効化は 対照的です。 サイトの強制は、 Enable-SPOSiteRestrictedAppAccessControlによってのみ有効になります。 バックエンドが拒否する唯一の組み合わせは、モード None で有効になります。
  • テナントの切り替えは、すべてのサイトの強制をゲートします。 テナントの切り替えがオンになっている間は、テナント拒否リストをサイト許可リストで上書きすることはできません。
  • Get-SPOSiteRestrictedAppAccessControl を使用して、結果のモードと両方のリストを確認します。