Konfigurowanie sposobu, w jaki użytkownicy wyrażają zgodę na aplikacje

  • Artykuł

W tym artykule dowiesz się, jak skonfigurować sposób, w jaki użytkownicy wyrażają zgodę na aplikacje i jak wyłączyć wszystkie przyszłe operacje zgody użytkownika na aplikacje.

Aby aplikacja mogła uzyskać dostęp do danych organizacji, użytkownik musi udzielić aplikacji odpowiednich uprawnień. Różne uprawnienia umożliwiają uzyskiwanie dostępu na różnych poziomach. Domyślnie wszyscy użytkownicy mogą wyrażać zgodę na aplikacje w przypadku uprawnień, które nie wymagają zgody administratora. Na przykład domyślnie użytkownik może wyrazić zgodę na zezwolenie aplikacji na dostęp do skrzynki pocztowej, ale nie może wyrazić zgody na dostęp aplikacji do odczytu i zapisu we wszystkich plikach w organizacji.

Aby zmniejszyć ryzyko złośliwych aplikacji próbujących skłonić użytkowników do udzielenia im dostępu do danych organizacji, zalecamy zezwolenie na zgodę użytkownika tylko dla aplikacji opublikowanych przez zweryfikowanego wydawcę.

Wymagania wstępne

Aby skonfigurować zgodę użytkownika, potrzebne są następujące elementy:

  • Konto użytkownika. Jeśli jeszcze go nie masz, możesz bezpłatnie utworzyć konto.
  • Rola globalnego Administracja istratora.

Napiwek

Kroki opisane w tym artykule mogą się nieznacznie różnić w zależności od portalu, od którego zaczynasz.

Aby skonfigurować ustawienia zgody użytkownika za pośrednictwem centrum administracyjnego firmy Microsoft Entra:

  1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra jako administrator globalny Administracja istrator.

  2. Przejdź do pozycji Identity>Applications Dla aplikacji>>dla przedsiębiorstw Zgoda i uprawnienia>Ustawienia zgody użytkownika.

  3. W obszarze Zgoda użytkownika dla aplikacji wybierz ustawienie zgody, które chcesz skonfigurować dla wszystkich użytkowników.

  4. Wybierz pozycję Zapisz, aby zapisać swoje ustawienia.

Screenshot of the 'User consent settings' pane.

Aby wybrać, które zasady zgody aplikacji określają zgodę użytkownika dla aplikacji, możesz użyć modułu Microsoft Graph PowerShell . Polecenia cmdlet używane tutaj znajdują się w module Microsoft.Graph.Identity.SignIns .

Połączenie do programu Microsoft Graph PowerShell

Połączenie do programu Microsoft Graph PowerShell przy użyciu wymaganych uprawnień najniższych uprawnień. Aby odczytać bieżące ustawienia zgody użytkownika, użyj opcji Policy.Read.All. Aby odczytywać i zmieniać ustawienia zgody użytkownika, użyj pozycji Policy.ReadWrite.Authorization. Musisz zalogować się jako administrator globalny Administracja istrator.

Connect-MgGraph -Scopes "Policy.ReadWrite.Authorization"

Aby wyłączyć zgodę użytkownika, upewnij się, że zasady zgody (PermissionGrantPoliciesAssigned) zawierają inne bieżące ManagePermissionGrantsForOwnedResource.* zasady, jeśli istnieją podczas aktualizowania kolekcji. Dzięki temu można zachować bieżącą konfigurację ustawień zgody użytkownika i innych ustawień zgody na zasoby.

# only exclude user consent policy
$body = @{
    "permissionGrantPolicyIdsAssignedToDefaultUserRole" = @(
        "managePermissionGrantsForOwnedResource.{other-current-policies}" 
    )
}
Update-MgPolicyAuthorizationPolicy -AuthorizationPolicyId authorizationPolicy -BodyParameter $body

Aby zezwolić na zgodę użytkownika, wybierz zasady zgody aplikacji, które powinny zarządzać autoryzacją użytkowników w celu udzielenia zgody na aplikacje. Upewnij się, że zasady zgody () zawierają inne bieżące ManagePermissionGrantsForOwnedResource.* zasady,PermissionGrantPoliciesAssigned jeśli istnieją podczas aktualizowania kolekcji. Dzięki temu można zachować bieżącą konfigurację ustawień zgody użytkownika i innych ustawień zgody na zasoby.

$body = @{
    "permissionGrantPolicyIdsAssignedToDefaultUserRole" = @(
        "managePermissionGrantsForSelf.{consent-policy-id}",
        "managePermissionGrantsForOwnedResource.{other-current-policies}"
    )
}
Update-MgPolicyAuthorizationPolicy -AuthorizationPolicyId authorizationPolicy -BodyParameter $body

Zastąp {consent-policy-id} element identyfikatorem zasad, które chcesz zastosować. Możesz wybrać niestandardowe zasady zgody aplikacji utworzone lub wybrać następujące wbudowane zasady:

ID opis
microsoft-user-default-low Zezwalaj na zgodę użytkownika dla aplikacji zweryfikowanych wydawców dla wybranych uprawnień
Zezwalaj na ograniczoną zgodę użytkownika tylko dla aplikacji ze zweryfikowanych wydawców i aplikacji zarejestrowanych w dzierżawie oraz tylko dla uprawnień sklasyfikowanych jako niskie skutki. (Pamiętaj, aby sklasyfikować uprawnienia , aby wybrać uprawnienia, które użytkownicy mogą wyrazić zgodę).
microsoft-user-default-legacy Zezwalaj na zgodę użytkownika dla aplikacji
Ta opcja umożliwia wszystkim użytkownikom wyrażanie zgody na wszelkie uprawnienia, które nie wymagają zgody administratora dla żadnej aplikacji

Aby na przykład włączyć zgodę użytkownika podlegają wbudowanym zasadom microsoft-user-default-low, uruchom następujące polecenia:

$body = @{
    "permissionGrantPolicyIdsAssignedToDefaultUserRole" = @(
        "managePermissionGrantsForSelf.managePermissionGrantsForSelf.microsoft-user-default-low",
        "managePermissionGrantsForOwnedResource.{other-current-policies}"
    )
}

Użyj Eksploratora programu Graph, aby wybrać, które zasady zgody aplikacji określają zgodę użytkownika dla aplikacji. Musisz zalogować się jako administrator globalny Administracja istrator.

Aby wyłączyć zgodę użytkownika, upewnij się, że zasady zgody (PermissionGrantPoliciesAssigned) zawierają inne bieżące ManagePermissionGrantsForOwnedResource.* zasady, jeśli istnieją podczas aktualizowania kolekcji. Dzięki temu można zachować bieżącą konfigurację ustawień zgody użytkownika i innych ustawień zgody na zasoby.

PATCH https://graph.microsoft.com/v1.0/policies/authorizationPolicy
{
   "defaultUserRolePermissions": {
       "permissionGrantPoliciesAssigned": [
           "managePermissionGrantsForOwnedResource.{other-current-policies}"
        ]
    }
}

Aby zezwolić na zgodę użytkownika, wybierz zasady zgody aplikacji, które powinny zarządzać autoryzacją użytkowników w celu udzielenia zgody na aplikacje. Upewnij się, że zasady zgody () zawierają inne bieżące ManagePermissionGrantsForOwnedResource.* zasady,PermissionGrantPoliciesAssigned jeśli istnieją podczas aktualizowania kolekcji. Dzięki temu można zachować bieżącą konfigurację ustawień zgody użytkownika i innych ustawień zgody na zasoby.

PATCH https://graph.microsoft.com/v1.0/policies/authorizationPolicy

{
    "defaultUserRolePermissions": {
        "managePermissionGrantsForSelf.{consent-policy-id}",
        "managePermissionGrantsForOwnedResource.{other-current-policies}"
   }
}

Zastąp {consent-policy-id} element identyfikatorem zasad, które chcesz zastosować. Możesz wybrać niestandardowe zasady zgody aplikacji utworzone lub wybrać następujące wbudowane zasady:

ID opis
microsoft-user-default-low Zezwalaj na zgodę użytkownika dla aplikacji zweryfikowanych wydawców dla wybranych uprawnień
Zezwalaj na ograniczoną zgodę użytkownika tylko dla aplikacji ze zweryfikowanych wydawców i aplikacji zarejestrowanych w dzierżawie oraz tylko dla uprawnień sklasyfikowanych jako niskie skutki. (Pamiętaj, aby sklasyfikować uprawnienia , aby wybrać uprawnienia, które użytkownicy mogą wyrazić zgodę).
microsoft-user-default-legacy Zezwalaj na zgodę użytkownika dla aplikacji
Ta opcja umożliwia wszystkim użytkownikom wyrażanie zgody na wszelkie uprawnienia, które nie wymagają zgody administratora dla żadnej aplikacji

Aby na przykład włączyć zgodę użytkownika podlega wbudowanym zasadom microsoft-user-default-low, użyj następującego polecenia PATCH:

PATCH https://graph.microsoft.com/v1.0/policies/authorizationPolicy

{
    "defaultUserRolePermissions": {
        "permissionGrantPoliciesAssigned": [
            "managePermissionGrantsForSelf.microsoft-user-default-low",
            "managePermissionGrantsForOwnedResource.{other-current-policies}"
        ]
    }
}

Napiwek

Aby umożliwić użytkownikom żądanie przeglądu i zatwierdzenia aplikacji przez administratora, do którego użytkownik nie może wyrazić zgody, włącz przepływ pracy zgody administratora. Na przykład można to zrobić, gdy zgoda użytkownika została wyłączona lub gdy aplikacja żąda uprawnień, które użytkownik nie może udzielić.

Następne kroki