Get-SPOSiteRestrictedAppAccessControl

Módulo:
Microsoft.Online.SharePoint.PowerShell Module

Retorna a política completa de Restrições de Aplicativos no nível do site para um site, incluindo habilitação, modo ativo e as listas de permissões e negações.

Sintaxe

Default (Default) 

Get-SPOSiteRestrictedAppAccessControl
    [-Identity] <String>
    [<CommonParameters>]

Description

Use o Get-SPOSiteRestrictedAppAccessControl cmdlet para ler a política completa de Restrições de Aplicativos armazenada para um único site.

As Restrições de Aplicativo adicionam um limite de autorização do SharePoint para aplicativos que já têm permissões do SharePoint e consentimento do Microsoft Entra. Ele nunca concede permissões e não substitui o consentimento do Entra. Uma solicitação deve passar pelo modelo de permissão existente e pelas Restrições de Aplicativo.

Uma política de site tem quatro partes:

  • Habilitado - se a imposição do site está ativada. A imposição do site é ativada apenas por Enable-SPOSiteRestrictedAppAccessControl. As alterações de modo e lista são somente de configuração e preservam o estado de ativação atual.
  • Mode - o modo ativo. Quando o modo é Allow, os aplicativos na lista de permissões passam na marca de Restrições de Aplicativos e todos os outros aplicativos controlados são negados pela política do site. Quando o modo é Deny, os aplicativos na lista de negações são negados pela política do site e todos os outros aplicativos controlados passam na marca de Restrições de Aplicativo. Um modo deve ser configurado explicitamente antes que a política do site possa ser habilitada.
  • AllowList - a lista persistente usada quando o modo é Allow.
  • DenyList - a lista persistente usada quando o modo é Deny.

Ambas as listas são sempre armazenadas e podem ser gerenciadas, independentemente de qual modo está ativo. Somente a lista selecionada pelo modo ativo participa da imposição de tempo de execução. A lista inativa é preservada para futuras alterações de modo e não tem efeito de runtime. Uma lista de permissões ativa vazia faz com que a política do site negue todos os aplicativos controlados de terceiros e agenciados. Uma lista de negações ativa vazia significa que a política do site não nega nenhuma delas. O consentimento existente do Microsoft Entra e a autorização do SharePoint ainda se aplicam.

AllowList e DenyList são retornados como matrizes GUID. Cada lista pode conter IDs de aplicativo concretas e IDs de blueprint de agente pai, e uma ID de blueprint se aplica ao próprio aplicativo de blueprint e a cada aplicativo de agente atual ou futuro criado a partir desse blueprint. O cmdlet não exige que você faça distinção entre os dois: cada propriedade mescla suas entradas de aplicativo e blueprint tipadas internamente em uma lista estável e sem duplicatas de GUIDs.

Esse cmdlet executa uma leitura sem cache e sempre retorna a política autoritativa armazenada em vez de uma cópia em cache.

A imposição do site é controlada pelo comutador de locatário. Enquanto a opção de locatário estiver desativada, nenhuma política de site será imposta, mesmo quando uma política de site for relatada Enabled como True. Enquanto a opção de locatário estiver ativada, a lista de negação de locatário tem precedência e não pode ser substituída por uma lista de permissões de site. Use Get-SPOTenantRestrictedAppAccessControl para ler a opção de locatário e a lista de negação de locatário.

A administração de Restrições de Aplicativos do Site é isolada dos cmdlets e Set-SPOSite de uso Get-SPOSite geral. As Restrições de Aplicativo são totalmente desacopladas das propriedades do site, portanto Get-SPOSite , não carregam dados da política do site e Set-SPOSite não podem alterá-los. Use os cmdlets de Restrições de Aplicativos dedicados listados em Links Relacionados.

Os aplicativos principais e próprios da Microsoft são excluídos da configuração e aplicação de Restrições de Aplicativos e nunca aparecem em uma lista de sites.

Para obter permissões e as informações mais recentes sobre o Windows PowerShell do SharePoint Online, consulte a documentação on-line em Introdução ao Shell de gerenciamento do SharePoint Online..

Exemplos

Exemplo 1

Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance

Este exemplo retorna a política completa de Restrições de Aplicativo para o site de Finanças identificado por sua URL. O objeto retornado inclui SiteUrl.

Exemplo 2

Get-SPOSiteRestrictedAppAccessControl -Identity 8a1e30f6-2f52-4b9e-9d1b-2e9f6c1d40aa

Este exemplo retorna a mesma política para um site identificado por sua ID. O objeto retornado inclui SiteUrl, portanto, o resultado permanece identificável mesmo quando a entrada é uma ID do site.

Exemplo 3

$policy = Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance
if ($policy.Mode -eq "Allow") {
    $policy.AllowList
} else {
    $policy.DenyList
}

Este exemplo retorna apenas a lista que o modo ativo impõe. A outra lista ainda é armazenada e preservada, mas não tem efeito de runtime até que você altere o modo.

Exemplo 4

$tenantPolicy = Get-SPOTenantRestrictedAppAccessControl
$policy = Get-SPOSiteRestrictedAppAccessControl -Identity https://contoso.sharepoint.com/sites/Finance
if ($tenantPolicy.Enabled -and $policy.Enabled -and $policy.Mode -eq "Allow" -and $policy.AllowList.Count -eq 0) {
    Write-Host "Enforcement is on with an empty active allow list, which blocks all governed third-party and agentic apps."
}

Este exemplo identifica o estado em que a opção de locatário e a política de site estão habilitadas, o modo ativo é Allowe a lista de permissões ativa está vazia. Nesse estado, a política do site bloqueia todos os aplicativos controlados de terceiros e agentes.

Parâmetros

-Identity

Aplicável: SharePoint Online

Especifica o site a ser lido. Você pode especificar a URL do site ou a ID do site.

Propriedades do parâmetro

Tipo:System.String
Valor padrão:None
Dá suporte a curingas:False
DontShow:False

Conjuntos de parâmetros

(All)
Cargo:0
Obrigatório:True
Valor do pipeline:True
Valor do pipeline pelo nome da propriedade:False
Valor dos argumentos restantes:False

CommonParameters

Este cmdlet dá suporte aos parâmetros comuns: -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction e -WarningVariable. Para obter mais informações, confira about_CommonParameters.

Entradas

System.String

Saídas

SPORestrictedAppAccessControlSitePolicy

Retorna um SPORestrictedAppAccessControlSitePolicy objeto com as propriedades a seguir.

Propriedade Tipo Descrição
SiteUrl Cadeia de caracteres A URL do site ao qual a política pertence. Essa propriedade mantém os resultados identificáveis quando os sites são canalizados para o cmdlet ou quando a entrada é uma ID de site.
Enabled Booliano Indica se a imposição do site está ativada. A imposição do site também é controlada pelo comutador de locatário.
Mode Cadeia de caracteres O modo ativo, Allow ou Deny. Somente a lista selecionada por esse modo é imposta.
AllowList GUID A lista de permissões persistente retornou como uma lista estável e sem duplicatas de IDs de aplicativo e IDs de blueprint de agente pai.
DenyList GUID A lista de negações persistentes, retornada como uma lista estável e sem duplicatas de IDs de aplicativo e IDs de blueprint de agente pai.

Observações

  • Esse cmdlet retorna o estado da política autoritativa e não armazenada em cache.
  • Quando os dados de política armazenados são malformados, o cmdlet emite um aviso e o objeto retornado inclui IsPolicyDataMalformed = true. A saída íntegra omite essa propriedade.
  • Ambas as listas são sempre armazenadas. Somente a lista selecionada pelo modo ativo é imposta; A lista inativa é preservada e não tem efeito de runtime.
  • Cada lista tem um máximo de 100 entradas, e as duas listas combinadas têm um máximo de 200 entradas.
  • Uma entrada de ID de blueprint de agente pai se aplica ao próprio aplicativo de blueprint e a cada aplicativo de agente atual ou futuro criado a partir desse blueprint.
  • A opção de locatário bloqueia toda a imposição do site. Enquanto a opção de locatário estiver ativada, a lista de negação de locatário não pode ser substituída por uma lista de permissões de site.
  • A configuração e a habilitação são ortogonais: as alterações de modo e lista nunca ativam a imposição. Um modo deve ser configurado explicitamente antes Enable-SPOSiteRestrictedAppAccessControl de ser bem-sucedido.
  • Use Get-SPOTenantRestrictedAppAccessControl para ler a política no nível do locatário.