Управление политиками согласия приложения для владельцев групп

Чтобы управлять политиками согласия владельца группы для приложений с помощью Microsoft Graph PowerShell, подключитесь к Microsoft Graph PowerShell и войдите с помощью одной из ролей, перечисленных в разделе предварительных требований. Вам также нужно предоставить согласие на Policy.ReadWrite.PermissionGrant разрешение.

# change the profile to beta by using the `Select-MgProfile` command
Select-MgProfile -Name "beta"

Connect-MgGraph -Scopes "Policy.ReadWrite.PermissionGrant"

Получение текущего значения политики согласия владельца группы с помощью PowerShell

Узнайте, как проверить, авторизован ли параметр согласия владельца группы другими способами.

1. Получение текущего значения для параметра согласия владельца группы

     Get-MgPolicyAuthorizationPolicy | select -ExpandProperty DefaultUserRolePermissions | ft PermissionGrantPoliciesAssigned
   

   Если в PermissionGrantPoliciesAssigned возвращается ManagePermissionGrantPoliciesForOwnedResource, параметр согласия владельца группы мог быть одобрен другими способами.

2. Проверьте, ограничена ли политика для group.

      Get-MgPolicyPermissionGrantPolicy -PermissionGrantPolicyId {"microsoft-all-application-permissions-for-group"} | Select -ExpandProperty AdditionalProperties
   

Если ResourceScopeType == group, то параметр согласия владельца группы был авторизован другими способами. Кроме того, если была назначена microsoft-pre-approval-apps-for-groupполитика согласия приложения для групп, это означает, что функция предварительного утверждения включена для вашего арендатора.

Вывод списка существующих политик согласия владельца группы с помощью PowerShell

Рекомендуется начать знакомство с существующими политиками согласия владельца группы в вашей организации:

1. Список всех политик согласия владельца группы:

   Get-MgPolicyPermissionGrantPolicy | ft Id, DisplayName, Description
   

2. Просмотрите наборы условий, включенных в политику.

   Get-MgPolicyPermissionGrantPolicyInclude -PermissionGrantPolicyId {"microsoft-all-application-permissions-for-group"} | fl
   

3. Просмотрите наборы условий "исключить":

   Get-MgPolicyPermissionGrantPolicyExclude -PermissionGrantPolicyId {"microsoft-all-application-permissions-for-group"} | fl
   

Создание настраиваемой политики согласия владельца группы с помощью PowerShell

Выполните следующие действия, чтобы создать политику согласия владельца настраиваемой группы:

1. Создайте новую политику согласия владельца группы.

   New-MgPolicyPermissionGrantPolicy `
       -Id "my-custom-app-consent-policy-for-group" `
       -DisplayName "My first custom app consent policy for group" `
       -Description "This is a sample custom app consent policy for group." `
       -AdditionalProperties @{includeAllPreApprovedApplications = $false; resourceScopeType = "group"}
   

2. Добавьте наборы условий включения.

   # Include delegated permissions classified "low", for apps from verified publishers
   New-MgPolicyPermissionGrantPolicyInclude `
       -PermissionGrantPolicyId "my-custom-app-consent-policy-for-group" `
       -PermissionType "delegated" `
       -PermissionClassification "low" `
       -ClientApplicationsFromVerifiedPublisherOnly
   

   Повторите этот шаг для того, чтобы добавить дополнительные наборы условий "include".

3. При необходимости добавьте наборы условий "исключить".

   # Retrieve the service principal for the Azure Management API
   $azureApi = Get-MgServicePrincipal -Filter "servicePrincipalNames/any(n:n eq 'https://management.azure.com/')"
   
   # Exclude delegated permissions for the Azure Management API
   New-MgPolicyPermissionGrantPolicyExclude `
       -PermissionGrantPolicyId "my-custom-app-consent-policy-for-group" `
       -PermissionType "delegated" `
       -ResourceApplication $azureApi.AppId
   

   Повторите этот шаг, чтобы добавить дополнительные наборы условий "исключить".

После создания политики согласия приложения для группы можно разрешить владельцам групп предоставить согласие в соответствии с этой политикой.

Удаление настраиваемой политики согласия владельца группы с помощью PowerShell

1. Ниже показано, как удалить настраиваемую политику согласия владельца группы.

   Remove-MgPolicyPermissionGrantPolicy -PermissionGrantPolicyId "my-custom-app-consent-policy-for-group"
   

Чтобы управлять политиками согласия владельца группы, войдите в Graph Explorer с одной из ролей, перечисленных в разделе предварительных требований. Вам также нужно предоставить согласие на Policy.ReadWrite.PermissionGrant разрешение.

Получение текущего значения политики согласия владельца группы с помощью Microsoft Graph

Узнайте, как проверить, авторизован ли параметр согласия владельца группы другими способами.

1. Получение текущего значения политики

   GET /policies/authorizationPolicy
   

   Если ManagePermissionGrantPoliciesForOwnedResource появится, параметр согласия владельца группы может быть авторизован другими способами.

2. Проверьте, ограничена ли политика group

   GET /policies/permissionGrantPolicies/{ microsoft-all-application-permissions-for-group }
   

   Если resourceScopeType == group, то параметр согласия владельца группы был авторизован другими способами. Кроме того, если была назначена microsoft-pre-approval-apps-for-groupполитика согласия приложения для групп, это означает, что функция предварительного утверждения включена для вашего арендатора.

Вывод списка существующих политик согласия владельца группы с помощью Microsoft Graph

Рекомендуется начать знакомство с существующими политиками согласия владельца группы в вашей организации:

1. Список всех политик согласия для приложений:

   GET /policies/permissionGrantPolicies
   

2. Просмотрите наборы условий, включенных в политику.

   GET /policies/permissionGrantPolicies/{ microsoft-all-application-permissions-for-group }/includes
   

3. Просмотрите наборы условий "исключить":

   GET /policies/permissionGrantPolicies/{ microsoft-all-application-permissions-for-group }/excludes
   

Создание настраиваемой политики согласия владельца группы с помощью Microsoft Graph

Выполните следующие действия, чтобы создать политику согласия владельца настраиваемой группы:

1. Создайте новую политику согласия владельца группы.

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies
   
   {
     "id": "my-custom-app-consent-policy-for-group",
     "displayName": "My first custom app consent policy for group",
     "description": "This is a sample custom app consent policy for group",
     "includeAllPreApprovedApplications": false,
     "resourceScopeType": "group"
   }
   

2. Добавьте наборы условий включения.

   Включить делегированные разрешения, классифицированные как "низкие" для приложений от проверенных издателей

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/{ my-custom-app-consent-policy-for-group }/includes
   
   {
     "permissionType": "delegated",
     "permissionClassification": "low",
     "clientApplicationsFromVerifiedPublisherOnly": true
   }
   

   Повторите этот шаг для того, чтобы добавить дополнительные наборы условий "include".

3. При необходимости добавьте наборы условий "исключить". Исключите делегированные разрешения для API управления Azure (appId 00001111-aaaa-2222-bbbb-3333cccc44444)

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/{ my-custom-app-consent-policy-for-group }/excludes
   
   {
     "permissionType": "delegated",
     "resourceApplication": "00001111-aaaa-2222-bbbb-3333cccc4444 "
   }
   

   Повторите этот шаг, чтобы добавить дополнительные наборы условий "исключить".

После создания политики согласия владельца группы вы можете разрешить владельцам групп согласие в соответствии с этой политикой.

Удаление настраиваемой политики согласия владельца группы с помощью Microsoft Graph

1. Ниже показано, как удалить настраиваемую политику согласия владельца группы.

   DELETE https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/ my-custom-policy