アプリ同意ポリシーを管理する

Microsoft Graph PowerShell を使用してアプリケーションのアプリ同意ポリシーを管理するには、Microsoft Graph PowerShell に接続します。

Connect-MgGraph -Scopes "Policy.ReadWrite.PermissionGrant"

既存のアプリ同意ポリシーを一覧表示する

まず、組織内の既存のアプリ同意ポリシーについて理解しておくことをお勧めします。

1. すべてのアプリ同意ポリシーを一覧表示します。

   Get-MgPolicyPermissionGrantPolicy | ft Id, DisplayName, Description
   

2. ポリシーの "包含" 条件セットを表示します。

   Get-MgPolicyPermissionGrantPolicyInclude -PermissionGrantPolicyId "microsoft-application-admin" | fl
   

3. "除外" 条件セットを表示します。

   Get-MgPolicyPermissionGrantPolicyExclude -PermissionGrantPolicyId "microsoft-application-admin" | fl
   

PowerShell を使ってカスタム アプリの同意ポリシーを作成する

カスタムのアプリ同意ポリシーを作成するには、次の手順に従います。

1. 新しい空のアプリ同意ポリシーを作成します。

   New-MgPolicyPermissionGrantPolicy `
       -Id "my-custom-policy" `
       -DisplayName "My first custom consent policy" `
       -Description "This is a sample custom app consent policy."
   

2. "包含" 条件セットを追加します。

   # Include delegated permissions classified "low", for apps from verified publishers
   New-MgPolicyPermissionGrantPolicyInclude `
       -PermissionGrantPolicyId "my-custom-policy" `
       -PermissionType "delegated" `
       -PermissionClassification "low" `
       -ClientApplicationsFromVerifiedPublisherOnly
   

   この手順を繰り返して、さらに "包含" 条件セットを追加します。

3. 必要に応じて、"除外" 条件セットを追加します。

   # Retrieve the service principal for the Azure Management API
   $azureApi = Get-MgServicePrincipal -Filter "servicePrincipalNames/any(n:n eq 'https://management.azure.com/')"
   
   # Exclude delegated permissions for the Azure Management API
   New-MgPolicyPermissionGrantPolicyExclude `
       -PermissionGrantPolicyId "my-custom-policy" `
       -PermissionType "delegated" `
       -ResourceApplication $azureApi.AppId
   

   この手順を繰り返して、さらに "除外" 条件セットを追加します。

アプリの同意ポリシーを作成したら、それを Microsoft Entra ID のカスタム役割に割り当てる必要があります。 その後、作成したアプリの同意ポリシーにアタッチされているそのカスタム役割にユーザーを割り当てる必要があります。 アプリの同意ポリシーをカスタム役割に割り当てる方法の詳細については、カスタム役割に対するアプリの同意のアクセス許可に関する記事を参照してください。

PowerShell を使ってカスタム アプリの同意ポリシーを削除する

次のコマンドレットは、カスタムのアプリ同意ポリシーを削除する方法を示しています。

   Remove-MgPolicyPermissionGrantPolicy -PermissionGrantPolicyId "my-custom-policy"

アプリの同意ポリシーを管理するには、前提条件セクションに記載されているいずれかのロールで Graph エクスプローラーにサインインします。

Policy.ReadWrite.PermissionGrant アクセス許可に同意する必要があります。

Microsoft Graph を使って既存のアプリの同意ポリシーを一覧表示する

まず、組織内の既存のアプリ同意ポリシーについて理解しておくことをお勧めします。

1. すべてのアプリ同意ポリシーを一覧表示します。

   GET /policies/permissionGrantPolicies?$select=id,displayName,description
   

2. ポリシーの "包含" 条件セットを表示します。

   GET /policies/permissionGrantPolicies/{ microsoft-application-admin }/includes
   

3. "除外" 条件セットを表示します。

   GET /policies/permissionGrantPolicies/{ microsoft-application-admin }/excludes
   

Microsoft Graph を使ってカスタム アプリの同意ポリシーを作成する

カスタムのアプリ同意ポリシーを作成するには、次の手順に従います。

1. 新しい空のアプリ同意ポリシーを作成します。

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies
   Content-Type: application/json
   
   {
     "id": "my-custom-policy",
     "displayName": "My first custom consent policy",
     "description": "This is a sample custom app consent policy"
   }
   

2. "包含" 条件セットを追加します。

   検証済みの発行元からのアプリに対して、"低" に分類されている委任されたアクセス許可を含める

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/{ my-custom-policy }/includes
   Content-Type: application/json
   
   {
     "permissionType": "delegated",
     "PermissionClassification": "low",
     "clientApplicationsFromVerifiedPublisherOnly": true
   }
   

   この手順を繰り返して、さらに "包含" 条件セットを追加します。

3. 必要に応じて、"除外" 条件セットを追加します。 Azure Management API の委任されたアクセス許可を除外する (appId 00001111-aaaa-2222-bbbb-3333cccc4444)

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/my-custom-policy /excludes
   Content-Type: application/json
   
   {
     "permissionType": "delegated",
     "resourceApplication": "00001111-aaaa-2222-bbbb-3333cccc4444 "
   }
   

   この手順を繰り返して、さらに "除外" 条件セットを追加します。

アプリの同意ポリシーを作成したら、それを Microsoft Entra ID のカスタム役割に割り当てる必要があります。 その後、作成したアプリの同意ポリシーにアタッチされているそのカスタム役割にユーザーを割り当てる必要があります。 アプリの同意ポリシーをカスタム役割に割り当てる方法の詳細については、カスタム役割に対するアプリの同意のアクセス許可に関する記事を参照してください。

Microsoft Graph を使ってカスタム アプリの同意ポリシーを削除する

1. カスタムのアプリ同意ポリシーを削除する方法を次に示します。

   DELETE https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/ my-custom-policy