グループ所有者のアプリ同意ポリシーを管理する

Microsoft Graph PowerShell を使用してアプリケーションのグループ所有者の同意ポリシーを管理するには、Microsoft Graph PowerShell に接続し、「前提条件」セクションに記載されているロールのいずれかでサインインします。 Policy.ReadWrite.PermissionGrant アクセス許可に同意する必要もあります。

# change the profile to beta by using the `Select-MgProfile` command
Select-MgProfile -Name "beta"

Connect-MgGraph -Scopes "Policy.ReadWrite.PermissionGrant"

PowerShell を使用して、グループ所有者の同意ポリシーの現在の値を取得する

グループ所有者の同意設定が他の方法で承認されているかどうかを確認する方法について説明します。

1. グループ所有者の同意設定の現在の値を取得する

     Get-MgPolicyAuthorizationPolicy | select -ExpandProperty DefaultUserRolePermissions | ft PermissionGrantPoliciesAssigned
   

   ManagePermissionGrantPoliciesForOwnedResource が PermissionGrantPoliciesAssigned で返された場合、グループ所有者の同意設定が他の方法で承認されている可能性があります。

2. ポリシーのスコープが group に設定されているかどうかを確認します。

      Get-MgPolicyPermissionGrantPolicy -PermissionGrantPolicyId {"microsoft-all-application-permissions-for-group"} | Select -ExpandProperty AdditionalProperties
   

ResourceScopeType == group の場合、グループ所有者の同意設定は他の方法で承認されています。 さらに、グループのアプリ同意ポリシーに microsoft-pre-approval-apps-for-group が割り当てられている場合は、テナントに対して事前適用機能が有効になっていることを意味します。

PowerShell を使用して、既存のグループ所有者の同意ポリシーを一覧表示する

まず、組織内の既存のグループ所有者の同意ポリシーについて理解しておくことをお勧めします。

1. グループ所有者の同意ポリシーを一覧表示する

   Get-MgPolicyPermissionGrantPolicy | ft Id, DisplayName, Description
   

2. ポリシーの "包含" 条件セットを表示します。

   Get-MgPolicyPermissionGrantPolicyInclude -PermissionGrantPolicyId {"microsoft-all-application-permissions-for-group"} | fl
   

3. "除外" 条件セットを表示します。

   Get-MgPolicyPermissionGrantPolicyExclude -PermissionGrantPolicyId {"microsoft-all-application-permissions-for-group"} | fl
   

PowerShell を使用して、カスタム グループ所有者の同意ポリシーを作成する

カスタムのグループ所有者の同意ポリシーを作成するには、次の手順に従います。

1. 新しい空のグループ所有者の同意ポリシーを作成します。

   New-MgPolicyPermissionGrantPolicy `
       -Id "my-custom-app-consent-policy-for-group" `
       -DisplayName "My first custom app consent policy for group" `
       -Description "This is a sample custom app consent policy for group." `
       -AdditionalProperties @{includeAllPreApprovedApplications = $false; resourceScopeType = "group"}
   

2. "包含" 条件セットを追加します。

   # Include delegated permissions classified "low", for apps from verified publishers
   New-MgPolicyPermissionGrantPolicyInclude `
       -PermissionGrantPolicyId "my-custom-app-consent-policy-for-group" `
       -PermissionType "delegated" `
       -PermissionClassification "low" `
       -ClientApplicationsFromVerifiedPublisherOnly
   

   この手順を繰り返して、さらに "包含" 条件セットを追加します。

3. 必要に応じて、"除外" 条件セットを追加します。

   # Retrieve the service principal for the Azure Management API
   $azureApi = Get-MgServicePrincipal -Filter "servicePrincipalNames/any(n:n eq 'https://management.azure.com/')"
   
   # Exclude delegated permissions for the Azure Management API
   New-MgPolicyPermissionGrantPolicyExclude `
       -PermissionGrantPolicyId "my-custom-app-consent-policy-for-group" `
       -PermissionType "delegated" `
       -ResourceApplication $azureApi.AppId
   

   この手順を繰り返して、さらに "除外" 条件セットを追加します。

グループのアプリ同意ポリシーが作成されたら、このポリシーに従って、グループ所有者の同意を許可することができます。

PowerShell を使用して、カスタム グループ所有者の同意ポリシーを削除する

1. カスタムのグループ所有者の同意ポリシーを削除する方法を次に示します。

   Remove-MgPolicyPermissionGrantPolicy -PermissionGrantPolicyId "my-custom-app-consent-policy-for-group"
   

グループ所有者の同意ポリシーを管理するには、前提条件セクションに記載されているいずれかのロールで Graph エクスプローラーにサインインします。 Policy.ReadWrite.PermissionGrant アクセス許可に同意する必要もあります。

Microsoft Graph を使用して、グループ所有者の同意ポリシーの現在の値を取得する

グループ所有者の同意設定が他の方法で承認されているかどうかを確認する方法について説明します。

1. 現在のポリシー値を取得する

   GET /policies/authorizationPolicy
   

   ManagePermissionGrantPoliciesForOwnedResource が表示されたら、グループ所有者の同意設定が他の方法で承認されている可能性があります。

2. ポリシーのスコープが group に設定されているかどうかを確認する

   GET /policies/permissionGrantPolicies/{ microsoft-all-application-permissions-for-group }
   

   resourceScopeType == group の場合、グループ所有者の同意設定は他の方法で承認されています。 さらに、グループのアプリ同意ポリシーに microsoft-pre-approval-apps-for-group が割り当てられている場合は、テナントに対して事前適用機能が有効になっていることを意味します。

Microsoft Graph を使用して、既存のグループ所有者の同意ポリシーを一覧表示する

まず、組織内の既存のグループ所有者の同意ポリシーについて理解しておくことをお勧めします。

1. すべてのアプリ同意ポリシーを一覧表示します。

   GET /policies/permissionGrantPolicies
   

2. ポリシーの "包含" 条件セットを表示します。

   GET /policies/permissionGrantPolicies/{ microsoft-all-application-permissions-for-group }/includes
   

3. "除外" 条件セットを表示します。

   GET /policies/permissionGrantPolicies/{ microsoft-all-application-permissions-for-group }/excludes
   

Microsoft Graph を使用して、カスタム グループ所有者の同意ポリシーを作成する

カスタムのグループ所有者の同意ポリシーを作成するには、次の手順に従います。

1. 新しい空のグループ所有者の同意ポリシーを作成します。

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies
   
   {
     "id": "my-custom-app-consent-policy-for-group",
     "displayName": "My first custom app consent policy for group",
     "description": "This is a sample custom app consent policy for group",
     "includeAllPreApprovedApplications": false,
     "resourceScopeType": "group"
   }
   

2. "包含" 条件セットを追加します。

   検証済みの発行元からのアプリに対して、"低" に分類されている委任されたアクセス許可を含める

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/{ my-custom-app-consent-policy-for-group }/includes
   
   {
     "permissionType": "delegated",
     "permissionClassification": "low",
     "clientApplicationsFromVerifiedPublisherOnly": true
   }
   

   この手順を繰り返して、さらに "包含" 条件セットを追加します。

3. 必要に応じて、"除外" 条件セットを追加します。 Azure Management API の委任されたアクセス許可を除外する (appId 00001111-aaaa-2222-bbbb-3333cccc4444)

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/{ my-custom-app-consent-policy-for-group }/excludes
   
   {
     "permissionType": "delegated",
     "resourceApplication": "00001111-aaaa-2222-bbbb-3333cccc4444 "
   }
   

   この手順を繰り返して、さらに "除外" 条件セットを追加します。

グループ所有者の同意ポリシーが作成されたら、このポリシーに従って、グループ所有者の同意を許可することができます。

Microsoft Graph を使用して、カスタム グループ所有者の同意ポリシーを削除する

1. カスタムのグループ所有者の同意ポリシーを削除する方法を次に示します。

   DELETE https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/ my-custom-policy