Отключение входа пользователей для приложения

  • Статья

При настройке или управлении приложением могут возникнуть ситуации, когда вы не хотите выдавать маркеры для приложения. Кроме того, может потребоваться заблокировать приложение, к которому вы не хотите, чтобы сотрудники пытались получить доступ. Чтобы заблокировать доступ пользователей к приложению, можно отключить вход пользователя в приложение, что предотвращает выдачу всех маркеров для этого приложения.

В этой статье описано, как запретить пользователям входить в приложение в идентификаторе Microsoft Entra с помощью Центра администрирования Microsoft Entra и PowerShell. Если вы ищете, как заблокировать доступ конкретных пользователей к приложению, используйте назначение пользователей или групп.

Необходимые компоненты

Чтобы отключить вход пользователя, вам потребуется:

  • Учетная запись пользователя Microsoft Entra. Если ее нет, можно создать учетную запись бесплатно.
  • Одна из следующих ролей: Cloud Application Администратор istrator, Application Администратор istrator или владелец субъекта-службы.

Отключение входа пользователей с помощью Центра администрирования Microsoft Entra

Совет

Действия, описанные в этой статье, могут немного отличаться на портале, с который вы начинаете работу.

  1. Войдите в Центр администрирования Microsoft Entra как минимум облачные приложения Администратор istrator.
  2. Перейдите к приложениям>Identity>Application Enterprise Для всех приложений.>
  3. Найдите приложение, для которого нужно отключить вход пользователя, и выберите его.
  4. Выберите Свойства.
  5. Задайте для параметра Включен ли вход для пользователей? значение Нет.
  6. Выберите Сохранить.

Отключение входа пользователей с помощью Azure AD PowerShell

Возможно, вы знаете AppId приложения, которое не отображается в списке корпоративных приложений. Например, если удалить приложение или субъект-службу еще не создан, так как корпорация Майкрософт предварительно выполняет его проверку подлинности. Вы можете вручную создать субъект-службу для приложения, а затем отключить его с помощью следующего командлета Azure AD PowerShell.

Убедитесь, что вы установили модуль Azure AD PowerShell (используйте команду Install-Module -Name AzureAD). Если вам будет предложено установить модуль NuGet или новый модуль Azure AD PowerShell версии 2, введите Y и нажмите клавишу ВВОД. Необходимо войти по крайней мере в облачное приложение Администратор istrator.

# Connect to Azure AD PowerShell
Connect-AzureAD -Scopes

# The AppId of the app to be disabled
$appId = "{AppId}"

# Check if a service principal already exists for the app
$servicePrincipal = Get-AzureADServicePrincipal -Filter "appId eq '$appId'"
if ($servicePrincipal) {
    # Service principal exists already, disable it
    Set-AzureADServicePrincipal -ObjectId $servicePrincipal.ObjectId -AccountEnabled $false
} else {
    # Service principal does not yet exist, create it and disable it at the same time
    $servicePrincipal = New-AzureADServicePrincipal -AppId $appId -AccountEnabled $false
}

Отключение входа пользователей с помощью Microsoft Graph PowerShell

Возможно, вы знаете AppId приложения, которое не отображается в списке корпоративных приложений. Например, если удалить приложение или субъект-службу еще не создан из-за приложения, так как корпорация Майкрософт предварительно выполняет его проверку подлинности. Вы можете вручную создать субъект-службу для приложения, а затем отключить его с помощью следующего командлета Microsoft Graph PowerShell.

Убедитесь, что вы устанавливаете модуль Microsoft Graph (используйте команду Install-Module Microsoft.Graph). Необходимо войти по крайней мере в облачное приложение Администратор istrator.

# Connect to Microsoft Graph PowerShell
Connect-MgGraph -Scopes "Application.ReadWrite.All"

# The AppId of the app to be disabled  
$appId = "{AppId}"  

# Check if a service principal already exists for the app 
$servicePrincipal = Get-MgServicePrincipal -Filter "appId eq '$appId'"  

# If Service principal exists already, disable it , else, create it and disable it at the same time 
if ($servicePrincipal) { Update-MgServicePrincipal -ServicePrincipalId $servicePrincipal.Id -AccountEnabled:$false }  

else {  $servicePrincipal = New-MgServicePrincipal -AppId $appId –AccountEnabled:$false }

Отключение входа пользователей с помощью API Microsoft Graph

Возможно, вы знаете AppId приложения, которое не отображается в списке корпоративных приложений. Например, если удалить приложение или субъект-службу еще не создан из-за приложения, так как корпорация Майкрософт предварительно выполняет его проверку подлинности. Вы можете вручную создать субъект-службу для приложения, а затем отключить его с помощью следующего вызова Microsoft Graph.

Чтобы отключить вход в приложение, войдите в Graph Обозреватель как минимум облачные приложения Администратор istrator.

Необходимо предоставить согласие на Application.ReadWrite.All разрешение.

Выполните следующий запрос, чтобы отключить вход пользователя в приложение.

PATCH https://graph.microsoft.com/v1.0/servicePrincipals/00001111-aaaa-2222-bbbb-3333cccc4444

Content-type: application/json

{
    "accountEnabled": false
}

Следующие шаги