アプリへの同意ポリシーを管理する

Microsoft Graph PowerShell を使用してアプリケーションのアプリ同意ポリシーを管理するには、Microsoft Graph PowerShell に接続します。

Connect-MgGraph -Scopes "Policy.ReadWrite.PermissionGrant"

既存のアプリ同意ポリシーを一覧表示する

まず、組織内の既存のアプリ同意ポリシーについて理解しておくことをお勧めします。

1. すべてのアプリの同意ポリシーを一覧表示します。 これには、組織が作成したすべての組み込みポリシーとカスタム ポリシーが表示されます。

   Get-MgPolicyPermissionGrantPolicy | ft Id, DisplayName, Description
   

2. ポリシーの "包含" 条件セットを表示します。

   Get-MgPolicyPermissionGrantPolicyInclude -PermissionGrantPolicyId "microsoft-application-admin" | fl
   

3. "除外" 条件セットを表示します。

   Get-MgPolicyPermissionGrantPolicyExclude -PermissionGrantPolicyId "microsoft-application-admin" | fl
   

PowerShell を使用してカスタム アプリ同意ポリシーを作成する

カスタムのアプリ同意ポリシーを作成するには、次の手順に従います。

1. 新しい空のアプリ同意ポリシーを作成します。

   New-MgPolicyPermissionGrantPolicy `
       -Id "my-custom-policy" `
       -DisplayName "My first custom consent policy" `
       -Description "This is a sample custom app consent policy."
   

2. "包含" 条件セットを追加します。

   # Include delegated permissions classified "low", for apps from verified publishers
   New-MgPolicyPermissionGrantPolicyInclude `
       -PermissionGrantPolicyId "my-custom-policy" `
       -PermissionType "delegated" `
       -PermissionClassification "low" `
       -ClientApplicationsFromVerifiedPublisherOnly
   

   この手順を繰り返して、さらに "包含" 条件セットを追加します。

3. 必要に応じて、"除外" 条件セットを追加します。

   # Retrieve the service principal for the Azure Management API
   $azureApi = Get-MgServicePrincipal -Filter "servicePrincipalNames/any(n:n eq 'https://management.azure.com/')"
   
   # Exclude delegated permissions for the Azure Management API
   New-MgPolicyPermissionGrantPolicyExclude `
       -PermissionGrantPolicyId "my-custom-policy" `
       -PermissionType "delegated" `
       -ResourceApplication $azureApi.AppId
   

   この手順を繰り返して、さらに "除外" 条件セットを追加します。

アプリ同意ポリシーを作成したら、それを Microsoft Entra ID でカスタム役割に割り当てる必要があります。 その後、作成したアプリ同意ポリシーにアタッチされているそのカスタム役割にユーザーを割り当てる必要があります。 アプリ同意ポリシーをカスタム役割に割り当てる方法の詳細については、「カスタム役割に対するアプリ同意のアクセス許可」を参照してください。

PowerShell を使用してカスタム アプリ同意ポリシーを削除する

次のコマンドレットは、カスタムのアプリ同意ポリシーを削除する方法を示しています。

   Remove-MgPolicyPermissionGrantPolicy -PermissionGrantPolicyId "my-custom-policy"

アプリの同意ポリシーを管理するには、前提条件セクションに記載されているいずれかのロールで Graph エクスプローラーにサインインします。

Policy.ReadWrite.PermissionGrant アクセス許可に同意する必要があります。

Microsoft Graph を使用して既存のアプリ同意ポリシーを一覧表示する

まず、組織内の既存のアプリ同意ポリシーについて理解しておくことをお勧めします。

1. すべてのアプリの同意ポリシーを一覧表示します。 これには、組織が作成したすべての組み込みポリシーとカスタム ポリシーが表示されます。

   GET /policies/permissionGrantPolicies?$select=id,displayName,description
   

2. ポリシーの "包含" 条件セットを表示します。

   GET /policies/permissionGrantPolicies/{ microsoft-application-admin }/includes
   

3. "除外" 条件セットを表示します。

   GET /policies/permissionGrantPolicies/{ microsoft-application-admin }/excludes
   

Microsoft Graph を使用してカスタム アプリ同意ポリシーを作成する

カスタムのアプリ同意ポリシーを作成するには、次の手順に従います。

1. 新しい空のアプリ同意ポリシーを作成します。

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies
   Content-Type: application/json
   
   {
     "id": "my-custom-policy",
     "displayName": "My first custom consent policy",
     "description": "This is a sample custom app consent policy"
   }
   

2. "包含" 条件セットを追加します。

   検証済みの発行元からのアプリに対して、"低" に分類されている委任されたアクセス許可を含める

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/{ my-custom-policy }/includes
   Content-Type: application/json
   
   {
     "permissionType": "delegated",
     "PermissionClassification": "low",
     "clientApplicationsFromVerifiedPublisherOnly": true
   }
   

   この手順を繰り返して、さらに "包含" 条件セットを追加します。

3. 必要に応じて、"除外" 条件セットを追加します。 Azure Management API の委任されたアクセス許可を除外する (appId 00001111-aaaa-2222-bbbb-3333cccc4444)

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/my-custom-policy /excludes
   Content-Type: application/json
   
   {
     "permissionType": "delegated",
     "resourceApplication": "00001111-aaaa-2222-bbbb-3333cccc4444 "
   }
   

   この手順を繰り返して、さらに "除外" 条件セットを追加します。

アプリ同意ポリシーを作成したら、それを Microsoft Entra ID でカスタム役割に割り当てる必要があります。 その後、作成したアプリ同意ポリシーにアタッチされているそのカスタム役割にユーザーを割り当てる必要があります。 アプリ同意ポリシーをカスタム役割に割り当てる方法の詳細については、「カスタム役割に対するアプリ同意のアクセス許可」を参照してください。

Microsoft Graph を使用してカスタム アプリ同意ポリシーを削除する

1. カスタムのアプリ同意ポリシーを削除する方法を次に示します。

   DELETE https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/ my-custom-policy