앱 동의 정책 관리

Microsoft Graph PowerShell을 사용하여 애플리케이션에 대한 앱 동의 정책을 관리하려면 Microsoft Graph PowerShell에 연결합니다.

Connect-MgGraph -Scopes "Policy.ReadWrite.PermissionGrant"

기존 앱 동의 정책 목록

조직의 기존 앱 동의 정책을 숙지하는 것이 좋습니다.

1. 모든 앱 동의 정책을 나열합니다. 조직에서 만든 모든 기본 제공 정책 및 사용자 지정 정책을 보여 줍니다.

   Get-MgPolicyPermissionGrantPolicy | ft Id, DisplayName, Description
   

2. 정책의 "포함" 조건 집합을 봅니다.

   Get-MgPolicyPermissionGrantPolicyInclude -PermissionGrantPolicyId "microsoft-application-admin" | fl
   

3. "제외" 조건 집합 보기:

   Get-MgPolicyPermissionGrantPolicyExclude -PermissionGrantPolicyId "microsoft-application-admin" | fl
   

PowerShell을 사용하여 사용자 지정 앱 동의 정책 만들기

사용자 지정 앱 동의 정책을 만들려면 다음 단계를 따르세요.

1. 비어 있는 새 앱 동의 정책을 만듭니다.

   New-MgPolicyPermissionGrantPolicy `
       -Id "my-custom-policy" `
       -DisplayName "My first custom consent policy" `
       -Description "This is a sample custom app consent policy."
   

2. "포함" 조건 집합을 추가합니다.

   # Include delegated permissions classified "low", for apps from verified publishers
   New-MgPolicyPermissionGrantPolicyInclude `
       -PermissionGrantPolicyId "my-custom-policy" `
       -PermissionType "delegated" `
       -PermissionClassification "low" `
       -ClientApplicationsFromVerifiedPublisherOnly
   

   "포함" 조건 집합을 더 추가하려면 이 단계를 반복합니다.

3. 선택적으로 "제외" 조건 집합을 추가합니다.

   # Retrieve the service principal for the Azure Management API
   $azureApi = Get-MgServicePrincipal -Filter "servicePrincipalNames/any(n:n eq 'https://management.azure.com/')"
   
   # Exclude delegated permissions for the Azure Management API
   New-MgPolicyPermissionGrantPolicyExclude `
       -PermissionGrantPolicyId "my-custom-policy" `
       -PermissionType "delegated" `
       -ResourceApplication $azureApi.AppId
   

   "제외" 조건 집합을 더 추가하려면 이 단계를 반복합니다.

앱 동의 정책을 만든 후 Microsoft Entra ID의 사용자 지정 역할에 할당해야 합니다. 그런 다음 만든 앱 동의 정책에 연결된 해당 사용자 지정 역할에 사용자를 할당해야 합니다. 앱 동의 정책을 사용자 지정 역할에 할당하는 방법에 대한 자세한 내용은 사용자 지정 역할에 대한 앱 동의 권한을 참조하세요.

PowerShell을 사용하여 사용자 지정 앱 동의 정책 삭제

다음 cmdlet은 사용자 지정 앱 동의 정책을 삭제하는 방법을 보여 줍니다.

   Remove-MgPolicyPermissionGrantPolicy -PermissionGrantPolicyId "my-custom-policy"

앱 동의 정책을 관리하려면 필수 조건 섹션에 나열된 역할 중 하나로 Graph 탐색기에 로그인합니다.

Policy.ReadWrite.PermissionGrant 권한에 동의해야 합니다.

Microsoft Graph를 사용하여 기존 앱 동의 정책 나열

조직의 기존 앱 동의 정책을 숙지하는 것이 좋습니다.

1. 모든 앱 동의 정책을 나열합니다. 조직에서 만든 모든 기본 제공 정책 및 사용자 지정 정책을 보여 줍니다.

   GET /policies/permissionGrantPolicies?$select=id,displayName,description
   

2. 정책의 "포함" 조건 집합을 봅니다.

   GET /policies/permissionGrantPolicies/{ microsoft-application-admin }/includes
   

3. "제외" 조건 집합 보기:

   GET /policies/permissionGrantPolicies/{ microsoft-application-admin }/excludes
   

Microsoft Graph를 사용하여 사용자 지정 앱 동의 정책 만들기

사용자 지정 앱 동의 정책을 만들려면 다음 단계를 따르세요.

1. 비어 있는 새 앱 동의 정책을 만듭니다.

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies
   Content-Type: application/json
   
   {
     "id": "my-custom-policy",
     "displayName": "My first custom consent policy",
     "description": "This is a sample custom app consent policy"
   }
   

2. "포함" 조건 집합을 추가합니다.

   확인된 게시자의 앱에 대해 "낮음"으로 분류된 위임된 권한을 포함합니다.

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/{ my-custom-policy }/includes
   Content-Type: application/json
   
   {
     "permissionType": "delegated",
     "PermissionClassification": "low",
     "clientApplicationsFromVerifiedPublisherOnly": true
   }
   

   "포함" 조건 집합을 더 추가하려면 이 단계를 반복합니다.

3. 선택적으로 "제외" 조건 집합을 추가합니다. Azure 관리 API에 대한 위임된 권한 제외(appId 00001111-aaaa-2222-bbbb-3333cccc4444)

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/my-custom-policy /excludes
   Content-Type: application/json
   
   {
     "permissionType": "delegated",
     "resourceApplication": "00001111-aaaa-2222-bbbb-3333cccc4444 "
   }
   

   "제외" 조건 집합을 더 추가하려면 이 단계를 반복합니다.

앱 동의 정책을 만든 후 Microsoft Entra ID의 사용자 지정 역할에 할당해야 합니다. 그런 다음 만든 앱 동의 정책에 연결된 해당 사용자 지정 역할에 사용자를 할당해야 합니다. 앱 동의 정책을 사용자 지정 역할에 할당하는 방법에 대한 자세한 내용은 사용자 지정 역할에 대한 앱 동의 권한을 참조하세요.

Microsoft Graph를 사용하여 사용자 지정 앱 동의 정책 삭제

1. 다음은 사용자 지정 앱 동의 정책을 삭제하는 방법을 보여줍니다.

   DELETE https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/ my-custom-policy