管理应用同意策略

要使用 Microsoft Graph PowerShell 管理应用程序的应用同意策略，请连接到 Microsoft Graph PowerShell。

Connect-MgGraph -Scopes "Policy.ReadWrite.PermissionGrant"

列出现有的应用同意策略

最好先熟悉组织中现有的应用同意策略：

1. 列出所有应用同意策略。 这会显示组织创建的所有内置策略和任何自定义策略：

   Get-MgPolicyPermissionGrantPolicy | ft Id, DisplayName, Description
   

2. 查看策略的“包括”条件集：

   Get-MgPolicyPermissionGrantPolicyInclude -PermissionGrantPolicyId "microsoft-application-admin" | fl
   

3. 查看“排除”条件集：

   Get-MgPolicyPermissionGrantPolicyExclude -PermissionGrantPolicyId "microsoft-application-admin" | fl
   

使用 PowerShell 创建自定义应用同意策略

按照以下步骤创建自定义应用同意策略：

1. 创建新的空的应用同意策略。

   New-MgPolicyPermissionGrantPolicy `
       -Id "my-custom-policy" `
       -DisplayName "My first custom consent policy" `
       -Description "This is a sample custom app consent policy."
   

2. 添加“包括”条件集。

   # Include delegated permissions classified "low", for apps from verified publishers
   New-MgPolicyPermissionGrantPolicyInclude `
       -PermissionGrantPolicyId "my-custom-policy" `
       -PermissionType "delegated" `
       -PermissionClassification "low" `
       -ClientApplicationsFromVerifiedPublisherOnly
   

   重复此步骤来添加更多“包括”条件集。

3. （可选）添加“排除”条件集。

   # Retrieve the service principal for the Azure Management API
   $azureApi = Get-MgServicePrincipal -Filter "servicePrincipalNames/any(n:n eq 'https://management.azure.com/')"
   
   # Exclude delegated permissions for the Azure Management API
   New-MgPolicyPermissionGrantPolicyExclude `
       -PermissionGrantPolicyId "my-custom-policy" `
       -PermissionType "delegated" `
       -ResourceApplication $azureApi.AppId
   

   重复此步骤来添加更多“排除”条件集。

创建应用同意策略后，需要将其分配给 Microsoft Entra ID 中的自定义角色。 然后，需要将用户分配到该自定义角色，从而附加到所创建的应用同意策略。 有关如何将应用同意策略分配给自定义角色的详细信息，请参阅自定义角色的应用同意权限。

使用 PowerShell 删除自定义应用同意策略

下面的 cmdlet 展示了如何删除自定义应用同意策略。

   Remove-MgPolicyPermissionGrantPolicy -PermissionGrantPolicyId "my-custom-policy"

若要管理应用同意策略，请使用先决条件部分中列出的角色之一登录到 Graph 浏览器。

你需要同意 Policy.ReadWrite.PermissionGrant 权限。

使用 Microsoft Graph 列出现有的应用同意策略

最好先熟悉组织中现有的应用同意策略：

1. 列出所有应用同意策略。 这会显示组织创建的所有内置策略和任何自定义策略：

   GET /policies/permissionGrantPolicies?$select=id,displayName,description
   

2. 查看策略的“包括”条件集：

   GET /policies/permissionGrantPolicies/{ microsoft-application-admin }/includes
   

3. 查看“排除”条件集：

   GET /policies/permissionGrantPolicies/{ microsoft-application-admin }/excludes
   

使用 Microsoft Graph 创建自定义应用同意策略

按照以下步骤创建自定义应用同意策略：

1. 创建新的空的应用同意策略。

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies
   Content-Type: application/json
   
   {
     "id": "my-custom-policy",
     "displayName": "My first custom consent policy",
     "description": "This is a sample custom app consent policy"
   }
   

2. 添加“包括”条件集。

   包括来自已验证的发布者的应用的归类为“低”的委托的权限

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/{ my-custom-policy }/includes
   Content-Type: application/json
   
   {
     "permissionType": "delegated",
     "PermissionClassification": "low",
     "clientApplicationsFromVerifiedPublisherOnly": true
   }
   

   重复此步骤来添加更多“包括”条件集。

3. （可选）添加“排除”条件集。 排除 Azure 管理 API 的委托权限 (appId 00001111-aaaa-2222-bbbb-3333cccc4444)

   POST https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/my-custom-policy /excludes
   Content-Type: application/json
   
   {
     "permissionType": "delegated",
     "resourceApplication": "00001111-aaaa-2222-bbbb-3333cccc4444 "
   }
   

   重复此步骤来添加更多“排除”条件集。

创建应用同意策略后，需要将其分配给 Microsoft Entra ID 中的自定义角色。 然后，需要将用户分配到该自定义角色，从而附加到所创建的应用同意策略。 有关如何将应用同意策略分配给自定义角色的详细信息，请参阅自定义角色的应用同意权限。

使用 Microsoft Graph 删除自定义应用同意策略

1. 下面展示了如何删除自定义应用同意策略。

   DELETE https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies/ my-custom-policy