Configurar a forma como os utilizadores concedem consentimento às aplicações

Configurar o consentimento do usuário no centro de administração do Microsoft Entra

Para definir as definições de consentimento do utilizador através do centro de administração do Microsoft Entra:

1. Entre no Centro de Administração Microsoft Entra como Administrador Global.

2. Navegue até Identidade>Aplicações>Aplicações empresariais>Consentimento e permissões>Definições de consentimento do utilizador.

3. Em Consentimento de utilizador para aplicações, selecione a definição de consentimento que pretende configurar para todos os utilizadores.

4. Selecione Salvar para salvar suas configurações.

Compreender as políticas de autorização e concessão de permissão no Microsoft Graph PowerShell

Para definir as configurações de consentimento do usuário programaticamente usando o Microsoft Graph PowerShell, é importante entender a distinção entre a política de autorização de todo o locatário e as políticas de concessão de permissão individuais. O authorizationPolicy, recuperado usando Update-MgPolicyAuthorizationPolicy rege as configurações globais, como se os usuários podem consentir com aplicativos e quais políticas de concessão de permissão são atribuídas à função de usuário padrão. Por exemplo, você pode desabilitar o consentimento do usuário e, ao mesmo tempo, permitir que os desenvolvedores gerenciem permissões para os aplicativos que possuem atribuindo apenas ManagePermissionGrantsForOwnedResource.DeveloperConsent na permissionGrantPoliciesAssigned coleção.

Por outro lado, o ponto de extremidade permissionGrantPolicies lista as suas políticas atuais de concessão de permissões. Essas políticas determinam quais permissões podem ser concedidas aos aplicativos e em que circunstâncias. Cada apólice «inclui» determinadas condições, mas «exclui» outras. Quando um usuário tenta consentir com um aplicativo, o sistema verifica as políticas de concessão de permissão para ver se alguma delas se aplica à solicitação do usuário. Por exemplo, a política de baixo risco permitiria que os utilizadores consentissem com as permissões configuradas como «baixo risco». Inclui essas políticas de baixo risco (como um GUID). Em outro cenário, se um usuário tentar consentir em um contexto que corresponda à política 'AdminOnly', ele não poderá consentir.

Para escolher qual política de consentimento de aplicativo rege o consentimento do usuário para aplicativos, use o módulo Microsoft Graph PowerShell . Os cmdlets usados aqui estão incluídos no módulo Microsoft.Graph.Identity.SignIns .

Conecte-se ao Microsoft Graph PowerShell usando a permissão de privilégios mínimos necessária. Para ler as configurações atuais de consentimento do usuário, use Policy.Read.All. Para ler e alterar as configurações de consentimento do usuário, use Policy.ReadWrite.Authorization. Você precisa entrar como um Administrador de Função Privilegiada.

Connect-MgGraph -Scopes "Policy.ReadWrite.Authorization"

Desabilitar o consentimento do usuário usando o Microsoft Graph PowerShell

Para desativar o consentimento do usuário, certifique-se de que as políticas de consentimento (PermissionGrantPoliciesAssigned) incluam outras políticas atuais ManagePermissionGrantsForOwnedResource.* , se houver, durante a atualização da coleção. Dessa forma, você pode manter sua configuração atual para configurações de consentimento do usuário e outras configurações de consentimento de recursos.

# only exclude user consent policy
$body = @{
    "permissionGrantPolicyIdsAssignedToDefaultUserRole" = @(
        "managePermissionGrantsForOwnedResource.{other-current-policies}" 
    )
}
Update-MgPolicyAuthorizationPolicy -BodyParameter $body

Permitir o consentimento do usuário sujeito a uma política de consentimento de aplicativo usando o PowerShell

Para permitir o consentimento do usuário, escolha qual política de consentimento do aplicativo deve reger a autorização dos usuários para conceder consentimento aos aplicativos. Certifique-se de que as políticas de consentimento (PermissionGrantPoliciesAssigned) incluam outras políticas atuais ManagePermissionGrantsForOwnedResource.* , se houver, durante a atualização da coleção. Dessa forma, você pode manter sua configuração atual para configurações de consentimento do usuário e outras configurações de consentimento de recursos.

$body = @{
    "permissionGrantPolicyIdsAssignedToDefaultUserRole" = @(
        "managePermissionGrantsForSelf.{consent-policy-id}",
        "managePermissionGrantsForOwnedResource.{other-current-policies}"
    )
}
Update-MgPolicyAuthorizationPolicy -BodyParameter $body

Substitua {consent-policy-id} pelo ID da política que você deseja aplicar. Pode escolher uma política de consentimento de aplicação personalizada que criou ou pode escolher entre as seguintes políticas incorporadas:

Por exemplo, para habilitar o consentimento do usuário sujeito à política microsoft-user-default-lowinterna, execute os seguintes comandos:

$body = @{
    "permissionGrantPolicyIdsAssignedToDefaultUserRole" = @(
        "managePermissionGrantsForSelf.managePermissionGrantsForSelf.microsoft-user-default-low",
        "managePermissionGrantsForOwnedResource.{other-current-policies}"
    )
}

Compreender as políticas de autorização e concessão de permissão no Microsoft Graph

Para definir as configurações de consentimento do usuário programaticamente usando o Microsoft Graph, é importante entender a distinção entre a política de autorização de todo o locatário e as políticas de concessão de permissão individuais. O authorizationPolicy (recuperado usando GET https://graph.microsoft.com/v1.0/policies/authorizationPolicy/authorizationPolicy) rege as configurações globais, como se os usuários podem consentir com aplicativos e quais políticas de concessão de permissão são atribuídas à função de usuário padrão. Por exemplo, você pode desabilitar o consentimento do usuário e, ao mesmo tempo, permitir que os desenvolvedores gerenciem permissões para os aplicativos que possuem atribuindo apenas ManagePermissionGrantsForOwnedResource.DeveloperConsent na permissionGrantPoliciesAssigned coleção.

Por outro lado, o permissionGrantPolicies ponto de extremidade (GET https://graph.microsoft.com/v1.0/policies/permissionGrantPolicies) lista as suas políticas de concessão de permissões atuais. Essas políticas determinam quais permissões podem ser concedidas aos aplicativos e em que circunstâncias. Cada apólice «inclui» determinadas condições, mas «exclui» outras. Quando um usuário tenta consentir com um aplicativo, o sistema verifica as políticas de concessão de permissão para ver se alguma delas se aplica à solicitação do usuário. Por exemplo, a política de baixo risco permitiria que os utilizadores consentissem com as permissões configuradas como «baixo risco». Inclui essas políticas de baixo risco (como um GUID). Em outro cenário, se um usuário tentar consentir em um contexto que corresponda à política 'AdminOnly', ele não poderá consentir.

Use o Graph Explorer para escolher qual política de consentimento de aplicativo rege o consentimento do usuário para aplicativos. Você precisa entrar como um Administrador de Função Privilegiada.

Desabilitar o consentimento do usuário usando o Microsoft Graph

Para desativar o consentimento do usuário, certifique-se de que as políticas de consentimento (PermissionGrantPoliciesAssigned) incluam outras políticas atuais ManagePermissionGrantsForOwnedResource.* , se houver, durante a atualização da coleção. Dessa forma, você pode manter sua configuração atual para configurações de consentimento do usuário e outras configurações de consentimento de recursos.

PATCH https://graph.microsoft.com/v1.0/policies/authorizationPolicy
{
   "defaultUserRolePermissions": {
       "permissionGrantPoliciesAssigned": [
           "managePermissionGrantsForOwnedResource.{other-current-policies}"
        ]
    }
}

Permitir o consentimento do usuário sujeito a uma política de consentimento de aplicativo usando o Microsoft Graph

Para permitir o consentimento do usuário, escolha qual política de consentimento do aplicativo deve reger a autorização dos usuários para conceder consentimento aos aplicativos. Certifique-se de que as políticas de consentimento (PermissionGrantPoliciesAssigned) incluam outras políticas atuais ManagePermissionGrantsForOwnedResource.* , se houver, durante a atualização da coleção. Dessa forma, você pode manter sua configuração atual para configurações de consentimento do usuário e outras configurações de consentimento de recursos.

PATCH https://graph.microsoft.com/v1.0/policies/authorizationPolicy

{
    "defaultUserRolePermissions": {
        "managePermissionGrantsForSelf.{consent-policy-id}",
        "managePermissionGrantsForOwnedResource.{other-current-policies}"
   }
}

Substitua {consent-policy-id} pelo ID da política que você deseja aplicar. Pode escolher uma política de consentimento de aplicação personalizada que criou ou pode escolher entre as seguintes políticas incorporadas:

Por exemplo, para habilitar o consentimento do usuário sujeito à política microsoft-user-default-lowinterna, use o seguinte comando PATCH:

PATCH https://graph.microsoft.com/v1.0/policies/authorizationPolicy

{
    "defaultUserRolePermissions": {
        "permissionGrantPoliciesAssigned": [
            "managePermissionGrantsForSelf.microsoft-user-default-low",
            "managePermissionGrantsForOwnedResource.{other-current-policies}"
        ]
    }
}